EKSでsshをやめた話

Transcript

1. EKSでSSHをやめた話 2020/02/06 河村 敏貴
2. Who am I Name : Toshitaka Kawamura Company : AlpacaJapan Role : Infrastracture Engineer https://www.facebook.com/kawamurats?ref=bookmarks
3. なぜSSHをやめたのか • ノードに入る必要性が減った • SSH 鍵の管理 • 踏み台サーバの管理、運用 • 通信経路のセキュリティ（SG)
4. SSHをやめると？ • SSH 鍵の管理 • 踏み台サーバの管理、運用 • 通信経路のセキュリティ（SG) 管理不要に！ （かつコストダウン）
5. SSHをやめるために必要なこと 外部からホスト内部を俯瞰できる ようにする必要がある SSHをやめる = ホストに入れない
6. ホストの状態の可視化 • Podのメトリクス取得 • Podのログ取得 • ホストのメトリクス取得 • ホストのログ取得 Datadog便利
7. 最近のEKS環境 ssm-agentも入れてません！
8. とはいえ・・・ 障害があった場合 は？
9. ホストに入ります！
10. どうやってホストに入るか？ • kube-ssm-agent ◦ aws-ssm-agentをコンテナとしてk8sノードにデプロイするツール • Weave Scope ◦ k8sの状態をモニタリングしビジュアル化するツール どちらも必要な時だけ利用可能
11. kube-ssm-agent • 軽量（Weave Scopeに比べて） • コンテナ上で動作するのでホストを汚さない（調査用コマン ドはコンテナにインストール） • AmazonEC2RoleforSSMが必要 • 詳細はクラメソさんブログで ◦ https://dev.classmethod.jp/cloud/aws/ssm-agent-on-container/
12. Weave Scope • ホスト上でコマンド実行可能 • AmazonEC2RoleforSSM不要 • GUIが利用可能
13. Weave Scope
14. Weave Scopeの設定方法 kubectl apply -f "https://cloud.weave.works/k8s/scope.yaml?k8s-version=$(kubectl version | base64 | tr -d '\n')" kubectl port-forward -n weave "$(kubectl get -n weave pod --selector=weave-scope-component=app -o jsonpath='{.items..metadata.name}')" 4040 インストール ポートフォワード http://localhost:4040/ ブラウザでアクセス
15. ホストに入り方
16. ターミナルで調査
17. 使い終わったら kubectl delete -f "https://cloud.weave.works/k8s/scope.yaml?k8s-version=$(kubectl version | base64 | tr -d '\n')" 削除 簡単かつセキュアに利用可能
18. まとめ • SSHはやめれます！がホストに入ることはま だ完全にはやめれません • Weave Scopeなどを必要な時だけ利用し安全に ホストにアクセスが可能です