Question: What is Matching requests: rules?

Answer: E a c h   w e b h o o k   m u s t   s p e c i f y   a   l i s t   o f   r u l e s   u s e d   t o   d e t e r m i n e   i f   a   r e q u e s t   t o   t h e   A P I   s e r v e r   s h o u l d   b e   s e n t   t o   t h e   w e b h o o k .   E a c h   r u l e   s p e c i f i e s   o n e   o r   m o r e   o p e r a t i o n s ,   a p i G r o u p s ,   a p i V e r s i o n s ,   a n d   r e s o u r c e s ,   a n d   a   r e s o u r c e   s c o p e :   o p e r a t i o n s   l i s t s   o n e   o r   m o r e   o p e r a t i o n s   t o   m a t c h .   C a n   b e   " C R E A T E " ,   " U P D A T E " ,   " D E L E T E " ,   " C O N N E C T " ,   o r   " * "   t o   m a t c h   a l l . a p i G r o u p s   l i s t s   o n e   o r   m o r e   A P I   g r o u p s   t o   m a t c h .   " "   i s   t h e   c o r e   A P I   g r o u p .   " * "   m a t c h e s   a l l   A P I   g r o u p s . a p i V e r s i o n s   l i s t s   o n e   o r   m o r e   A P I   v e r s i o n s   t o   m a t c h .   " * "   m a t c h e s   a l l   A P I   v e r s i o n s . r e s o u r c e s   l i s t s   o n e   o r   m o r e   r e s o u r c e s   t o   m a t c h . " * "   m a t c h e s   a l l   r e s o u r c e s ,   b u t   n o t   s u b r e s o u r c e s . " * / * "   m a t c h e s   a l l   r e s o u r c e s   a n d   s u b r e s o u r c e s . " p o d s / * "   m a t c h e s   a l l   s u b r e s o u r c e s   o f   p o d s . " * / s t a t u s "   m a t c h e s   a l l   s t a t u s   s u b r e s o u r c e s . s c o p e   s p e c i f i e s   a   s c o p e   t o   m a t c h .   V a l i d   v a l u e s   a r e   " C l u s t e r " ,   " N a m e s p a c e d " ,   a n d   " * " .   S u b r e s o u r c e s   m a t c h   t h e   s c o p e   o f   t h e i r   p a r e n t   r e s o u r c e .   D e f a u l t   i s   " * " . " C l u s t e r "   m e a n s   t h a t   o n l y   c l u s t e r - s c o p e d   r e s o u r c e s   w i l l   m a t c h   t h i s   r u l e   ( N a m e s p a c e   A P I   o b j e


Question: What is Matching requests: objectSelector?

Answer: W e b h o o k s   m a y   o p t i o n a l l y   l i m i t   w h i c h   r e q u e s t s   a r e   i n t e r c e p t e d   b a s e d   o n   t h e   l a b e l s   o f   t h e   o b j e c t s   t h e y   w o u l d   b e   s e n t ,   b y   s p e c i f y i n g   a n   o b j e c t S e l e c t o r .   I f   s p e c i f i e d ,   t h e   o b j e c t S e l e c t o r   i s   e v a l u a t e d   a g a i n s t   b o t h   t h e   o b j e c t   a n d   o l d O b j e c t   t h a t   w o u l d   b e   s e n t   t o   t h e   w e b h o o k ,   a n d   i s   c o n s i d e r e d   t o   m a t c h   i f   e i t h e r   o b j e c t   m a t c h e s   t h e   s e l e c t o r .   A   n u l l   o b j e c t   ( o l d O b j e c t   i n   t h e   c a s e   o f   c r e a t e ,   o r   n e w O b j e c t   i n   t h e   c a s e   o f   d e l e t e ) ,   o r   a n   o b j e c t   t h a t   c a n n o t   h a v e   l a b e l s   ( l i k e   a   D e p l o y m e n t R o l l b a c k   o r   a   P o d P r o x y O p t i o n s   o b j e c t )   i s   n o t   c o n s i d e r e d   t o   m a t c h .   U s e   t h e   o b j e c t   s e l e c t o r   o n l y   i f   t h e   w e b h o o k   i s   o p t - i n ,   b e c a u s e   e n d   u s e r s   m a y   s k i p   t h e   a d m i s s i o n   w e b h o o k   b y   s e t t i n g   t h e   l a b e l s .   T h i s   e x a m p l e   s h o w s   a   m u t a t i n g   w e b h o o k   t h a t   w o u l d   m a t c h   a   C R E A T E   o f   a n y   r e s o u r c e   ( b u t   n o t   s u b r e s o u r c e s )   w i t h   t h e   l a b e l   f o o :   b a r :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   M u t a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   o b j e c t S e l e c t o r :   m a t c h L a b e l s :   f o o :   b a r   r u l e s :   -   o p e r a t i o n s :   [ " C R E A T E " ]   a p i G r o u p s :   [ " * "


Question: What is Matching requests: namespaceSelector?

Answer: W e b h o o k s   m a y   o p t i o n a l l y   l i m i t   w h i c h   r e q u e s t s   f o r   n a m e s p a c e d   r e s o u r c e s   a r e   i n t e r c e p t e d ,   b a s e d   o n   t h e   l a b e l s   o f   t h e   c o n t a i n i n g   n a m e s p a c e ,   b y   s p e c i f y i n g   a   n a m e s p a c e S e l e c t o r .   T h e   n a m e s p a c e S e l e c t o r   d e c i d e s   w h e t h e r   t o   r u n   t h e   w e b h o o k   o n   a   r e q u e s t   f o r   a   n a m e s p a c e d   r e s o u r c e   ( o r   a   N a m e s p a c e   o b j e c t ) ,   b a s e d   o n   w h e t h e r   t h e   n a m e s p a c e ' s   l a b e l s   m a t c h   t h e   s e l e c t o r .   I f   t h e   o b j e c t   i t s e l f   i s   a   n a m e s p a c e ,   t h e   m a t c h i n g   i s   p e r f o r m e d   o n   o b j e c t . m e t a d a t a . l a b e l s .   I f   t h e   o b j e c t   i s   a   c l u s t e r   s c o p e d   r e s o u r c e   o t h e r   t h a n   a   N a m e s p a c e ,   n a m e s p a c e S e l e c t o r   h a s   n o   e f f e c t .   T h i s   e x a m p l e   s h o w s   a   m u t a t i n g   w e b h o o k   t h a t   m a t c h e s   a   C R E A T E   o f   a n y   n a m e s p a c e d   r e s o u r c e   i n s i d e   a   n a m e s p a c e   t h a t   d o e s   n o t   h a v e   a   " r u n l e v e l "   l a b e l   o f   " 0 "   o r   " 1 " :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   M u t a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   n a m e s p a c e S e l e c t o r :   m a t c h E x p r e s s i o n s :   -   k e y :   r u n l e v e l   o p e r a t o r :   N o t I n   v a l u e s :   [ " 0 " , " 1 " ]   r u l e s :   -   o p e r a t i o n s :   [ " C R E A T E " ]   a p i G r o u p s :   [ " * " ]   a p i V e r s i o n s :   [ " * " ]   r e s o u r c e s :   [ " * " ]   s c o p e :


Question: What is Matching requests: matchPolicy?

Answer: A P I   s e r v e r s   c a n   m a k e   o b j e c t s   a v a i l a b l e   v i a   m u l t i p l e   A P I   g r o u p s   o r   v e r s i o n s .   F o r   e x a m p l e ,   i f   a   w e b h o o k   o n l y   s p e c i f i e d   a   r u l e   f o r   s o m e   A P I   g r o u p s / v e r s i o n s   ( l i k e   a p i G r o u p s : [ " a p p s " ] ,   a p i V e r s i o n s : [ " v 1 " , " v 1 b e t a 1 " ] ) ,   a n d   a   r e q u e s t   w a s   m a d e   t o   m o d i f y   t h e   r e s o u r c e   v i a   a n o t h e r   A P I   g r o u p / v e r s i o n   ( l i k e   e x t e n s i o n s / v 1 b e t a 1 ) ,   t h e   r e q u e s t   w o u l d   n o t   b e   s e n t   t o   t h e   w e b h o o k .   T h e   m a t c h P o l i c y   l e t s   a   w e b h o o k   d e f i n e   h o w   i t s   r u l e s   a r e   u s e d   t o   m a t c h   i n c o m i n g   r e q u e s t s .   A l l o w e d   v a l u e s   a r e   E x a c t   o r   E q u i v a l e n t .   E x a c t   m e a n s   a   r e q u e s t   s h o u l d   b e   i n t e r c e p t e d   o n l y   i f   i t   e x a c t l y   m a t c h e s   a   s p e c i f i e d   r u l e . E q u i v a l e n t   m e a n s   a   r e q u e s t   s h o u l d   b e   i n t e r c e p t e d   i f   i t   m o d i f i e s   a   r e s o u r c e   l i s t e d   i n   r u l e s ,   e v e n   v i a   a n o t h e r   A P I   g r o u p   o r   v e r s i o n .   I n   t h e   e x a m p l e   g i v e n   a b o v e ,   t h e   w e b h o o k   t h a t   o n l y   r e g i s t e r e d   f o r   a p p s / v 1   c o u l d   u s e   m a t c h P o l i c y :   m a t c h P o l i c y :   E x a c t   w o u l d   m e a n   t h e   e x t e n s i o n s / v 1 b e t a 1   r e q u e s t   w o u l d   n o t   b e   s e n t   t o   t h e   w e b h o o k m a t c h P o l i c y :   E q u i v a l e n t   m e a n s   t h e   e x t e n s i o n s / v 1 b e t a 1   r e q u e s t   w o u l d   b e   s e n t   t o   t h e   w e b h o o k   ( w i t h   t h e   o b j e


Question: What is Matching requests: matchConditions?

Answer: Y o u   c a n   d e f i n e   m a t c h   c o n d i t i o n s   f o r   w e b h o o k s   i f   y o u   n e e d   f i n e - g r a i n e d   r e q u e s t   f i l t e r i n g .   T h e s e   c o n d i t i o n s   a r e   u s e f u l   i f   y o u   f i n d   t h a t   m a t c h   r u l e s ,   o b j e c t S e l e c t o r s   a n d   n a m e s p a c e S e l e c t o r s   s t i l l   d o e s n ' t   p r o v i d e   t h e   f i l t e r i n g   y o u   w a n t   o v e r   w h e n   t o   c a l l   o u t   o v e r   H T T P .   M a t c h   c o n d i t i o n s   a r e   C E L   e x p r e s s i o n s .   A l l   m a t c h   c o n d i t i o n s   m u s t   e v a l u a t e   t o   t r u e   f o r   t h e   w e b h o o k   t o   b e   c a l l e d .   H e r e   i s   a n   e x a m p l e   i l l u s t r a t i n g   a   f e w   d i f f e r e n t   u s e s   f o r   m a t c h   c o n d i t i o n s :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   m a t c h P o l i c y :   E q u i v a l e n t   r u l e s :   -   o p e r a t i o n s :   [ ' C R E A T E ' , ' U P D A T E ' ]   a p i G r o u p s :   [ ' * ' ]   a p i V e r s i o n s :   [ ' * ' ]   r e s o u r c e s :   [ ' * ' ]   f a i l u r e P o l i c y :   ' I g n o r e '   #   F a i l - o p e n   ( o p t i o n a l )   s i d e E f f e c t s :   N o n e   c l i e n t C o n f i g :   s e r v i c e :   n a m e s p a c e :   m y - n a m e s p a c e   n a m e :   m y - w e b h o o k   c a B u n d l e :   ' < o m i t t e d > '   #   Y o u   c a n   h a v e   u p   t o   6 4   m a t c h C o n d i t i o n s   p e r   w e b h o o k   m a t c h C o n d i t i o n s :   -   n a m e :   ' e x c l u d e - l e a s e s '   #   E a c h   m a t c h   c o n d i t i o n   m u s t   h a v e   a   u n i q u e   n a m e   e x p r e s s i o n :   ' ! ( r e q


Question: What is Note:?

Answer: M a t c h   c o n d i t i o n s   h a v e   a c c e s s   t o   t h e   f o l l o w i n g   C E L   v a r i a b l e s :   o b j e c t   -   T h e   o b j e c t   f r o m   t h e   i n c o m i n g   r e q u e s t .   T h e   v a l u e   i s   n u l l   f o r   D E L E T E   r e q u e s t s .   T h e   o b j e c t   v e r s i o n   m a y   b e   c o n v e r t e d   b a s e d   o n   t h e   m a t c h P o l i c y . o l d O b j e c t   -   T h e   e x i s t i n g   o b j e c t .   T h e   v a l u e   i s   n u l l   f o r   C R E A T E   r e q u e s t s . r e q u e s t   -   T h e   r e q u e s t   p o r t i o n   o f   t h e   A d m i s s i o n R e v i e w ,   e x c l u d i n g   o b j e c t   a n d   o l d O b j e c t . a u t h o r i z e r   -   A   C E L   A u t h o r i z e r .   M a y   b e   u s e d   t o   p e r f o r m   a u t h o r i z a t i o n   c h e c k s   f o r   t h e   p r i n c i p a l   ( a u t h e n t i c a t e d   u s e r )   o f   t h e   r e q u e s t .   S e e   A u t h z   i n   t h e   K u b e r n e t e s   C E L   l i b r a r y   d o c u m e n t a t i o n   f o r   m o r e   d e t a i l s . a u t h o r i z e r . r e q u e s t R e s o u r c e   -   A   s h o r t c u t   f o r   a n   a u t h o r i z a t i o n   c h e c k   c o n f i g u r e d   w i t h   t h e   r e q u e s t   r e s o u r c e   ( g r o u p ,   r e s o u r c e ,   ( s u b r e s o u r c e ) ,   n a m e s p a c e ,   n a m e ) .   F o r   m o r e   i n f o r m a t i o n   o n   C E L   e x p r e s s i o n s ,   r e f e r   t o   t h e   C o m m o n   E x p r e s s i o n   L a n g u a g e   i n   K u b e r n e t e s   r e f e r e n c e .   I n   t h e   e v e n t   o f   a n   e r r o r   e v a l u a t i n g   a   m a t c h   c o n d i t i o n   t h e   w e b h o o k   i s   n e v e r   c a l l e d .   W h e t h e r   t o   r e j e c t   t h e   r e q u e s t   i s   d e t e r m i n e d   a s   f o l l o w s :   I f   a n y   m a t c h   c o n d i t i o n   e v a l u a t e d   t o


Question: What is Contacting the webhook?

Answer: O n c e   t h e   A P I   s e r v e r   h a s   d e t e r m i n e d   a   r e q u e s t   s h o u l d   b e   s e n t   t o   a   w e b h o o k ,   i t   n e e d s   t o   k n o w   h o w   t o   c o n t a c t   t h e   w e b h o o k .   T h i s   i s   s p e c i f i e d   i n   t h e   c l i e n t C o n f i g   s t a n z a   o f   t h e   w e b h o o k   c o n f i g u r a t i o n .   W e b h o o k s   c a n   e i t h e r   b e   c a l l e d   v i a   a   U R L   o r   a   s e r v i c e   r e f e r e n c e ,   a n d   c a n   o p t i o n a l l y   i n c l u d e   a   c u s t o m   C A   b u n d l e   t o   u s e   t o   v e r i f y   t h e   T L S   c o n n e c t i o n .


Question: What is URL?

Answer: u r l   g i v e s   t h e   l o c a t i o n   o f   t h e   w e b h o o k ,   i n   s t a n d a r d   U R L   f o r m   ( s c h e m e : / / h o s t : p o r t / p a t h ) .   T h e   h o s t   s h o u l d   n o t   r e f e r   t o   a   s e r v i c e   r u n n i n g   i n   t h e   c l u s t e r ;   u s e   a   s e r v i c e   r e f e r e n c e   b y   s p e c i f y i n g   t h e   s e r v i c e   f i e l d   i n s t e a d .   T h e   h o s t   m i g h t   b e   r e s o l v e d   v i a   e x t e r n a l   D N S   i n   s o m e   A P I   s e r v e r s   ( e . g . ,   k u b e - a p i s e r v e r   c a n n o t   r e s o l v e   i n - c l u s t e r   D N S   a s   t h a t   w o u l d   b e   a   l a y e r i n g   v i o l a t i o n ) .   h o s t   m a y   a l s o   b e   a n   I P   a d d r e s s .   P l e a s e   n o t e   t h a t   u s i n g   l o c a l h o s t   o r   1 2 7 . 0 . 0 . 1   a s   a   h o s t   i s   r i s k y   u n l e s s   y o u   t a k e   g r e a t   c a r e   t o   r u n   t h i s   w e b h o o k   o n   a l l   h o s t s   w h i c h   r u n   a n   A P I   s e r v e r   w h i c h   m i g h t   n e e d   t o   m a k e   c a l l s   t o   t h i s   w e b h o o k .   S u c h   i n s t a l l a t i o n s   a r e   l i k e l y   t o   b e   n o n - p o r t a b l e   o r   n o t   r e a d i l y   r u n   i n   a   n e w   c l u s t e r .   T h e   s c h e m e   m u s t   b e   " h t t p s " ;   t h e   U R L   m u s t   b e g i n   w i t h   " h t t p s : / / " .   A t t e m p t i n g   t o   u s e   a   u s e r   o r   b a s i c   a u t h   ( f o r   e x a m p l e   u s e r : p a s s w o r d @ )   i s   n o t   a l l o w e d .   F r a g m e n t s   ( # . . . )   a n d   q u e r y   p a r a m e t e r s   ( ? . . . )   a r e   a l s o   n o t   a l l o w e d .   H e r e   i s   a n   e x a m p l e   o f   a   m u t a t i n g   w e b h o o k   c o n f i g u r e d   t o   c a l l   a   U R L   ( a n d   e x p e c t s   t h e   T L S   c e r t i f i c a t e


Question: What is Service reference?

Answer: T h e   s e r v i c e   s t a n z a   i n s i d e   c l i e n t C o n f i g   i s   a   r e f e r e n c e   t o   t h e   s e r v i c e   f o r   t h i s   w e b h o o k .   I f   t h e   w e b h o o k   i s   r u n n i n g   w i t h i n   t h e   c l u s t e r ,   t h e n   y o u   s h o u l d   u s e   s e r v i c e   i n s t e a d   o f   u r l .   T h e   s e r v i c e   n a m e s p a c e   a n d   n a m e   a r e   r e q u i r e d .   T h e   p o r t   i s   o p t i o n a l   a n d   d e f a u l t s   t o   4 4 3 .   T h e   p a t h   i s   o p t i o n a l   a n d   d e f a u l t s   t o   " / " .   H e r e   i s   a n   e x a m p l e   o f   a   m u t a t i n g   w e b h o o k   c o n f i g u r e d   t o   c a l l   a   s e r v i c e   o n   p o r t   " 1 2 3 4 "   a t   t h e   s u b p a t h   " / m y - p a t h " ,   a n d   t o   v e r i f y   t h e   T L S   c o n n e c t i o n   a g a i n s t   t h e   S e r v e r N a m e   m y - s e r v i c e - n a m e . m y - s e r v i c e - n a m e s p a c e . s v c   u s i n g   a   c u s t o m   C A   b u n d l e :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   M u t a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   c l i e n t C o n f i g :   c a B u n d l e :   < C A _ B U N D L E >   s e r v i c e :   n a m e s p a c e :   m y - s e r v i c e - n a m e s p a c e   n a m e :   m y - s e r v i c e - n a m e   p a t h :   / m y - p a t h   p o r t :   1 2 3 4


Question: What is Side effects?

Answer: W e b h o o k s   t y p i c a l l y   o p e r a t e   o n l y   o n   t h e   c o n t e n t   o f   t h e   A d m i s s i o n R e v i e w   s e n t   t o   t h e m .   S o m e   w e b h o o k s ,   h o w e v e r ,   m a k e   o u t - o f - b a n d   c h a n g e s   a s   p a r t   o f   p r o c e s s i n g   a d m i s s i o n   r e q u e s t s .   W e b h o o k s   t h a t   m a k e   o u t - o f - b a n d   c h a n g e s   ( " s i d e   e f f e c t s " )   m u s t   a l s o   h a v e   a   r e c o n c i l i a t i o n   m e c h a n i s m   ( l i k e   a   c o n t r o l l e r )   t h a t   p e r i o d i c a l l y   d e t e r m i n e s   t h e   a c t u a l   s t a t e   o f   t h e   w o r l d ,   a n d   a d j u s t s   t h e   o u t - o f - b a n d   d a t a   m o d i f i e d   b y   t h e   a d m i s s i o n   w e b h o o k   t o   r e f l e c t   r e a l i t y .   T h i s   i s   b e c a u s e   a   c a l l   t o   a n   a d m i s s i o n   w e b h o o k   d o e s   n o t   g u a r a n t e e   t h e   a d m i t t e d   o b j e c t   w i l l   b e   p e r s i s t e d   a s   i s ,   o r   a t   a l l .   L a t e r   w e b h o o k s   c a n   m o d i f y   t h e   c o n t e n t   o f   t h e   o b j e c t ,   a   c o n f l i c t   c o u l d   b e   e n c o u n t e r e d   w h i l e   w r i t i n g   t o   s t o r a g e ,   o r   t h e   s e r v e r   c o u l d   p o w e r   o f f   b e f o r e   p e r s i s t i n g   t h e   o b j e c t .   A d d i t i o n a l l y ,   w e b h o o k s   w i t h   s i d e   e f f e c t s   m u s t   s k i p   t h o s e   s i d e - e f f e c t s   w h e n   d r y R u n :   t r u e   a d m i s s i o n   r e q u e s t s   a r e   h a n d l e d .   A   w e b h o o k   m u s t   e x p l i c i t l y   i n d i c a t e   t h a t   i t   w i l l   n o t   h a v e   s i d e - e f f e c t s   w h e n   r u n   w i t h   d r y R u n ,   o r   t h e   d r y - r u n   r e q u e s t   w i l l   n o t   b e   s e n t   t o   t h e   w e b h o o k


Question: What is Timeouts?

Answer: B e c a u s e   w e b h o o k s   a d d   t o   A P I   r e q u e s t   l a t e n c y ,   t h e y   s h o u l d   e v a l u a t e   a s   q u i c k l y   a s   p o s s i b l e .   t i m e o u t S e c o n d s   a l l o w s   c o n f i g u r i n g   h o w   l o n g   t h e   A P I   s e r v e r   s h o u l d   w a i t   f o r   a   w e b h o o k   t o   r e s p o n d   b e f o r e   t r e a t i n g   t h e   c a l l   a s   a   f a i l u r e .   I f   t h e   t i m e o u t   e x p i r e s   b e f o r e   t h e   w e b h o o k   r e s p o n d s ,   t h e   w e b h o o k   c a l l   w i l l   b e   i g n o r e d   o r   t h e   A P I   c a l l   w i l l   b e   r e j e c t e d   b a s e d   o n   t h e   f a i l u r e   p o l i c y .   T h e   t i m e o u t   v a l u e   m u s t   b e   b e t w e e n   1   a n d   3 0   s e c o n d s .   H e r e   i s   a n   e x a m p l e   o f   a   v a l i d a t i n g   w e b h o o k   w i t h   a   c u s t o m   t i m e o u t   o f   2   s e c o n d s :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   V a l i d a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   t i m e o u t S e c o n d s :   2   T h e   t i m e o u t   f o r   a n   a d m i s s i o n   w e b h o o k   d e f a u l t s   t o   1 0   s e c o n d s .


Question: What is Reinvocation policy?

Answer: A   s i n g l e   o r d e r i n g   o f   m u t a t i n g   a d m i s s i o n s   p l u g i n s   ( i n c l u d i n g   w e b h o o k s )   d o e s   n o t   w o r k   f o r   a l l   c a s e s   ( s e e   h t t p s : / / i s s u e . k 8 s . i o / 6 4 3 3 3   a s   a n   e x a m p l e ) .   A   m u t a t i n g   w e b h o o k   c a n   a d d   a   n e w   s u b - s t r u c t u r e   t o   t h e   o b j e c t   ( l i k e   a d d i n g   a   c o n t a i n e r   t o   a   p o d ) ,   a n d   o t h e r   m u t a t i n g   p l u g i n s   w h i c h   h a v e   a l r e a d y   r u n   m a y   h a v e   o p i n i o n s   o n   t h o s e   n e w   s t r u c t u r e s   ( l i k e   s e t t i n g   a n   i m a g e P u l l P o l i c y   o n   a l l   c o n t a i n e r s ) .   T o   a l l o w   m u t a t i n g   a d m i s s i o n   p l u g i n s   t o   o b s e r v e   c h a n g e s   m a d e   b y   o t h e r   p l u g i n s ,   b u i l t - i n   m u t a t i n g   a d m i s s i o n   p l u g i n s   a r e   r e - r u n   i f   a   m u t a t i n g   w e b h o o k   m o d i f i e s   a n   o b j e c t ,   a n d   m u t a t i n g   w e b h o o k s   c a n   s p e c i f y   a   r e i n v o c a t i o n P o l i c y   t o   c o n t r o l   w h e t h e r   t h e y   a r e   r e i n v o k e d   a s   w e l l .   r e i n v o c a t i o n P o l i c y   m a y   b e   s e t   t o   N e v e r   o r   I f N e e d e d .   I t   d e f a u l t s   t o   N e v e r .   N e v e r :   t h e   w e b h o o k   m u s t   n o t   b e   c a l l e d   m o r e   t h a n   o n c e   i n   a   s i n g l e   a d m i s s i o n   e v a l u a t i o n . I f N e e d e d :   t h e   w e b h o o k   m a y   b e   c a l l e d   a g a i n   a s   p a r t   o f   t h e   a d m i s s i o n   e v a l u a t i o n   i f   t h e   o b j e c t   b e i n g   a d m i t t e d   i s   m o d i f i e d   b y   o t h e r   a d m i s s i o n   p l u g i n s   a f t e r   t h e   i n i t i a l   w e b h o o k   c a l l .   T h e   i


Question: What is Failure policy?

Answer: f a i l u r e P o l i c y   d e f i n e s   h o w   u n r e c o g n i z e d   e r r o r s   a n d   t i m e o u t   e r r o r s   f r o m   t h e   a d m i s s i o n   w e b h o o k   a r e   h a n d l e d .   A l l o w e d   v a l u e s   a r e   I g n o r e   o r   F a i l .   I g n o r e   m e a n s   t h a t   a n   e r r o r   c a l l i n g   t h e   w e b h o o k   i s   i g n o r e d   a n d   t h e   A P I   r e q u e s t   i s   a l l o w e d   t o   c o n t i n u e . F a i l   m e a n s   t h a t   a n   e r r o r   c a l l i n g   t h e   w e b h o o k   c a u s e s   t h e   a d m i s s i o n   t o   f a i l   a n d   t h e   A P I   r e q u e s t   t o   b e   r e j e c t e d .   H e r e   i s   a   m u t a t i n g   w e b h o o k   c o n f i g u r e d   t o   r e j e c t   a n   A P I   r e q u e s t   i f   e r r o r s   a r e   e n c o u n t e r e d   c a l l i n g   t h e   a d m i s s i o n   w e b h o o k :   a p i V e r s i o n :   a d m i s s i o n r e g i s t r a t i o n . k 8 s . i o / v 1   k i n d :   M u t a t i n g W e b h o o k C o n f i g u r a t i o n   w e b h o o k s :   -   n a m e :   m y - w e b h o o k . e x a m p l e . c o m   f a i l u r e P o l i c y :   F a i l   T h e   d e f a u l t   f a i l u r e P o l i c y   f o r   a n   a d m i s s i o n   w e b h o o k s   i s   F a i l .


Question: What is Monitoring admission webhooks?

Answer: T h e   A P I   s e r v e r   p r o v i d e s   w a y s   t o   m o n i t o r   a d m i s s i o n   w e b h o o k   b e h a v i o r s .   T h e s e   m o n i t o r i n g   m e c h a n i s m s   h e l p   c l u s t e r   a d m i n s   t o   a n s w e r   q u e s t i o n s   l i k e :   W h i c h   m u t a t i n g   w e b h o o k   m u t a t e d   t h e   o b j e c t   i n   a   A P I   r e q u e s t ? W h a t   c h a n g e   d i d   t h e   m u t a t i n g   w e b h o o k   a p p l i e d   t o   t h e   o b j e c t ? W h i c h   w e b h o o k s   a r e   f r e q u e n t l y   r e j e c t i n g   A P I   r e q u e s t s ?   W h a t ' s   t h e   r e a s o n   f o r   a   r e j e c t i o n ?   W h i c h   m u t a t i n g   w e b h o o k   m u t a t e d   t h e   o b j e c t   i n   a   A P I   r e q u e s t ?   W h a t   c h a n g e   d i d   t h e   m u t a t i n g   w e b h o o k   a p p l i e d   t o   t h e   o b j e c t ?   W h i c h   w e b h o o k s   a r e   f r e q u e n t l y   r e j e c t i n g   A P I   r e q u e s t s ?   W h a t ' s   t h e   r e a s o n   f o r   a   r e j e c t i o n ?


Question: What is Mutating webhook auditing annotations?

Answer: S o m e t i m e s   i t ' s   u s e f u l   t o   k n o w   w h i c h   m u t a t i n g   w e b h o o k   m u t a t e d   t h e   o b j e c t   i n   a   A P I   r e q u e s t ,   a n d   w h a t   c h a n g e   d i d   t h e   w e b h o o k   a p p l y .   T h e   K u b e r n e t e s   A P I   s e r v e r   p e r f o r m s   a u d i t i n g   o n   e a c h   m u t a t i n g   w e b h o o k   i n v o c a t i o n .   E a c h   i n v o c a t i o n   g e n e r a t e s   a n   a u d i t i n g   a n n o t a t i o n   c a p t u r i n g   i f   a   r e q u e s t   o b j e c t   i s   m u t a t e d   b y   t h e   i n v o c a t i o n ,   a n d   o p t i o n a l l y   g e n e r a t e s   a n   a n n o t a t i o n   c a p t u r i n g   t h e   a p p l i e d   p a t c h   f r o m   t h e   w e b h o o k   a d m i s s i o n   r e s p o n s e .   T h e   a n n o t a t i o n s   a r e   s e t   i n   t h e   a u d i t   e v e n t   f o r   g i v e n   r e q u e s t   o n   g i v e n   s t a g e   o f   i t s   e x e c u t i o n ,   w h i c h   i s   t h e n   p r e - p r o c e s s e d   a c c o r d i n g   t o   a   c e r t a i n   p o l i c y   a n d   w r i t t e n   t o   a   b a c k e n d .   T h e   a u d i t   l e v e l   o f   a   e v e n t   d e t e r m i n e s   w h i c h   a n n o t a t i o n s   g e t   r e c o r d e d :   A t   M e t a d a t a   a u d i t   l e v e l   o r   h i g h e r ,   a n   a n n o t a t i o n   w i t h   k e y   m u t a t i o n . w e b h o o k . a d m i s s i o n . k 8 s . i o / r o u n d _ { r o u n d   i d x } _ i n d e x _ { o r d e r   i d x }   g e t s   l o g g e d   w i t h   J S O N   p a y l o a d   i n d i c a t i n g   a   w e b h o o k   g e t s   i n v o k e d   f o r   g i v e n   r e q u e s t   a n d   w h e t h e r   i t   m u t a t e d   t h e   o b j e c t   o r   n o t . F o r   e x a m p l e ,   t h e   f o l l o w i n g   a n n o t a t i o n   g e t s   r e c o r d e d   f o r   a   w e b h o o k   b e i n g   r e i n v o


Question: What is Admission webhook metrics?

Answer: T h e   A P I   s e r v e r   e x p o s e s   P r o m e t h e u s   m e t r i c s   f r o m   t h e   / m e t r i c s   e n d p o i n t ,   w h i c h   c a n   b e   u s e d   f o r   m o n i t o r i n g   a n d   d i a g n o s i n g   A P I   s e r v e r   s t a t u s .   T h e   f o l l o w i n g   m e t r i c s   r e c o r d   s t a t u s   r e l a t e d   t o   a d m i s s i o n   w e b h o o k s .


Question: What is API server admission webhook rejection count?

Answer: S o m e t i m e s   i t ' s   u s e f u l   t o   k n o w   w h i c h   a d m i s s i o n   w e b h o o k s   a r e   f r e q u e n t l y   r e j e c t i n g   A P I   r e q u e s t s ,   a n d   t h e   r e a s o n   f o r   a   r e j e c t i o n .   T h e   A P I   s e r v e r   e x p o s e s   a   P r o m e t h e u s   c o u n t e r   m e t r i c   r e c o r d i n g   a d m i s s i o n   w e b h o o k   r e j e c t i o n s .   T h e   m e t r i c s   a r e   l a b e l l e d   t o   i d e n t i f y   t h e   c a u s e s   o f   w e b h o o k   r e j e c t i o n ( s ) :   n a m e :   t h e   n a m e   o f   t h e   w e b h o o k   t h a t   r e j e c t e d   a   r e q u e s t . o p e r a t i o n :   t h e   o p e r a t i o n   t y p e   o f   t h e   r e q u e s t ,   c a n   b e   o n e   o f   C R E A T E ,   U P D A T E ,   D E L E T E   a n d   C O N N E C T . t y p e :   t h e   a d m i s s i o n   w e b h o o k   t y p e ,   c a n   b e   o n e   o f   a d m i t   a n d   v a l i d a t i n g . e r r o r _ t y p e :   i d e n t i f i e s   i f   a n   e r r o r   o c c u r r e d   d u r i n g   t h e   w e b h o o k   i n v o c a t i o n   t h a t   c a u s e d   t h e   r e j e c t i o n .   I t s   v a l u e   c a n   b e   o n e   o f : c a l l i n g _ w e b h o o k _ e r r o r :   u n r e c o g n i z e d   e r r o r s   o r   t i m e o u t   e r r o r s   f r o m   t h e   a d m i s s i o n   w e b h o o k   h a p p e n e d   a n d   t h e   w e b h o o k ' s   F a i l u r e   p o l i c y   i s   s e t   t o   F a i l . n o _ e r r o r :   n o   e r r o r   o c c u r r e d .   T h e   w e b h o o k   r e j e c t e d   t h e   r e q u e s t   w i t h   a l l o w e d :   f a l s e   i n   t h e   a d m i s s i o n   r e s p o n s e .   T h e   m e t r i c s   l a b e l   r e j e c t i o n _ c o d e   r e c o r d s   t h e   . s t a t u s . c o d e   s e t   i n   t h e   a d m i s s i o n   r e s p o n s e . a p i s e r v e r _ i n t e r n a l _ e r r o r :


Question: What is Best practices and warnings?

Answer: F o r   r e c o m m e n d a t i o n s   a n d   c o n s i d e r a t i o n s   w h e n   w r i t i n g   m u t a t i n g   a d m i s s i o n   w e b h o o k s ,   s e e   A d m i s s i o n   W e b h o o k s   G o o d   P r a c t i c e s .


Question: What is 3.10 - Managing Service Accounts?

Answer: A   S e r v i c e A c c o u n t   p r o v i d e s   a n   i d e n t i t y   f o r   p r o c e s s e s   t h a t   r u n   i n   a   P o d .   A   p r o c e s s   i n s i d e   a   P o d   c a n   u s e   t h e   i d e n t i t y   o f   i t s   a s s o c i a t e d   s e r v i c e   a c c o u n t   t o   a u t h e n t i c a t e   t o   t h e   c l u s t e r ' s   A P I   s e r v e r .   F o r   a n   i n t r o d u c t i o n   t o   s e r v i c e   a c c o u n t s ,   r e a d   c o n f i g u r e   s e r v i c e   a c c o u n t s .   T h i s   t a s k   g u i d e   e x p l a i n s   s o m e   o f   t h e   c o n c e p t s   b e h i n d   S e r v i c e A c c o u n t s .   T h e   g u i d e   a l s o   e x p l a i n s   h o w   t o   o b t a i n   o r   r e v o k e   t o k e n s   t h a t   r e p r e s e n t   S e r v i c e A c c o u n t s ,   a n d   h o w   t o   ( o p t i o n a l l y )   b i n d   a   S e r v i c e A c c o u n t ' s   v a l i d i t y   t o   t h e   l i f e t i m e   o f   a n   A P I   o b j e c t .


Question: What is Before you begin?

Answer: Y o u   n e e d   t o   h a v e   a   K u b e r n e t e s   c l u s t e r ,   a n d   t h e   k u b e c t l   c o m m a n d - l i n e   t o o l   m u s t   b e   c o n f i g u r e d   t o   c o m m u n i c a t e   w i t h   y o u r   c l u s t e r .   I t   i s   r e c o m m e n d e d   t o   r u n   t h i s   t u t o r i a l   o n   a   c l u s t e r   w i t h   a t   l e a s t   t w o   n o d e s   t h a t   a r e   n o t   a c t i n g   a s   c o n t r o l   p l a n e   h o s t s .   I f   y o u   d o   n o t   a l r e a d y   h a v e   a   c l u s t e r ,   y o u   c a n   c r e a t e   o n e   b y   u s i n g   m i n i k u b e   o r   y o u   c a n   u s e   o n e   o f   t h e s e   K u b e r n e t e s   p l a y g r o u n d s :   i x i m i u z   L a b s K i l l e r c o d a K o d e K l o u d P l a y   w i t h   K u b e r n e t e s   T o   b e   a b l e   t o   f o l l o w   t h e s e   s t e p s   e x a c t l y ,   e n s u r e   y o u   h a v e   a   n a m e s p a c e   n a m e d   e x a m p l e n s .   I f   y o u   d o n ' t ,   c r e a t e   o n e   b y   r u n n i n g :   k u b e c t l   c r e a t e   n a m e s p a c e   e x a m p l e n s


Question: What is User accounts versus service accounts?

Answer: K u b e r n e t e s   d i s t i n g u i s h e s   b e t w e e n   t h e   c o n c e p t   o f   a   u s e r   a c c o u n t   a n d   a   s e r v i c e   a c c o u n t   f o r   a   n u m b e r   o f   r e a s o n s :   U s e r   a c c o u n t s   a r e   f o r   h u m a n s .   S e r v i c e   a c c o u n t s   a r e   f o r   a p p l i c a t i o n   p r o c e s s e s ,   w h i c h   ( f o r   K u b e r n e t e s )   r u n   i n   c o n t a i n e r s   t h a t   a r e   p a r t   o f   p o d s . U s e r   a c c o u n t s   a r e   i n t e n d e d   t o   b e   g l o b a l :   n a m e s   m u s t   b e   u n i q u e   a c r o s s   a l l   n a m e s p a c e s   o f   a   c l u s t e r .   N o   m a t t e r   w h a t   n a m e s p a c e   y o u   l o o k   a t ,   a   p a r t i c u l a r   u s e r n a m e   t h a t   r e p r e s e n t s   a   u s e r   r e p r e s e n t s   t h e   s a m e   u s e r .   I n   K u b e r n e t e s ,   s e r v i c e   a c c o u n t s   a r e   n a m e s p a c e d :   t w o   d i f f e r e n t   n a m e s p a c e s   c a n   c o n t a i n   S e r v i c e A c c o u n t s   t h a t   h a v e   i d e n t i c a l   n a m e s . T y p i c a l l y ,   a   c l u s t e r ' s   u s e r   a c c o u n t s   m i g h t   b e   s y n c h r o n i s e d   f r o m   a   c o r p o r a t e   d a t a b a s e ,   w h e r e   n e w   u s e r   a c c o u n t   c r e a t i o n   r e q u i r e s   s p e c i a l   p r i v i l e g e s   a n d   i s   t i e d   t o   c o m p l e x   b u s i n e s s   p r o c e s s e s .   B y   c o n t r a s t ,   s e r v i c e   a c c o u n t   c r e a t i o n   i s   i n t e n d e d   t o   b e   m o r e   l i g h t w e i g h t ,   a l l o w i n g   c l u s t e r   u s e r s   t o   c r e a t e   s e r v i c e   a c c o u n t s   f o r   s p e c i f i c   t a s k s   o n   d e m a n d .   S e p a r a t i n g   S e r v i c e A c c o u n t   c r e a t i o n   f r o m   t h e   s t e p s   t o   o n b o a r d   h u m a n   u s e r s


Question: What is Bound service account tokens?

Answer: S e r v i c e A c c o u n t   t o k e n s   c a n   b e   b o u n d   t o   A P I   o b j e c t s   t h a t   e x i s t   i n   t h e   k u b e - a p i s e r v e r .   T h i s   c a n   b e   u s e d   t o   t i e   t h e   v a l i d i t y   o f   a   t o k e n   t o   t h e   e x i s t e n c e   o f   a n o t h e r   A P I   o b j e c t .   S u p p o r t e d   o b j e c t   t y p e s   a r e   a s   f o l l o w s :   P o d   ( u s e d   f o r   p r o j e c t e d   v o l u m e   m o u n t s ,   s e e   b e l o w ) S e c r e t   ( c a n   b e   u s e d   t o   a l l o w   r e v o k i n g   a   t o k e n   b y   d e l e t i n g   t h e   S e c r e t ) N o d e   ( c a n   b e   u s e d   t o   a u t o - r e v o k e   a   t o k e n   w h e n   i t s   N o d e   i s   d e l e t e d ;   c r e a t i n g   n e w   n o d e - b o u n d   t o k e n s   i s   G A   i n   v 1 . 3 3 + )   W h e n   a   t o k e n   i s   b o u n d   t o   a n   o b j e c t ,   t h e   o b j e c t ' s   m e t a d a t a . n a m e   a n d   m e t a d a t a . u i d   a r e   s t o r e d   a s   e x t r a   ' p r i v a t e   c l a i m s '   i n   t h e   i s s u e d   J W T .   W h e n   a   b o u n d   t o k e n   i s   p r e s e n t e d   t o   t h e   k u b e - a p i s e r v e r ,   t h e   s e r v i c e   a c c o u n t   a u t h e n t i c a t o r   w i l l   e x t r a c t   a n d   v e r i f y   t h e s e   c l a i m s .   I f   t h e   r e f e r e n c e d   o b j e c t   o r   t h e   S e r v i c e A c c o u n t   i s   p e n d i n g   d e l e t i o n   ( f o r   e x a m p l e ,   d u e   t o   f i n a l i z e r s ) ,   t h e n   f o r   a n y   i n s t a n t   t h a t   i s   6 0   s e c o n d s   ( o r   m o r e )   a f t e r   t h e   . m e t a d a t a . d e l e t i o n T i m e s t a m p   d a t e ,   a u t h e n t i c a t i o n   w i t h   t h a t   t o k e n   w o u l d   f a i l .   I f   t h e   r e f e r e n c e d   o b j e c t   n o   l o n g e r   e x i s t s   ( o r   i t s   m e t a d


Question: What is Additional metadata in Pod bound tokens?

Answer: W h e n   a   s e r v i c e   a c c o u n t   t o k e n   i s   b o u n d   t o   a   P o d   o b j e c t ,   a d d i t i o n a l   m e t a d a t a   i s   a l s o   e m b e d d e d   i n t o   t h e   t o k e n   t h a t   i n d i c a t e s   t h e   v a l u e   o f   t h e   b o u n d   p o d ' s   s p e c . n o d e N a m e   f i e l d ,   a n d   t h e   u i d   o f   t h a t   N o d e ,   i f   a v a i l a b l e .   T h i s   n o d e   i n f o r m a t i o n   i s   n o t   v e r i f i e d   b y   t h e   k u b e - a p i s e r v e r   w h e n   t h e   t o k e n   i s   u s e d   f o r   a u t h e n t i c a t i o n .   I t   i s   i n c l u d e d   s o   i n t e g r a t o r s   d o   n o t   h a v e   t o   f e t c h   P o d   o r   N o d e   A P I   o b j e c t s   t o   c h e c k   t h e   a s s o c i a t e d   N o d e   n a m e   a n d   u i d   w h e n   i n s p e c t i n g   a   J W T .


Question: What is Verifying and inspecting private claims?

