cks

3.12 Secrets no etcd

Detalhamento do acesso a Secrets armazenados no etcd para o CKS.

O que é

No Kubernetes, Secrets (e outros recursos) são persistidos no etcd. Em clusters kubeadm, o API server se conecta ao etcd usando certificados. Com etcdctl e os certs corretos você pode ler diretamente as chaves do etcd (ex.: /registry/secrets/<namespace>/<secret-name>). Os valores ficam em Base64; para uso legível é preciso decodificar.

Documentação oficial

• Operating etcd clusters for Kubernetes
• Encrypting secret data at rest

Certificados do API server para etcd

Os paths dos certs costumam estar no manifest do kube-apiserver:

grep etcd /etc/kubernetes/manifests/kube-apiserver.yaml

Tipicamente aparecem:

• --etcd-cafile (CA do etcd)
• --etcd-certfile (client cert do API server)
• --etcd-keyfile (client key)

Em muitos clusters kubeadm:

• CA: /etc/kubernetes/pki/etcd/ca.crt
• Client cert: /etc/kubernetes/pki/apiserver-etcd-client.crt
• Client key: /etc/kubernetes/pki/apiserver-etcd-client.key

Comando etcdctl (API v3)

ETCDCTL_API=3 etcdctl \
  --cert /etc/kubernetes/pki/apiserver-etcd-client.crt \
  --key /etc/kubernetes/pki/apiserver-etcd-client.key \
  --cacert /etc/kubernetes/pki/etcd/ca.crt \
  get /registry/secrets/<namespace>/<secret-name>

• ETCDCTL_API=3: usa a API v3 do etcd.
• get: path da chave. Secrets ficam em /registry/secrets/<namespace>/<secret-name>.
• A saída traz o valor (geralmente um protobuf/JSON com dados em Base64).

Decodificar valor de Secret

Os dados dos Secrets no Kubernetes estão em Base64. Para decodificar:

echo <base64-value> | base64 -d

Se você extrair do etcd o conteúdo do secret (ex.: campo .data.password), use o mesmo base64 -d para ver o valor em claro.

Segurança

• Por padrão os Secrets no etcd estão apenas em Base64 (não criptografia). Para produção use encryption at rest.
• Acesso ao etcd equivale a acesso total aos dados do cluster; proteja os certs e o etcd.

Resumo para o exame

1. