GCP Terraform Misconfiguration: GKE Cluster Certificate-Based Authentication

Terraform 構成は、GKE クラスターでの証明書ベースの認証を有効にします。

デフォルトでは、証明書ベースの認証は、GKE バージョン 1.12 以降を実行する新しいクラスターでは無効になっています。証明書ベースの認証では、ユーザーは、指定した認証局に対して Kubernetes API サーバーが検証する証明書を提示します。ただし、ユーザーが退職したり、資格情報を失っても、証明書を取り消す方法がありません。そのため、証明書ベースの認証は、エンドユーザーには適切ではありません。

例 1: 次の Terraform 構成の例では、master_auth ブロックの issue_client_certificate を true に設定することで、GKE クライアントの証明書ベースの認証を有効にしています。

resource "google_container_cluster" "container_cluster_demo" {
...
  master_auth {
    client_certificate_config {
      issue_client_certificate = true
      ...
    }
    ...
  }
...
}