Answer: T h e   T o k e n R e v i e w   A P I   c a n   b e   u s e d   t o   v e r i f y   a n d   e x t r a c t   p r i v a t e   c l a i m s   f r o m   a   t o k e n :   F i r s t ,   a s s u m e   y o u   h a v e   a   p o d   n a m e d   t e s t - p o d   a n d   a   s e r v i c e   a c c o u n t   n a m e d   m y - s a . C r e a t e   a   t o k e n   t h a t   i s   b o u n d   t o   t h i s   P o d : k u b e c t l   c r e a t e   t o k e n   m y - s a   - - b o u n d - o b j e c t - k i n d = " P o d "   - - b o u n d - o b j e c t - n a m e = " t e s t - p o d "   C o p y   t h i s   t o k e n   i n t o   a   n e w   f i l e   n a m e d   t o k e n r e v i e w . y a m l : a p i V e r s i o n :   a u t h e n t i c a t i o n . k 8 s . i o / v 1   k i n d :   T o k e n R e v i e w   s p e c :   t o k e n :   < t o k e n   f r o m   s t e p   2 >   S u b m i t   t h i s   r e s o u r c e   t o   t h e   a p i s e r v e r   f o r   r e v i e w : #   u s e   ' - o   y a m l '   t o   i n s p e c t   t h e   o u t p u t   k u b e c t l   c r e a t e   - o   y a m l   - f   t o k e n r e v i e w . y a m l   Y o u   s h o u l d   s e e   a n   o u t p u t   l i k e   b e l o w : a p i V e r s i o n :   a u t h e n t i c a t i o n . k 8 s . i o / v 1   k i n d :   T o k e n R e v i e w   m e t a d a t a :   c r e a t i o n T i m e s t a m p :   n u l l   s p e c :   t o k e n :   < t o k e n >   s t a t u s :   a u d i e n c e s :   -   h t t p s : / / k u b e r n e t e s . d e f a u l t . s v c . c l u s t e r . l o c a l   a u t h e n t i c a t e d :   t r u e   u s e r :   e x t r a :   a u t h e n t i c a t i o n . k u b e r n e t e s . i o / c r e d e n t i a l - i d :   -   J T I = 7 e e 5 2 b e 0 - 9 0 4 5 - 4 6 5 3 - a a 5 e - 0 d a 5 7 b 8 d c c d c   a u t h e n t i c a t i o n . k u b e r n e t e s . i o / n o d e - n a m e :   -   k i n d - c o n t r o l - p l a n e   a u t h e n t i c a t i o n . k u b e r n e t e s . i o / n o d e - u i d :   -   4 9 7 e 9 d 9


Question: What is Schema for service account private claims?

Answer: T h e   s c h e m a   f o r   t h e   K u b e r n e t e s - s p e c i f i c   c l a i m s   w i t h i n   J W T   t o k e n s   i s   n o t   c u r r e n t l y   d o c u m e n t e d ,   h o w e v e r   t h e   r e l e v a n t   c o d e   a r e a   c a n   b e   f o u n d   i n   t h e   s e r v i c e a c c o u n t   p a c k a g e   i n   t h e   K u b e r n e t e s   c o d e b a s e .   Y o u   c a n   i n s p e c t   a   J W T   u s i n g   s t a n d a r d   J W T   d e c o d i n g   t o o l .   B e l o w   i s   a n   e x a m p l e   o f   a   J W T   f o r   t h e   m y - s e r v i c e a c c o u n t   S e r v i c e A c c o u n t ,   b o u n d   t o   a   P o d   o b j e c t   n a m e d   m y - p o d   w h i c h   i s   s c h e d u l e d   t o   t h e   N o d e   m y - n o d e ,   i n   t h e   m y - n a m e s p a c e   n a m e s p a c e :   {   " a u d " :   [   " h t t p s : / / m y - a u d i e n c e . e x a m p l e . c o m "   ] ,   " e x p " :   1 7 2 9 6 0 5 2 4 0 ,   " i a t " :   1 7 2 9 6 0 1 6 4 0 ,   " i s s " :   " h t t p s : / / m y - c l u s t e r . e x a m p l e . c o m " ,   " j t i " :   " a e d 3 4 9 5 4 - b 3 3 a - 4 1 4 2 - b 1 e c - 3 8 9 d 6 b b b 4 9 3 6 " ,   " k u b e r n e t e s . i o " :   {   " n a m e s p a c e " :   " m y - n a m e s p a c e " ,   " n o d e " :   {   " n a m e " :   " m y - n o d e " ,   " u i d " :   " 6 4 6 e 7 c 5 e - 3 2 d 6 - 4 d 4 2 - 9 d b d - e 5 0 4 e 6 c b e 6 b 1 "   } ,   " p o d " :   {   " n a m e " :   " m y - p o d " ,   " u i d " :   " 5 e 0 b d 4 9 b - f 0 4 0 - 4 3 b 0 - 9 9 b 7 - 2 2 7 6 5 a 5 3 f 7 f 3 "   } ,   " s e r v i c e a c c o u n t " :   {   " n a m e " :   " m y - s e r v i c e a c c o u n t " ,   " u i d " :   " 1 4 e e 3 f a 4 - a 7 e 2 - 4 2 0 f - 9 f 9 a - d b c 4 5 0 7 c 3 7 9 8 "   }   } ,   " n b f " :   1 7 2 9 6 0 1 6 4 0 ,   " s u b " :   " s y s t e m : s e r v i c e a c c o u n t : m y - n a m e s p a c e : m y - s e r v i c e a c c o u n t "   }


Question: What is Note:?

Answer: T h e   a u d   a n d   i s s   f i e l d s   i n   t h i s   J W T   m a y   d i f f e r   b e t w e e n   d i f f e r e n t   K u b e r n e t e s   c l u s t e r s   d e p e n d i n g   o n   y o u r   c o n f i g u r a t i o n .   T h e   p r e s e n c e   o f   b o t h   t h e   p o d   a n d   n o d e   c l a i m   i m p l i e s   t h a t   t h i s   t o k e n   i s   b o u n d   t o   a   P o d   o b j e c t .   W h e n   v e r i f y i n g   P o d   b o u n d   S e r v i c e A c c o u n t   t o k e n s ,   t h e   A P I   s e r v e r   d o e s   n o t   v e r i f y   t h e   e x i s t e n c e   o f   t h e   r e f e r e n c e d   N o d e   o b j e c t .   S e r v i c e s   t h a t   r u n   o u t s i d e   o f   K u b e r n e t e s   a n d   w a n t   t o   p e r f o r m   o f f l i n e   v a l i d a t i o n   o f   J W T s   m a y   u s e   t h i s   s c h e m a ,   a l o n g   w i t h   a   c o m p l i a n t   J W T   v a l i d a t o r   c o n f i g u r e d   w i t h   O p e n I D   D i s c o v e r y   i n f o r m a t i o n   f r o m   t h e   A P I   s e r v e r ,   t o   v e r i f y   p r e s e n t e d   J W T s   w i t h o u t   r e q u i r i n g   u s e   o f   t h e   T o k e n R e v i e w   A P I .   S e r v i c e s   t h a t   v e r i f y   J W T s   i n   t h i s   w a y   d o   n o t   v e r i f y   t h e   c l a i m s   e m b e d d e d   i n   t h e   J W T   t o k e n   t o   b e   c u r r e n t   a n d   s t i l l   v a l i d .   T h i s   m e a n s   i f   t h e   t o k e n   i s   b o u n d   t o   a n   o b j e c t ,   a n d   t h a t   o b j e c t   n o   l o n g e r   e x i s t s ,   t h e   t o k e n   w i l l   s t i l l   b e   c o n s i d e r e d   v a l i d   ( u n t i l   t h e   c o n f i g u r e d   t o k e n   e x p i r e s ) .   C l i e n t s   t h a t   r e q u i r e   a s s u r a n c e   t h a t   a   t o k e n ' s   b o u n d   c l a i m s   a r e   s t i l l   v a l i d   M U S T   u s e   t h e   T o k e n R e v i e w   A P I


Question: What is Bound service account token volume mechanism?

Answer: B y   d e f a u l t ,   t h e   K u b e r n e t e s   c o n t r o l   p l a n e   ( s p e c i f i c a l l y ,   t h e   S e r v i c e A c c o u n t   a d m i s s i o n   c o n t r o l l e r )   a d d s   a   p r o j e c t e d   v o l u m e   t o   P o d s ,   a n d   t h i s   v o l u m e   i n c l u d e s   a   t o k e n   f o r   K u b e r n e t e s   A P I   a c c e s s .   H e r e ' s   a n   e x a m p l e   o f   h o w   t h a t   l o o k s   f o r   a   l a u n c h e d   P o d :   . . .   -   n a m e :   k u b e - a p i - a c c e s s - < r a n d o m - s u f f i x >   p r o j e c t e d :   s o u r c e s :   -   s e r v i c e A c c o u n t T o k e n :   p a t h :   t o k e n   #   m u s t   m a t c h   t h e   p a t h   t h e   a p p   e x p e c t s   -   c o n f i g M a p :   i t e m s :   -   k e y :   c a . c r t   p a t h :   c a . c r t   n a m e :   k u b e - r o o t - c a . c r t   -   d o w n w a r d A P I :   i t e m s :   -   f i e l d R e f :   a p i V e r s i o n :   v 1   f i e l d P a t h :   m e t a d a t a . n a m e s p a c e   p a t h :   n a m e s p a c e   T h a t   m a n i f e s t   s n i p p e t   d e f i n e s   a   p r o j e c t e d   v o l u m e   t h a t   c o n s i s t s   o f   t h r e e   s o u r c e s .   I n   t h i s   c a s e ,   e a c h   s o u r c e   a l s o   r e p r e s e n t s   a   s i n g l e   p a t h   w i t h i n   t h a t   v o l u m e .   T h e   t h r e e   s o u r c e s   a r e :   A   s e r v i c e A c c o u n t T o k e n   s o u r c e ,   t h a t   c o n t a i n s   a   t o k e n   t h a t   t h e   k u b e l e t   a c q u i r e s   f r o m   k u b e - a p i s e r v e r .   T h e   k u b e l e t   f e t c h e s   t i m e - b o u n d   t o k e n s   u s i n g   t h e   T o k e n R e q u e s t   A P I .   A   t o k e n   s e r v e d   f o r   a   T o k e n R e q u e s t   e x p i r e s   e i t h e r   w h e n   t h e   p o d   i s   d e l e t e d   o r   a f t e r   a   d e f i n e d   l i f e s p a n   ( b y   d e


Question: What is Manual Secret management for ServiceAccounts?

Answer: V e r s i o n s   o f   K u b e r n e t e s   b e f o r e   v 1 . 2 2   a u t o m a t i c a l l y   c r e a t e d   c r e d e n t i a l s   f o r   a c c e s s i n g   t h e   K u b e r n e t e s   A P I .   T h i s   o l d e r   m e c h a n i s m   w a s   b a s e d   o n   c r e a t i n g   t o k e n   S e c r e t s   t h a t   c o u l d   t h e n   b e   m o u n t e d   i n t o   r u n n i n g   P o d s .   I n   m o r e   r e c e n t   v e r s i o n s ,   i n c l u d i n g   K u b e r n e t e s   v 1 . 3 4 ,   A P I   c r e d e n t i a l s   a r e   o b t a i n e d   d i r e c t l y   u s i n g   t h e   T o k e n R e q u e s t   A P I ,   a n d   a r e   m o u n t e d   i n t o   P o d s   u s i n g   a   p r o j e c t e d   v o l u m e .   T h e   t o k e n s   o b t a i n e d   u s i n g   t h i s   m e t h o d   h a v e   b o u n d e d   l i f e t i m e s ,   a n d   a r e   a u t o m a t i c a l l y   i n v a l i d a t e d   w h e n   t h e   P o d   t h e y   a r e   m o u n t e d   i n t o   i s   d e l e t e d .   Y o u   c a n   s t i l l   m a n u a l l y   c r e a t e   a   S e c r e t   t o   h o l d   a   s e r v i c e   a c c o u n t   t o k e n ;   f o r   e x a m p l e ,   i f   y o u   n e e d   a   t o k e n   t h a t   n e v e r   e x p i r e s .   O n c e   y o u   m a n u a l l y   c r e a t e   a   S e c r e t   a n d   l i n k   i t   t o   a   S e r v i c e A c c o u n t ,   t h e   K u b e r n e t e s   c o n t r o l   p l a n e   a u t o m a t i c a l l y   p o p u l a t e s   t h e   t o k e n   i n t o   t h a t   S e c r e t .


Question: What is Auto-generated legacy ServiceAccount token clean up?

Answer: B e f o r e   v e r s i o n   1 . 2 4 ,   K u b e r n e t e s   a u t o m a t i c a l l y   g e n e r a t e d   S e c r e t - b a s e d   t o k e n s   f o r   S e r v i c e A c c o u n t s .   T o   d i s t i n g u i s h   b e t w e e n   a u t o m a t i c a l l y   g e n e r a t e d   t o k e n s   a n d   m a n u a l l y   c r e a t e d   o n e s ,   K u b e r n e t e s   c h e c k s   f o r   a   r e f e r e n c e   f r o m   t h e   S e r v i c e A c c o u n t ' s   s e c r e t s   f i e l d .   I f   t h e   S e c r e t   i s   r e f e r e n c e d   i n   t h e   s e c r e t s   f i e l d ,   i t   i s   c o n s i d e r e d   a n   a u t o - g e n e r a t e d   l e g a c y   t o k e n .   O t h e r w i s e ,   i t   i s   c o n s i d e r e d   a   m a n u a l l y   c r e a t e d   l e g a c y   t o k e n .   F o r   e x a m p l e :   a p i V e r s i o n :   v 1   k i n d :   S e r v i c e A c c o u n t   m e t a d a t a :   n a m e :   b u i l d - r o b o t   n a m e s p a c e :   d e f a u l t   s e c r e t s :   -   n a m e :   b u i l d - r o b o t - s e c r e t   #   u s u a l l y   N O T   p r e s e n t   f o r   a   m a n u a l l y   g e n e r a t e d   t o k e n   B e g i n n i n g   f r o m   v e r s i o n   1 . 2 9 ,   l e g a c y   S e r v i c e A c c o u n t   t o k e n s   t h a t   w e r e   g e n e r a t e d   a u t o m a t i c a l l y   w i l l   b e   m a r k e d   a s   i n v a l i d   i f   t h e y   r e m a i n   u n u s e d   f o r   a   c e r t a i n   p e r i o d   o f   t i m e   ( s e t   t o   d e f a u l t   a t   o n e   y e a r ) .   T o k e n s   t h a t   c o n t i n u e   t o   b e   u n u s e d   f o r   t h i s   d e f i n e d   p e r i o d   ( a g a i n ,   b y   d e f a u l t ,   o n e   y e a r )   w i l l   s u b s e q u e n t l y   b e   p u r g e d   b y   t h e   c o n t r o l   p l a n e .   I f   u s e r s   u s e   a n   i n v a l i d a t e d   a u t o - g e n e r a t e d   t o k e n ,   t h e   t o k e n   v a l i d


Question: What is ServiceAccount controller?

Answer: A   S e r v i c e A c c o u n t   c o n t r o l l e r   m a n a g e s   t h e   S e r v i c e A c c o u n t s   i n s i d e   n a m e s p a c e s ,   a n d   e n s u r e s   a   S e r v i c e A c c o u n t   n a m e d   " d e f a u l t "   e x i s t s   i n   e v e r y   a c t i v e   n a m e s p a c e .


Question: What is Token controller?

Answer: T h e   s e r v i c e   a c c o u n t   t o k e n   c o n t r o l l e r   r u n s   a s   p a r t   o f   k u b e - c o n t r o l l e r - m a n a g e r .   T h i s   c o n t r o l l e r   a c t s   a s y n c h r o n o u s l y .   I t :   w a t c h e s   f o r   S e r v i c e A c c o u n t   d e l e t i o n   a n d   d e l e t e s   a l l   c o r r e s p o n d i n g   S e r v i c e A c c o u n t   t o k e n   S e c r e t s . w a t c h e s   f o r   S e r v i c e A c c o u n t   t o k e n   S e c r e t   a d d i t i o n ,   a n d   e n s u r e s   t h e   r e f e r e n c e d   S e r v i c e A c c o u n t   e x i s t s ,   a n d   a d d s   a   t o k e n   t o   t h e   S e c r e t   i f   n e e d e d . w a t c h e s   f o r   S e c r e t   d e l e t i o n   a n d   r e m o v e s   a   r e f e r e n c e   f r o m   t h e   c o r r e s p o n d i n g   S e r v i c e A c c o u n t   i f   n e e d e d .   Y o u   m u s t   p a s s   a   s e r v i c e   a c c o u n t   p r i v a t e   k e y   f i l e   t o   t h e   t o k e n   c o n t r o l l e r   i n   t h e   k u b e - c o n t r o l l e r - m a n a g e r   u s i n g   t h e   - - s e r v i c e - a c c o u n t - p r i v a t e - k e y - f i l e   f l a g .   T h e   p r i v a t e   k e y   i s   u s e d   t o   s i g n   g e n e r a t e d   s e r v i c e   a c c o u n t   t o k e n s .   S i m i l a r l y ,   y o u   m u s t   p a s s   t h e   c o r r e s p o n d i n g   p u b l i c   k e y   t o   t h e   k u b e - a p i s e r v e r   u s i n g   t h e   - - s e r v i c e - a c c o u n t - k e y - f i l e   f l a g .   T h e   p u b l i c   k e y   w i l l   b e   u s e d   t o   v e r i f y   t h e   t o k e n s   d u r i n g   a u t h e n t i c a t i o n .   A n   a l t e r n a t e   s e t u p   t o   s e t t i n g   - - s e r v i c e - a c c o u n t - p r i v a t e - k e y - f i l e   a n d   - - s e r v i c e - a c c o u n t - k e y - f i l e   f l a g s   i s   t o   c o n f i g u r e   a n   e x t e r n a l   J W


Question: What is ServiceAccount admission controller?

Answer: T h e   m o d i f i c a t i o n   o f   p o d s   i s   i m p l e m e n t e d   v i a   a   p l u g i n   c a l l e d   a n   A d m i s s i o n   C o n t r o l l e r .   I t   i s   p a r t   o f   t h e   A P I   s e r v e r .   T h i s   a d m i s s i o n   c o n t r o l l e r   a c t s   s y n c h r o n o u s l y   t o   m o d i f y   p o d s   a s   t h e y   a r e   c r e a t e d .   W h e n   t h i s   p l u g i n   i s   a c t i v e   ( a n d   i t   i s   b y   d e f a u l t   o n   m o s t   d i s t r i b u t i o n s ) ,   t h e n   i t   d o e s   t h e   f o l l o w i n g   w h e n   a   P o d   i s   c r e a t e d :   I f   t h e   p o d   d o e s   n o t   h a v e   a   . s p e c . s e r v i c e A c c o u n t N a m e   s e t ,   t h e   a d m i s s i o n   c o n t r o l l e r   s e t s   t h e   n a m e   o f   t h e   S e r v i c e A c c o u n t   f o r   t h i s   i n c o m i n g   P o d   t o   d e f a u l t . T h e   a d m i s s i o n   c o n t r o l l e r   e n s u r e s   t h a t   t h e   S e r v i c e A c c o u n t   r e f e r e n c e d   b y   t h e   i n c o m i n g   P o d   e x i s t s .   I f   t h e r e   i s   n o   S e r v i c e A c c o u n t   w i t h   a   m a t c h i n g   n a m e ,   t h e   a d m i s s i o n   c o n t r o l l e r   r e j e c t s   t h e   i n c o m i n g   P o d .   T h a t   c h e c k   a p p l i e s   e v e n   f o r   t h e   d e f a u l t   S e r v i c e A c c o u n t . P r o v i d e d   t h a t   n e i t h e r   t h e   S e r v i c e A c c o u n t ' s   a u t o m o u n t S e r v i c e A c c o u n t T o k e n   f i e l d   n o r   t h e   P o d ' s   a u t o m o u n t S e r v i c e A c c o u n t T o k e n   f i e l d   i s   s e t   t o   f a l s e : t h e   a d m i s s i o n   c o n t r o l l e r   m u t a t e s   t h e   i n c o m i n g   P o d ,   a d d i n g   a n   e x t r a   v o l u m e   t h a t   c o n t a i n s   a   t o k e n   f o r   A P I   a c c e s s . t h e   a d m i s s i o n   c o n t r o l l


Question: What is Legacy ServiceAccount token tracking controller?

Answer: T h i s   c o n t r o l l e r   g e n e r a t e s   a   C o n f i g M a p   c a l l e d   k u b e - s y s t e m / k u b e - a p i s e r v e r - l e g a c y - s e r v i c e - a c c o u n t - t o k e n - t r a c k i n g   i n   t h e   k u b e - s y s t e m   n a m e s p a c e .   T h e   C o n f i g M a p   r e c o r d s   t h e   t i m e s t a m p   w h e n   l e g a c y   s e r v i c e   a c c o u n t   t o k e n s   b e g a n   t o   b e   m o n i t o r e d   b y   t h e   s y s t e m .


Question: What is Legacy ServiceAccount token cleaner?

Answer: T h e   l e g a c y   S e r v i c e A c c o u n t   t o k e n   c l e a n e r   r u n s   a s   p a r t   o f   t h e   k u b e - c o n t r o l l e r - m a n a g e r   a n d   c h e c k s   e v e r y   2 4   h o u r s   t o   s e e   i f   a n y   a u t o - g e n e r a t e d   l e g a c y   S e r v i c e A c c o u n t   t o k e n   h a s   n o t   b e e n   u s e d   i n   a   s p e c i f i e d   a m o u n t   o f   t i m e .   I f   s o ,   t h e   c l e a n e r   m a r k s   t h o s e   t o k e n s   a s   i n v a l i d .   T h e   c l e a n e r   w o r k s   b y   f i r s t   c h e c k i n g   t h e   C o n f i g M a p   c r e a t e d   b y   t h e   c o n t r o l   p l a n e   ( p r o v i d e d   t h a t   L e g a c y S e r v i c e A c c o u n t T o k e n T r a c k i n g   i s   e n a b l e d ) .   I f   t h e   c u r r e n t   t i m e   i s   a   s p e c i f i e d   a m o u n t   o f   t i m e   a f t e r   t h e   d a t e   i n   t h e   C o n f i g M a p ,   t h e   c l e a n e r   t h e n   l o o p s   t h r o u g h   t h e   l i s t   o f   S e c r e t s   i n   t h e   c l u s t e r   a n d   e v a l u a t e s   e a c h   S e c r e t   t h a t   h a s   t h e   t y p e   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t - t o k e n .   I f   a   S e c r e t   m e e t s   a l l   o f   t h e   f o l l o w i n g   c o n d i t i o n s ,   t h e   c l e a n e r   m a r k s   i t   a s   i n v a l i d :   T h e   S e c r e t   i s   a u t o - g e n e r a t e d ,   m e a n i n g   t h a t   i t   i s   b i - d i r e c t i o n a l l y   r e f e r e n c e d   b y   a   S e r v i c e A c c o u n t . T h e   S e c r e t   i s   n o t   c u r r e n t l y   m o u n t e d   b y   a n y   p o d s . T h e   S e c r e t   h a s   n o t   b e e n   u s e d   i n   a   s p e c i f i e d   a m o u n t   o f   t i m e   s i n c e   i t   w a s   c r e a t e d   o r   s i n c e   i t   w a s   l a s t   u s e d .   T h e   c l e a n e r   m a r k s   a   S e c r e t


Question: What is TokenRequest API?

Answer: Y o u   u s e   t h e   T o k e n R e q u e s t   s u b r e s o u r c e   o f   a   S e r v i c e A c c o u n t   t o   o b t a i n   a   t i m e - b o u n d   t o k e n   f o r   t h a t   S e r v i c e A c c o u n t .   Y o u   d o n ' t   n e e d   t o   c a l l   t h i s   t o   o b t a i n   a n   A P I   t o k e n   f o r   u s e   w i t h i n   a   c o n t a i n e r ,   s i n c e   t h e   k u b e l e t   s e t s   t h i s   u p   f o r   y o u   u s i n g   a   p r o j e c t e d   v o l u m e .   I f   y o u   w a n t   t o   u s e   t h e   T o k e n R e q u e s t   A P I   f r o m   k u b e c t l ,   s e e   M a n u a l l y   c r e a t e   a n   A P I   t o k e n   f o r   a   S e r v i c e A c c o u n t .   T h e   K u b e r n e t e s   c o n t r o l   p l a n e   ( s p e c i f i c a l l y ,   t h e   S e r v i c e A c c o u n t   a d m i s s i o n   c o n t r o l l e r )   a d d s   a   p r o j e c t e d   v o l u m e   t o   P o d s ,   a n d   t h e   k u b e l e t   e n s u r e s   t h a t   t h i s   v o l u m e   c o n t a i n s   a   t o k e n   t h a t   l e t s   c o n t a i n e r s   a u t h e n t i c a t e   a s   t h e   r i g h t   S e r v i c e A c c o u n t .   ( T h i s   m e c h a n i s m   s u p e r s e d e d   a n   e a r l i e r   m e c h a n i s m   t h a t   a d d e d   a   v o l u m e   b a s e d   o n   a   S e c r e t ,   w h e r e   t h e   S e c r e t   r e p r e s e n t e d   t h e   S e r v i c e A c c o u n t   f o r   t h e   P o d   b u t   d i d   n o t   e x p i r e . )   H e r e ' s   a n   e x a m p l e   o f   h o w   t h a t   l o o k s   f o r   a   l a u n c h e d   P o d :   . . .   -   n a m e :   k u b e - a p i - a c c e s s - < r a n d o m - s u f f i x >   p r o j e c t e d :   d e f a u l t M o d e :   4 2 0   #   d e c i m a l   e q u i v a l e n t   o f   o c t a l   0 6 4 4   s o u r c e s :   -   s e r v i c e A c c o u n t T o k e n :   e x p i r a t i o n S e c o n d s :   3 6 0 7   p a t h :   t o k e


Question: What is Caution:?

Answer: T o   c r e a t e   a   n o n - e x p i r i n g ,   p e r s i s t e d   A P I   t o k e n   f o r   a   S e r v i c e A c c o u n t ,   c r e a t e   a   S e c r e t   o f   t y p e   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t - t o k e n   w i t h   a n   a n n o t a t i o n   r e f e r e n c i n g   t h e   S e r v i c e A c c o u n t .   T h e   c o n t r o l   p l a n e   t h e n   g e n e r a t e s   a   l o n g - l i v e d   t o k e n   a n d   u p d a t e s   t h a t   S e c r e t   w i t h   t h a t   g e n e r a t e d   t o k e n   d a t a .   H e r e   i s   a   s a m p l e   m a n i f e s t   f o r   s u c h   a   S e c r e t :   a p i V e r s i o n :   v 1   k i n d :   S e c r e t   t y p e :   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t - t o k e n   m e t a d a t a :   n a m e :   m y s e c r e t n a m e   a n n o t a t i o n s :   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t . n a m e :   m y s e r v i c e a c c o u n t   T o   c r e a t e   a   S e c r e t   b a s e d   o n   t h i s   e x a m p l e ,   r u n :   k u b e c t l   - n   e x a m p l e n s   c r e a t e   - f   h t t p s : / / k 8 s . i o / e x a m p l e s / s e c r e t / s e r v i c e a c c o u n t / m y s e c r e t n a m e . y a m l   T o   s e e   t h e   d e t a i l s   f o r   t h a t   S e c r e t ,   r u n :   k u b e c t l   - n   e x a m p l e n s   d e s c r i b e   s e c r e t   m y s e c r e t n a m e   T h e   o u t p u t   i s   s i m i l a r   t o :   N a m e :   m y s e c r e t n a m e   N a m e s p a c e :   e x a m p l e n s   L a b e l s :   < n o n e >   A n n o t a t i o n s :   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t . n a m e = m y s e r v i c e a c c o u n t   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t . u i d = 8 a 8 5 c 4 c 4 - 8 4 8 3 - 1 1 e 9 - b c 4 2 - 5 2 6 a f 7 7 6 4 f 6 4   T y p e :   k u b e r n e t e s . i o / s e r v i c e - a c c o u n t - t o k e n   D a t a   = = = =   c


Question: What is Delete/invalidate a long-lived/legacy ServiceAccount token?

Answer: I f   y o u   k n o w   t h e   n a m e   o f   t h e   S e c r e t   t h a t   c o n t a i n s   t h e   t o k e n   y o u   w a n t   t o   r e m o v e :   k u b e c t l   d e l e t e   s e c r e t   n a m e - o f - s e c r e t   O t h e r w i s e ,   f i r s t   f i n d   t h e   S e c r e t   f o r   t h e   S e r v i c e A c c o u n t .   #   T h i s   a s s u m e s   t h a t   y o u   a l r e a d y   h a v e   a   n a m e s p a c e   n a m e d   ' e x a m p l e n s '   k u b e c t l   - n   e x a m p l e n s   g e t   s e r v i c e a c c o u n t / e x a m p l e - a u t o m a t e d - t h i n g   - o   y a m l   T h e   o u t p u t   i s   s i m i l a r   t o :   a p i V e r s i o n :   v 1   k i n d :   S e r v i c e A c c o u n t   m e t a d a t a :   a n n o t a t i o n s :   k u b e c t l . k u b e r n e t e s . i o / l a s t - a p p l i e d - c o n f i g u r a t i o n :   |   { " a p i V e r s i o n " : " v 1 " , " k i n d " : " S e r v i c e A c c o u n t " , " m e t a d a t a " : { " a n n o t a t i o n s " : { } , " n a m e " : " e x a m p l e - a u t o m a t e d - t h i n g " , " n a m e s p a c e " : " e x a m p l e n s " } }   c r e a t i o n T i m e s t a m p :   " 2 0 1 9 - 0 7 - 2 1 T 0 7 : 0 7 : 0 7 Z "   n a m e :   e x a m p l e - a u t o m a t e d - t h i n g   n a m e s p a c e :   e x a m p l e n s   r e s o u r c e V e r s i o n :   " 7 7 7 "   s e l f L i n k :   / a p i / v 1 / n a m e s p a c e s / e x a m p l e n s / s e r v i c e a c c o u n t s / e x a m p l e - a u t o m a t e d - t h i n g   u i d :   f 2 3 f d 1 7 0 - 6 6 f 2 - 4 6 9 7 - b 0 4 9 - e 1 e 2 6 6 b 7 f 8 3 5   s e c r e t s :   -   n a m e :   e x a m p l e - a u t o m a t e d - t h i n g - t o k e n - z y x w v   T h e n ,   d e l e t e   t h e   S e c r e t   y o u   n o w   k n o w   t h e   n a m e   o f :   k u b e c t l   - n   e x a m p l e n s   d e l e t e   s e c r e t / e x a m p l e - a u t o m a t e d - t h i n g - t o k e n - z y x w v


Question: What is Delete/invalidate a short-lived ServiceAccount token?

Answer: S h o r t   l i v e d   S e r v i c e A c c o u n t   t o k e n s   a u t o m a t i c a l l y   e x p i r e   a f t e r   t h e   t i m e - l i m i t   s p e c i f i e d   d u r i n g   t h e i r   c r e a t i o n .   T h e r e   i s   n o   c e n t r a l   r e c o r d   o f   t o k e n s   i s s u e d ,   s o   t h e r e   i s   n o   w a y   t o   r e v o k e   i n d i v i d u a l   t o k e n s .   I f   y o u   h a v e   t o   r e v o k e   a   s h o r t - l i v e d   t o k e n   b e f o r e   i t s   e x p i r a t i o n ,   y o u   c a n   d e l e t e   a n d   r e - c r e a t e   t h e   S e r v i c e A c c o u n t   i t   i s   a s s o c i a t e d   t o .   T h i s   w i l l   c h a n g e   i t s   U I D   a n d   h e n c e   i n v a l i d a t e   a l l   S e r v i c e A c c o u n t   t o k e n s   t h a t   w e r e   c r e a t e d   f o r   i t .


Question: What is External ServiceAccount token signing and key management?

Answer: T h e   k u b e - a p i s e r v e r   c a n   b e   c o n f i g u r e d   t o   u s e   e x t e r n a l   s i g n e r   f o r   t o k e n   s i g n i n g   a n d   t o k e n   v e r i f y i n g   k e y   m a n a g e m e n t .   T h i s   f e a t u r e   e n a b l e s   k u b e r n e t e s   d i s t r i b u t i o n s   t o   i n t e g r a t e   w i t h   k e y   m a n a g e m e n t   s o l u t i o n s   o f   t h e i r   c h o i c e   ( f o r   e x a m p l e ,   H S M s ,   c l o u d   K M S e s )   f o r   s e r v i c e   a c c o u n t   c r e d e n t i a l   s i g n i n g   a n d   v e r i f i c a t i o n .   T o   c o n f i g u r e   k u b e - a p i s e r v e r   t o   u s e   e x t e r n a l - j w t - s i g n e r   s e t   t h e   - - s e r v i c e - a c c o u n t - s i g n i n g - e n d p o i n t   f l a g   t o   t h e   l o c a t i o n   o f   a   U n i x   d o m a i n   s o c k e t   ( U D S )   o n   a   f i l e s y s t e m ,   o r   b e   p r e f i x e d   w i t h   a n   @   s y m b o l   a n d   n a m e   a   U D S   i n   t h e   a b s t r a c t   s o c k e t   n a m e s p a c e .   A t   t h e   c o n f i g u r e d   U D S   s h a l l   b e   a n   R P C   s e r v e r   w h i c h   i m p l e m e n t s   a n   E x t e r n a l J W T S i g n e r   g R P C   s e r v i c e .   T h e   e x t e r n a l - j w t - s i g n e r   m u s t   b e   h e a l t h y   a n d   b e   r e a d y   t o   s e r v e   s u p p o r t e d   s e r v i c e   a c c o u n t   k e y s   f o r   t h e   k u b e - a p i s e r v e r   t o   s t a r t .


Question: What is Note:?

Answer: A n   e x t e r n a l   s i g n e r   p r o v i d e s   a   v 1 . E x t e r n a l J W T S i g n e r   g R P C   s e r v i c e   t h a t   i m p l e m e n t s   3   m e t h o d s :


Question: What is Metadata?

Answer: M e t a d a t a   i s   m e a n t   t o   b e   c a l l e d   o n c e   b y   k u b e - a p i s e r v e r   o n   s t a r t u p .   T h i s   e n a b l e s   t h e   e x t e r n a l   s i g n e r   t o   s h a r e   m e t a d a t a   w i t h   k u b e - a p i s e r v e r ,   l i k e   t h e   m a x   t o k e n   l i f e t i m e   t h a t   s i g n e r   s u p p o r t s .   r p c   M e t a d a t a ( M e t a d a t a R e q u e s t )   r e t u r n s   ( M e t a d a t a R e s p o n s e )   { }   m e s s a g e   M e t a d a t a R e q u e s t   { }   m e s s a g e   M e t a d a t a R e s p o n s e   {   / /   u s e d   b y   k u b e - a p i s e r v e r   f o r   d e f a u l t i n g / v a l i d a t i o n   o f   J W T   l i f e t i m e   w h i l e   a c c o u n t i n g   f o r   c o n f i g u r a t i o n   f l a g   v a l u e s :   / /   1 .   ` - - s e r v i c e - a c c o u n t - m a x - t o k e n - e x p i r a t i o n `   / /   2 .   ` - - s e r v i c e - a c c o u n t - e x t e n d - t o k e n - e x p i r a t i o n `   / /   / /   *   I f   ` - - s e r v i c e - a c c o u n t - m a x - t o k e n - e x p i r a t i o n `   i s   g r e a t e r   t h a n   ` m a x _ t o k e n _ e x p i r a t i o n _ s e c o n d s ` ,   k u b e - a p i s e r v e r   t r e a t s   t h a t   a s   m i s c o n f i g u r a t i o n   a n d   e x i t s .   / /   *   I f   ` - - s e r v i c e - a c c o u n t - m a x - t o k e n - e x p i r a t i o n `   i s   n o t   e x p l i c i t l y   s e t ,   k u b e - a p i s e r v e r   d e f a u l t s   t o   ` m a x _ t o k e n _ e x p i r a t i o n _ s e c o n d s ` .   / /   *   I f   ` - - s e r v i c e - a c c o u n t - e x t e n d - t o k e n - e x p i r a t i o n `   i s   t r u e ,   t h e   e x t e n d e d   e x p i r a t i o n   i s   ` m i n ( 1   y e a r ,   m a x _ t o k e n _ e x p i r a t i o n _ s e c o n d s ) ` .   / /   / /   ` m a x _ t o k e n _ e x p i r a t i o n _ s e c o n d s `   m u s t   b e   a t   l e a s t   6 0 0 s .   i n t


Question: What is FetchKeys?

Answer: F e t c h K e y s   r e t u r n s   t h e   s e t   o f   p u b l i c   k e y s   t h a t   a r e   t r u s t e d   t o   s i g n   K u b e r n e t e s   s e r v i c e   a c c o u n t   t o k e n s .   K u b e - a p i s e r v e r   w i l l   c a l l   t h i s   R P C :   E v e r y   t i m e   i t   t r i e s   t o   v a l i d a t e   a   J W T   f r o m   t h e   s e r v i c e   a c c o u n t   i s s u e r   w i t h   a n   u n k n o w n   k e y   I D ,   a n d P e r i o d i c a l l y ,   s o   i t   c a n   s e r v e   r e a s o n a b l y - u p - t o - d a t e   k e y s   f r o m   t h e   O I D C   J W K s   e n d p o i n t .   r p c   F e t c h K e y s ( F e t c h K e y s R e q u e s t )   r e t u r n s   ( F e t c h K e y s R e s p o n s e )   { }   m e s s a g e   F e t c h K e y s R e q u e s t   { }   m e s s a g e   F e t c h K e y s R e s p o n s e   {   r e p e a t e d   K e y   k e y s   =   1 ;   / /   T h e   t i m e s t a m p   w h e n   t h i s   d a t a   w a s   p u l l e d   f r o m   t h e   a u t h o r i t a t i v e   s o u r c e   o f   / /   t r u t h   f o r   v e r i f i c a t i o n   k e y s .   / /   k u b e - a p i s e r v e r   c a n   e x p o r t   t h i s   f r o m   m e t r i c s ,   t o   e n a b l e   e n d - t o - e n d   S L O s .   g o o g l e . p r o t o b u f . T i m e s t a m p   d a t a _ t i m e s t a m p   =   2 ;   / /   r e f r e s h   i n t e r v a l   f o r   v e r i f i c a t i o n   k e y s   t o   p i c k   c h a n g e s   i f   a n y .   / /   a n y   v a l u e   < =   0   i s   c o n s i d e r e d   a   m i s c o n f i g u r a t i o n .   i n t 6 4   r e f r e s h _ h i n t _ s e c o n d s   =   3 ;   }   m e s s a g e   K e y   {   / /   A   u n i q u e   i d e n t i f i e r   f o r   t h i s   k e y .   / /   L e n g t h   m u s t   b e   < = 1 0 2 4 .   s t r i n g   k e y _ i d   =   1 ;   / /   T h e   p u b l i c   k e y ,   P K I X - s e r i a l i z e d .   / /   m u s t   b e   a   p u b l i c   k e y   s u


Question: What is Sign?

Answer: S i g n   t a k e s   a   s e r i a l i z e d   J W T   p a y l o a d ,   a n d   r e t u r n s   t h e   s e r i a l i z e d   h e a d e r   a n d   s i g n a t u r e .   k u b e - a p i s e r v e r   t h e n   a s s e m b l e s   t h e   J W T   f r o m   t h e   h e a d e r ,   p a y l o a d ,   a n d   s i g n a t u r e .   r p c   S i g n ( S i g n J W T R e q u e s t )   r e t u r n s   ( S i g n J W T R e s p o n s e )   { }   m e s s a g e   S i g n J W T R e q u e s t   {   / /   U R L - s a f e   b a s e 6 4   w r a p p e d   p a y l o a d   t o   b e   s i g n e d .   / /   E x a c t l y   a s   i t   a p p e a r s   i n   t h e   s e c o n d   s e g m e n t   o f   t h e   J W T   s t r i n g   c l a i m s   =   1 ;   }   m e s s a g e   S i g n J W T R e s p o n s e   {   / /   h e a d e r   m u s t   c o n t a i n   o n l y   a l g ,   k i d ,   t y p   c l a i m s .   / /   t y p   m u s t   b e   “ J W T ” .   / /   k i d   m u s t   b e   n o n - e m p t y ,   < = 1 0 2 4   c h a r a c t e r s ,   a n d   i t s   c o r r e s p o n d i n g   p u b l i c   k e y   s h o u l d   n o t   b e   e x c l u d e d   f r o m   O I D C   d i s c o v e r y .   / /   a l g   m u s t   b e   o n e   o f   t h e   a l g o r i t h m s   s u p p o r t e d   b y   k u b e - a p i s e r v e r   ( c u r r e n t l y   R S 2 5 6 ,   E S 2 5 6 ,   E S 3 8 4 ,   E S 5 1 2 ) .   / /   h e a d e r   c a n n o t   h a v e   a n y   a d d i t i o n a l   d a t a   t h a t   k u b e - a p i s e r v e r   d o e s   n o t   r e c o g n i z e .   / /   A l r e a d y   w r a p p e d   i n   U R L - s a f e   b a s e 6 4 ,   e x a c t l y   a s   i t   a p p e a r s   i n   t h e   f i r s t   s e g m e n t   o f   t h e   J W T .   s t r i n g   h e a d e r   =   1 ;   / /   T h e   s i g n a t u r e   f o r   t h e   J W T .   / /   A l r e a d y   w r a p p e d   i n   U R L - s a f e   b a s e 6 4 ,   e x a c t l y   a s   i t   a p p e a r s   i n   t h e   f i n a l   s e g m


Question: What is Clean up?

Answer: I f   y o u   c r e a t e d   a   n a m e s p a c e   e x a m p l e n s   t o   e x p e r i m e n t   w i t h ,   y o u   c a n   r e m o v e   i t :   k u b e c t l   d e l e t e   n a m e s p a c e   e x a m p l e n s


Question: What is What's next?

Answer: R e a d   m o r e   d e t a i l s   a b o u t   p r o j e c t e d   v o l u m e s .


Question: What is 3.11 - Certificates and Certificate Signing Requests?

Answer: K u b e r n e t e s   c e r t i f i c a t e   a n d   t r u s t   b u n d l e   A P I s   e n a b l e   a u t o m a t i o n   o f   X . 5 0 9   c r e d e n t i a l   p r o v i s i o n i n g   b y   p r o v i d i n g   a   p r o g r a m m a t i c   i n t e r f a c e   f o r   c l i e n t s   o f   t h e   K u b e r n e t e s   A P I   t o   r e q u e s t   a n d   o b t a i n   X . 5 0 9   c e r t i f i c a t e s   f r o m   a   C e r t i f i c a t e   A u t h o r i t y   ( C A ) .   T h e r e   i s   a l s o   e x p e r i m e n t a l   ( a l p h a )   s u p p o r t   f o r   d i s t r i b u t i n g   t r u s t   b u n d l e s .


Question: What is Certificate signing requests?

Answer: A   C e r t i f i c a t e S i g n i n g R e q u e s t   ( C S R )   r e s o u r c e   i s   u s e d   t o   r e q u e s t   t h a t   a   c e r t i f i c a t e   b e   s i g n e d   b y   a   d e n o t e d   s i g n e r ,   a f t e r   w h i c h   t h e   r e q u e s t   m a y   b e   a p p r o v e d   o r   d e n i e d   b e f o r e   f i n a l l y   b e i n g   s i g n e d .


Question: What is Request signing process?

Answer: T h e   C e r t i f i c a t e S i g n i n g R e q u e s t   r e s o u r c e   t y p e   a l l o w s   a   c l i e n t   t o   a s k   f o r   a n   X . 5 0 9   c e r t i f i c a t e   b e   i s s u e d ,   b a s e d   o n   a   s i g n i n g   r e q u e s t .   T h e   C e r t i f i c a t e S i g n i n g R e q u e s t   o b j e c t   i n c l u d e s   a   P E M - e n c o d e d   P K C S # 1 0   s i g n i n g   r e q u e s t   i n   t h e   s p e c . r e q u e s t   f i e l d .   T h e   C e r t i f i c a t e S i g n i n g R e q u e s t   d e n o t e s   t h e   s i g n e r   ( t h e   r e c i p i e n t   t h a t   t h e   r e q u e s t   i s   b e i n g   m a d e   t o )   u s i n g   t h e   s p e c . s i g n e r N a m e   f i e l d .   N o t e   t h a t   s p e c . s i g n e r N a m e   i s   a   r e q u i r e d   k e y   a f t e r   A P I   v e r s i o n   c e r t i f i c a t e s . k 8 s . i o / v 1 .   I n   K u b e r n e t e s   v 1 . 2 2   a n d   l a t e r ,   c l i e n t s   m a y   o p t i o n a l l y   s e t   t h e   s p e c . e x p i r a t i o n S e c o n d s   f i e l d   t o   r e q u e s t   a   p a r t i c u l a r   l i f e t i m e   f o r   t h e   i s s u e d   c e r t i f i c a t e .   T h e   m i n i m u m   v a l i d   v a l u e   f o r   t h i s   f i e l d   i s   6 0 0 ,   i . e .   t e n   m i n u t e s .   O n c e   c r e a t e d ,   a   C e r t i f i c a t e S i g n i n g R e q u e s t   m u s t   b e   a p p r o v e d   b e f o r e   i t   c a n   b e   s i g n e d .   D e p e n d i n g   o n   t h e   s i g n e r   s e l e c t e d ,   a   C e r t i f i c a t e S i g n i n g R e q u e s t   m a y   b e   a u t o m a t i c a l l y   a p p r o v e d   b y   a   c o n t r o l l e r .   O t h e r w i s e ,   a   C e r t i f i c a t e S i g n i n g R e q u e s t   m u s t   b e   m a n u a l l y   a p p r o v e d   e i t h e r   v i a   t h e   R E S T   A P I   ( o r   c l i e n t - g o )   o r   b y   r u n n i n g   k u b e c t l   c e r t


Question: What is Certificate signing authorization?

Answer: T o   a l l o w   c r e a t i n g   a   C e r t i f i c a t e S i g n i n g R e q u e s t   a n d   r e t r i e v i n g   a n y   C e r t i f i c a t e S i g n i n g R e q u e s t :   V e r b s :   c r e a t e ,   g e t ,   l i s t ,   w a t c h ,   g r o u p :   c e r t i f i c a t e s . k 8 s . i o ,   r e s o u r c e :   c e r t i f i c a t e s i g n i n g r e q u e s t s   F o r   e x a m p l e :   a p i V e r s i o n :   r b a c . a u t h o r i z a t i o n . k 8 s . i o / v 1   k i n d :   C l u s t e r R o l e   m e t a d a t a :   n a m e :   c s r - c r e a t o r   r u l e s :   -   a p i G r o u p s :   -   c e r t i f i c a t e s . k 8 s . i o   r e s o u r c e s :   -   c e r t i f i c a t e s i g n i n g r e q u e s t s   v e r b s :   -   c r e a t e   -   g e t   -   l i s t   -   w a t c h   T o   a l l o w   a p p r o v i n g   a   C e r t i f i c a t e S i g n i n g R e q u e s t :   V e r b s :   g e t ,   l i s t ,   w a t c h ,   g r o u p :   c e r t i f i c a t e s . k 8 s . i o ,   r e s o u r c e :   c e r t i f i c a t e s i g n i n g r e q u e s t s V e r b s :   u p d a t e ,   g r o u p :   c e r t i f i c a t e s . k 8 s . i o ,   r e s o u r c e :   c e r t i f i c a t e s i g n i n g r e q u e s t s / a p p r o v a l V e r b s :   a p p r o v e ,   g r o u p :   c e r t i f i c a t e s . k 8 s . i o ,   r e s o u r c e :   s i g n e r s ,   r e s o u r c e N a m e :   < s i g n e r N a m e D o m a i n > / < s i g n e r N a m e P a t h >   o r   < s i g n e r N a m e D o m a i n > / *   F o r   e x a m p l e :   a p i V e r s i o n :   r b a c . a u t h o r i z a t i o n . k 8 s . i o / v 1   k i n d :   C l u s t e r R o l e   m e t a d a t a :   n a m e :   c s r - a p p r o v e r   r u l e s :   -   a p i G r o u p s :   -   c e r t i f i c a t e s . k 8 s . i o   r e s o u r c e s :   -   c e r t i f i c a t e s i g n i n g r e q u e s t s   v e r b s :   -   g e t   -   l i s t   -   w a t c h   -   a p i G r o u p s :   -   c e r


Question: What is Signers?

Answer: S i g n e r s   a b s t r a c t l y   r e p r e s e n t   t h e   e n t i t y   o r   e n t i t i e s   t h a t   m i g h t   s i g n ,   o r   h a v e   s i g n e d ,   a   s e c u r i t y   c e r t i f i c a t e .   A n y   s i g n e r   t h a t   i s   m a d e   a v a i l a b l e   f o r   o u t s i d e   a   p a r t i c u l a r   c l u s t e r   s h o u l d   p r o v i d e   i n f o r m a t i o n   a b o u t   h o w   t h e   s i g n e r   w o r k s ,   s o   t h a t   c o n s u m e r s   c a n   u n d e r s t a n d   w h a t   t h a t   m e a n s   f o r   C e r t i f i c a t e S i g n i n g R e q u e s t s   a n d   ( i f   e n a b l e d )   C l u s t e r T r u s t B u n d l e s .   T h i s   i n c l u d e s :   T r u s t   d i s t r i b u t i o n :   h o w   t r u s t   a n c h o r s   ( C A   c e r t i f i c a t e s   o r   c e r t i f i c a t e   b u n d l e s )   a r e   d i s t r i b u t e d . P e r m i t t e d   s u b j e c t s :   a n y   r e s t r i c t i o n s   o n   a n d   b e h a v i o r   w h e n   a   d i s a l l o w e d   s u b j e c t   i s   r e q u e s t e d . P e r m i t t e d   x 5 0 9   e x t e n s i o n s :   i n c l u d i n g   I P   s u b j e c t A l t N a m e s ,   D N S   s u b j e c t A l t N a m e s ,   E m a i l   s u b j e c t A l t N a m e s ,   U R I   s u b j e c t A l t N a m e s   e t c ,   a n d   b e h a v i o r   w h e n   a   d i s a l l o w e d   e x t e n s i o n   i s   r e q u e s t e d . P e r m i t t e d   k e y   u s a g e s   /   e x t e n d e d   k e y   u s a g e s :   a n y   r e s t r i c t i o n s   o n   a n d   b e h a v i o r   w h e n   u s a g e s   d i f f e r e n t   t h a n   t h e   s i g n e r - d e t e r m i n e d   u s a g e s   a r e   s p e c i f i e d   i n   t h e   C S R . E x p i r a t i o n / c e r t i f i c a t e   l i f e t i m e :   w h e t h e r   i t   i s   f i x e d   b y   t h e   s i g n e r ,   c o n f i g u r a b l e   b y   t h e   a d m i n ,   d e t e r m i n e d   b y   t h


Question: What is Kubernetes signers?

Answer: K u b e r n e t e s   p r o v i d e s   b u i l t - i n   s i g n e r s   t h a t   e a c h   h a v e   a   w e l l - k n o w n   s i g n e r N a m e :   k u b e r n e t e s . i o / k u b e - a p i s e r v e r - c l i e n t :   s i g n s   c e r t i f i c a t e s   t h a t   w i l l   b e   h o n o r e d   a s   c l i e n t   c e r t i f i c a t e s   b y   t h e   A P I   s e r v e r .   N e v e r   a u t o - a p p r o v e d   b y   k u b e - c o n t r o l l e r - m a n a g e r . T r u s t   d i s t r i b u t i o n :   s i g n e d   c e r t i f i c a t e s   m u s t   b e   h o n o r e d   a s   c l i e n t   c e r t i f i c a t e s   b y   t h e   A P I   s e r v e r .   T h e   C A   b u n d l e   i s   n o t   d i s t r i b u t e d   b y   a n y   o t h e r   m e a n s . P e r m i t t e d   s u b j e c t s   -   n o   s u b j e c t   r e s t r i c t i o n s ,   b u t   a p p r o v e r s   a n d   s i g n e r s   m a y   c h o o s e   n o t   t o   a p p r o v e   o r   s i g n .   C e r t a i n   s u b j e c t s   l i k e   c l u s t e r - a d m i n   l e v e l   u s e r s   o r   g r o u p s   v a r y   b e t w e e n   d i s t r i b u t i o n s   a n d   i n s t a l l a t i o n s ,   b u t   d e s e r v e   a d d i t i o n a l   s c r u t i n y   b e f o r e   a p p r o v a l   a n d   s i g n i n g .   T h e   C e r t i f i c a t e S u b j e c t R e s t r i c t i o n   a d m i s s i o n   p l u g i n   i s   e n a b l e d   b y   d e f a u l t   t o   r e s t r i c t   s y s t e m : m a s t e r s ,   b u t   i t   i s   o f t e n   n o t   t h e   o n l y   c l u s t e r - a d m i n   s u b j e c t   i n   a   c l u s t e r . P e r m i t t e d   x 5 0 9   e x t e n s i o n s   -   h o n o r s   s u b j e c t A l t N a m e   a n d   k e y   u s a g e   e x t e n s i o n s   a n d   d i s c a r d s   o t h e r   e x t e n s i o n s . P e r m i t t e d   k e y   u s a g e s   -   m u s t   i n c l u d e   [ " c l i e n t   a u t h " ] .   M u s t   n o t   i n c


Question: What is Note:?

Answer: D i s t r i b u t i o n   o f   t r u s t   h a p p e n s   o u t   o f   b a n d   f o r   t h e s e   s i g n e r s .   A n y   t r u s t   o u t s i d e   o f   t h o s e   d e s c r i b e d   a b o v e   a r e   s t r i c t l y   c o i n c i d e n t a l .   F o r   i n s t a n c e ,   s o m e   d i s t r i b u t i o n s   m a y   h o n o r   k u b e r n e t e s . i o / l e g a c y - u n k n o w n   a s   c l i e n t   c e r t i f i c a t e s   f o r   t h e   k u b e - a p i s e r v e r ,   b u t   t h i s   i s   n o t   a   s t a n d a r d .   N o n e   o f   t h e s e   u s a g e s   a r e   r e l a t e d   t o   S e r v i c e A c c o u n t   t o k e n   s e c r e t s   . d a t a [ c a . c r t ]   i n   a n y   w a y .   T h a t   C A   b u n d l e   i s   o n l y   g u a r a n t e e d   t o   v e r i f y   a   c o n n e c t i o n   t o   t h e   A P I   s e r v e r   u s i n g   t h e   d e f a u l t   s e r v i c e   ( k u b e r n e t e s . d e f a u l t . s v c ) .


Question: What is Custom signers?

Answer: Y o u   c a n   a l s o   i n t r o d u c e   y o u r   o w n   c u s t o m   s i g n e r ,   w h i c h   s h o u l d   h a v e   a   s i m i l a r   p r e f i x e d   n a m e   b u t   u s i n g   y o u r   o w n   d o m a i n   n a m e .   F o r   e x a m p l e ,   i f   y o u   r e p r e s e n t   a n   o p e n   s o u r c e   p r o j e c t   t h a t   u s e s   t h e   d o m a i n   o p e n - f i c t i o n a l . e x a m p l e   t h e n   y o u   m i g h t   u s e   i s s u e r . o p e n - f i c t i o n a l . e x a m p l e / s e r v i c e - m e s h   a s   a   s i g n e r   n a m e .   A   c u s t o m   s i g n e r   u s e s   t h e   K u b e r n e t e s   A P I   t o   i s s u e   a   c e r t i f i c a t e .   S e e   A P I - b a s e d   s i g n e r s .


Question: What is Control plane signer?

Answer: T h e   K u b e r n e t e s   c o n t r o l   p l a n e   i m p l e m e n t s   e a c h   o f   t h e   K u b e r n e t e s   s i g n e r s ,   a s   p a r t   o f   t h e   k u b e - c o n t r o l l e r - m a n a g e r .


Question: What is API-based signers?

Answer: U s e r s   o f   t h e   R E S T   A P I   c a n   s i g n   C S R s   b y   s u b m i t t i n g   a n   U P D A T E   r e q u e s t   t o   t h e   s t a t u s   s u b r e s o u r c e   o f   t h e   C S R   t o   b e   s i g n e d .   A s   p a r t   o f   t h i s   r e q u e s t ,   t h e   s t a t u s . c e r t i f i c a t e   f i e l d   s h o u l d   b e   s e t   t o   c o n t a i n   t h e   s i g n e d   c e r t i f i c a t e .   T h i s   f i e l d   c o n t a i n s   o n e   o r   m o r e   P E M - e n c o d e d   c e r t i f i c a t e s .   A l l   P E M   b l o c k s   m u s t   h a v e   t h e   " C E R T I F I C A T E "   l a b e l ,   c o n t a i n   n o   h e a d e r s ,   a n d   t h e   e n c o d e d   d a t a   m u s t   b e   a   B E R - e n c o d e d   A S N . 1   C e r t i f i c a t e   s t r u c t u r e   a s   d e s c r i b e d   i n   s e c t i o n   4   o f   R F C 5 2 8 0 .   E x a m p l e   c e r t i f i c a t e   c o n t e n t :   - - - - - B E G I N   C E R T I F I C A T E - - - - -   M I I D g j C C A m q g A w I B A g I U C 1 N 1 E J 4 Q n s d 3 2 2 B h D P R w m g 3 b / o A w D Q Y J K o Z I h v c N A Q E L   B Q A w X D E L M A k G A 1 U E B h M C e H g x C j A I B g N V B A g M A X g x C j A I B g N V B A c M A X g x C j A I B g N V   B A o M A X g x C j A I B g N V B A s M A X g x C z A J B g N V B A M M A m N h M R A w D g Y J K o Z I h v c N A Q k B F g F 4   M B 4 X D T I w M D c w N j I y M D c w M F o X D T I 1 M D c w N T I y M D c w M F o w N z E V M B M G A 1 U E C h M M c 3 l z   d G V t O m 5 v Z G V z M R 4 w H A Y D V Q Q D E x V z e X N 0 Z W 0 6 b m 9 k Z T o x M j c u M C 4 w L j E w g g E i M A 0 G   C S q G S I b 3 D Q E B A Q U A A 4 I B D w A w g g E K A o I B A Q D n e 5 X 2 e Q 1 J c L Z k K v h z C R 4 H x l 9 + Z m U 3   + e 1 z f O y w L d o Q x r P i + o 4 h V s U H 3 q 0 y 5 2 B M a 7 u 1 y e h H D R S a q 9 u 6 2 c m i 5 e k g X h X H z G m m   k m W 5 n 0 i t R E C v 3 S F s S m 2 D S g h R K f 0 m m


Question: What is Approval or rejection?

Answer: B e f o r e   a   s i g n e r   i s s u e s   a   c e r t i f i c a t e   b a s e d   o n   a   C e r t i f i c a t e S i g n i n g R e q u e s t ,   t h e   s i g n e r   t y p i c a l l y   c h e c k s   t h a t   t h e   i s s u a n c e   f o r   t h a t   C S R   h a s   b e e n   a p p r o v e d .


Question: What is Control plane automated approval?

Answer: T h e   k u b e - c o n t r o l l e r - m a n a g e r   s h i p s   w i t h   a   b u i l t - i n   a p p r o v e r   f o r   c e r t i f i c a t e s   w i t h   a   s i g n e r N a m e   o f   k u b e r n e t e s . i o / k u b e - a p i s e r v e r - c l i e n t - k u b e l e t   t h a t   d e l e g a t e s   v a r i o u s   p e r m i s s i o n s   o n   C S R s   f o r   n o d e   c r e d e n t i a l s   t o   a u t h o r i z a t i o n .   T h e   k u b e - c o n t r o l l e r - m a n a g e r   P O S T s   S u b j e c t A c c e s s R e v i e w   r e s o u r c e s   t o   t h e   A P I   s e r v e r   i n   o r d e r   t o   c h e c k   a u t h o r i z a t i o n   f o r   c e r t i f i c a t e   a p p r o v a l .


Question: What is Approval or rejection using kubectl?

Answer: A   K u b e r n e t e s   a d m i n i s t r a t o r   ( w i t h   a p p r o p r i a t e   p e r m i s s i o n s )   c a n   m a n u a l l y   a p p r o v e   ( o r   d e n y )   C e r t i f i c a t e S i g n i n g R e q u e s t s   b y   u s i n g   t h e   k u b e c t l   c e r t i f i c a t e   a p p r o v e   a n d   k u b e c t l   c e r t i f i c a t e   d e n y   c o m m a n d s .   T o   a p p r o v e   a   C S R   w i t h   k u b e c t l :   k u b e c t l   c e r t i f i c a t e   a p p r o v e   < c e r t i f i c a t e - s i g n i n g - r e q u e s t - n a m e >   L i k e w i s e ,   t o   d e n y   a   C S R :   k u b e c t l   c e r t i f i c a t e   d e n y   < c e r t i f i c a t e - s i g n i n g - r e q u e s t - n a m e >


Question: What is Approval or rejection using the Kubernetes API?

Answer: U s e r s   o f   t h e   R E S T   A P I   c a n   a p p r o v e   C S R s   b y   s u b m i t t i n g   a n   U P D A T E   r e q u e s t   t o   t h e   a p p r o v a l   s u b r e s o u r c e   o f   t h e   C S R   t o   b e   a p p r o v e d .   F o r   e x a m p l e ,   y o u   c o u l d   w r i t e   a n   o p e r a t o r   t h a t   w a t c h e s   f o r   a   p a r t i c u l a r   k i n d   o f   C S R   a n d   t h e n   s e n d s   a n   U P D A T E   t o   a p p r o v e   t h e m .   W h e n   y o u   m a k e   a n   a p p r o v a l   o r   r e j e c t i o n   r e q u e s t ,   s e t   e i t h e r   t h e   A p p r o v e d   o r   D e n i e d   s t a t u s   c o n d i t i o n   b a s e d   o n   t h e   s t a t e   y o u   d e t e r m i n e :   F o r   A p p r o v e d   C S R s :   a p i V e r s i o n :   c e r t i f i c a t e s . k 8 s . i o / v 1   k i n d :   C e r t i f i c a t e S i g n i n g R e q u e s t   . . .   s t a t u s :   c o n d i t i o n s :   -   l a s t U p d a t e T i m e :   " 2 0 2 0 - 0 2 - 0 8 T 1 1 : 3 7 : 3 5 Z "   l a s t T r a n s i t i o n T i m e :   " 2 0 2 0 - 0 2 - 0 8 T 1 1 : 3 7 : 3 5 Z "   m e s s a g e :   A p p r o v e d   b y   m y   c u s t o m   a p p r o v e r   c o n t r o l l e r   r e a s o n :   A p p r o v e d B y M y P o l i c y   #   Y o u   c a n   s e t   t h i s   t o   a n y   s t r i n g   t y p e :   A p p r o v e d   F o r   D e n i e d   C S R s :   a p i V e r s i o n :   c e r t i f i c a t e s . k 8 s . i o / v 1   k i n d :   C e r t i f i c a t e S i g n i n g R e q u e s t   . . .   s t a t u s :   c o n d i t i o n s :   -   l a s t U p d a t e T i m e :   " 2 0 2 0 - 0 2 - 0 8 T 1 1 : 3 7 : 3 5 Z "   l a s t T r a n s i t i o n T i m e :   " 2 0 2 0 - 0 2 - 0 8 T 1 1 : 3 7 : 3 5 Z "   m e s s a g e :   D e n i e d   b y   m y   c u s t o m   a p p r o v e r   c o n t r o l l e r   r e a s o n :   D e n i e d B y M y P o l i c y   #   Y o u   c a n   s e t   t h i s   t o   a n y   s t r i


Question: What is Note:?

Answer: P o d C e r t i f i c a t e R e q u e s t s   a r e   A P I   o b j e c t s   t a i l o r e d   t o   p r o v i s i o n i n g   c e r t i f i c a t e s   t o   w o r k l o a d s   r u n n i n g   a s   P o d s   w i t h i n   a   c l u s t e r .   T h e   u s e r   t y p i c a l l y   d o e s   n o t   i n t e r a c t   w i t h   P o d C e r t i f i c a t e R e q u e s t s   d i r e c t l y ,   b u t   u s e s   p o d C e r t i f i c a t e   p r o j e c t e d   v o l u m e   s o u r c e s ,   w h i c h   a r e   a   k u b e l e t   f e a t u r e   t h a t   h a n d l e s   s e c u r e   k e y   p r o v i s i o n i n g   a n d   a u t o m a t i c   c e r t i f i c a t e   r e f r e s h .   T h e   a p p l i c a t i o n   i n s i d e   t h e   p o d   o n l y   n e e d s   t o   k n o w   h o w   t o   r e a d   t h e   c e r t i f i c a t e s   f r o m   t h e   f i l e s y s t e m .   P o d C e r t i f i c a t e R e q u e s t s   a r e   s i m i l a r   t o   C e r t i f i c a t e S i g n i n g R e q u e s t s ,   b u t   h a v e   a   s i m p l e r   f o r m a t   e n a b l e d   b y   t h e i r   n a r r o w e r   u s e   c a s e .   A   P o d C e r t i f i c a t e R e q u e s t   h a s   t h e   f o l l o w i n g   s p e c   f i e l d s :   s i g n e r N a m e :   T h e   s i g n e r   t o   w h i c h   t h i s   r e q u e s t   i s   a d d r e s s e d . p o d N a m e   a n d   p o d U I D :   T h e   P o d   t h a t   K u b e l e t   i s   r e q u e s t i n g   a   c e r t i f i c a t e   f o r . s e r v i c e A c c o u n t N a m e   a n d   s e r v i c e A c c o u n t U I D :   T h e   S e r v i c e A c c o u n t   c o r r e s p o n d i n g   t o   t h e   P o d . n o d e N a m e   a n d   n o d e U I D :   T h e   N o d e   c o r r e s p o n d i n g   t o   t h e   P o d . m a x E x p i r a t i o n S e c o n d s :   T h e   m a x i m u m   l i f e t i m e   t h a t   t h e   w o r k l o a d   a u t h o r   w i l l   a c c e p t   f o r   t h i s   c e r t i f


Question: What is Note:?

Answer: A   C l u s t e r T r u s t B u n d l e s   i s   a   c l u s t e r - s c o p e d   o b j e c t   f o r   d i s t r i b u t i n g   X . 5 0 9   t r u s t   a n c h o r s   ( r o o t   c e r t i f i c a t e s )   t o   w o r k l o a d s   w i t h i n   t h e   c l u s t e r .   T h e y ' r e   d e s i g n e d   t o   w o r k   w e l l   w i t h   t h e   s i g n e r   c o n c e p t   f r o m   C e r t i f i c a t e S i g n i n g R e q u e s t s .   C l u s t e r T r u s t B u n d l e s   c a n   b e   u s e d   i n   t w o   m o d e s :   s i g n e r - l i n k e d   a n d   s i g n e r - u n l i n k e d .


Question: What is Common properties and validation?

Answer: A l l   C l u s t e r T r u s t B u n d l e   o b j e c t s   h a v e   s t r o n g   v a l i d a t i o n   o n   t h e   c o n t e n t s   o f   t h e i r   t r u s t B u n d l e   f i e l d .   T h a t   f i e l d   m u s t   c o n t a i n   o n e   o r   m o r e   X . 5 0 9   c e r t i f i c a t e s ,   D E R - s e r i a l i z e d ,   e a c h   w r a p p e d   i n   a   P E M   C E R T I F I C A T E   b l o c k .   T h e   c e r t i f i c a t e s   m u s t   p a r s e   a s   v a l i d   X . 5 0 9   c e r t i f i c a t e s .   E s o t e r i c   P E M   f e a t u r e s   l i k e   i n t e r - b l o c k   d a t a   a n d   i n t r a - b l o c k   h e a d e r s   a r e   e i t h e r   r e j e c t e d   d u r i n g   o b j e c t   v a l i d a t i o n ,   o r   c a n   b e   i g n o r e d   b y   c o n s u m e r s   o f   t h e   o b j e c t .   A d d i t i o n a l l y ,   c o n s u m e r s   a r e   a l l o w e d   t o   r e o r d e r   t h e   c e r t i f i c a t e s   i n   t h e   b u n d l e   w i t h   t h e i r   o w n   a r b i t r a r y   b u t   s t a b l e   o r d e r i n g .   C l u s t e r T r u s t B u n d l e   o b j e c t s   s h o u l d   b e   c o n s i d e r e d   w o r l d - r e a d a b l e   w i t h i n   t h e   c l u s t e r .   I f   y o u r   c l u s t e r   u s e s   R B A C   a u t h o r i z a t i o n ,   a l l   S e r v i c e A c c o u n t s   h a v e   a   d e f a u l t   g r a n t   t h a t   a l l o w s   t h e m   t o   g e t ,   l i s t ,   a n d   w a t c h   a l l   C l u s t e r T r u s t B u n d l e   o b j e c t s .   I f   y o u   u s e   y o u r   o w n   a u t h o r i z a t i o n   m e c h a n i s m   a n d   y o u   h a v e   e n a b l e d   C l u s t e r T r u s t B u n d l e s   i n   y o u r   c l u s t e r ,   y o u   s h o u l d   s e t   u p   a n   e q u i v a l e n t   r u l e   t o   m a k e   t h e s e   o b j e c t s   p u b l i c   w i t h i n   t h e   c l u s t e r ,   s o   t h a t   t h e y   w o r k   a s   i


Question: What is Signer-linked ClusterTrustBundles?

Answer: S i g n e r - l i n k e d   C l u s t e r T r u s t B u n d l e s   a r e   a s s o c i a t e d   w i t h   a   s i g n e r   n a m e ,   l i k e   t h i s :   a p i V e r s i o n :   c e r t i f i c a t e s . k 8 s . i o / v 1 a l p h a 1   k i n d :   C l u s t e r T r u s t B u n d l e   m e t a d a t a :   n a m e :   e x a m p l e . c o m : m y s i g n e r : f o o   s p e c :   s i g n e r N a m e :   e x a m p l e . c o m / m y s i g n e r   t r u s t B u n d l e :   " < . . .   P E M   d a t a   . . . > "   T h e s e   C l u s t e r T r u s t B u n d l e s   a r e   i n t e n d e d   t o   b e   m a i n t a i n e d   b y   a   s i g n e r - s p e c i f i c   c o n t r o l l e r   i n   t h e   c l u s t e r ,   s o   t h e y   h a v e   s e v e r a l   s e c u r i t y   f e a t u r e s :   T o   c r e a t e   o r   u p d a t e   a   s i g n e r - l i n k e d   C l u s t e r T r u s t B u n d l e ,   y o u   m u s t   b e   p e r m i t t e d   t o   a t t e s t   o n   t h e   s i g n e r   ( c u s t o m   a u t h o r i z a t i o n   v e r b   a t t e s t ,   A P I   g r o u p   c e r t i f i c a t e s . k 8 s . i o ;   r e s o u r c e   p a t h   s i g n e r s ) .   Y o u   c a n   c o n f i g u r e   a u t h o r i z a t i o n   f o r   t h e   s p e c i f i c   r e s o u r c e   n a m e   < s i g n e r N a m e D o m a i n > / < s i g n e r N a m e P a t h >   o r   m a t c h   a   p a t t e r n   s u c h   a s   < s i g n e r N a m e D o m a i n > / * . S i g n e r - l i n k e d   C l u s t e r T r u s t B u n d l e s   m u s t   b e   n a m e d   w i t h   a   p r e f i x   d e r i v e d   f r o m   t h e i r   s p e c . s i g n e r N a m e   f i e l d .   S l a s h e s   ( / )   a r e   r e p l a c e d   w i t h   c o l o n s   ( : ) ,   a n d   a   f i n a l   c o l o n   i s   a p p e n d e d .   T h i s   i s   f o l l o w e d   b y   a n   a r b i t r a r y   n a m e .   F o r   e x a m p l e ,   t h e   s i g n e r   e x a m p l e . c o m / m y s i g


Question: What is Signer-unlinked ClusterTrustBundles?

Answer: S i g n e r - u n l i n k e d   C l u s t e r T r u s t B u n d l e s   h a v e   a n   e m p t y   s p e c . s i g n e r N a m e   f i e l d ,   l i k e   t h i s :   a p i V e r s i o n :   c e r t i f i c a t e s . k 8 s . i o / v 1 a l p h a 1   k i n d :   C l u s t e r T r u s t B u n d l e   m e t a d a t a :   n a m e :   f o o   s p e c :   #   n o   s i g n e r N a m e   s p e c i f i e d ,   s o   t h e   f i e l d   i s   b l a n k   t r u s t B u n d l e :   " < . . .   P E M   d a t a   . . . > "   T h e y   a r e   p r i m a r i l y   i n t e n d e d   f o r   c l u s t e r   c o n f i g u r a t i o n   u s e   c a s e s .   E a c h   s i g n e r - u n l i n k e d   C l u s t e r T r u s t B u n d l e   i s   a n   i n d e p e n d e n t   o b j e c t ,   i n   c o n t r a s t   t o   t h e   c u s t o m a r y   g r o u p i n g   b e h a v i o r   o f   s i g n e r - l i n k e d   C l u s t e r T r u s t B u n d l e s .   S i g n e r - u n l i n k e d   C l u s t e r T r u s t B u n d l e s   h a v e   n o   a t t e s t   v e r b   r e q u i r e m e n t .   I n s t e a d ,   y o u   c o n t r o l   a c c e s s   t o   t h e m   d i r e c t l y   u s i n g   t h e   u s u a l   m e c h a n i s m s ,   s u c h   a s   r o l e - b a s e d   a c c e s s   c o n t r o l .   T o   d i s t i n g u i s h   t h e m   f r o m   s i g n e r - l i n k e d   C l u s t e r T r u s t B u n d l e s ,   t h e   n a m e s   o f   s i g n e r - u n l i n k e d   C l u s t e r T r u s t B u n d l e s   m u s t   n o t   c o n t a i n   a   c o l o n   ( : ) .


Question: What is Accessing ClusterTrustBundles from pods?

Answer: T h e   c o n t e n t s   o f   C l u s t e r T r u s t B u n d l e s   c a n   b e   i n j e c t e d   i n t o   t h e   c o n t a i n e r   f i l e s y s t e m ,   s i m i l a r   t o   C o n f i g M a p s   a n d   S e c r e t s .   S e e   t h e   c l u s t e r T r u s t B u n d l e   p r o j e c t e d   v o l u m e   s o u r c e   f o r   m o r e   d e t a i l s .


Question: What is What's next?

Answer: R e a d   M a n a g e   T L S   C e r t i f i c a t e s   i n   a   C l u s t e r R e a d   I s s u e   a   C e r t i f i c a t e   f o r   a   K u b e r n e t e s   A P I   C l i e n t   U s i n g   A   C e r t i f i c a t e S i g n i n g R e q u e s t V i e w   t h e   s o u r c e   c o d e   f o r   t h e   k u b e - c o n t r o l l e r - m a n a g e r   b u i l t   i n   s i g n e r V i e w   t h e   s o u r c e   c o d e   f o r   t h e   k u b e - c o n t r o l l e r - m a n a g e r   b u i l t   i n   a p p r o v e r F o r   d e t a i l s   o f   X . 5 0 9   i t s e l f ,   r e f e r   t o   R F C   5 2 8 0   s e c t i o n   3 . 1 F o r   i n f o r m a t i o n   o n   t h e   s y n t a x   o f   P K C S # 1 0   c e r t i f i c a t e   s i g n i n g   r e q u e s t s ,   r e f e r   t o   R F C   2 9 8 6 R e a d   a b o u t   t h e   C l u s t e r T r u s t B u n d l e   A P I : % ! s ( )   % ! s ( )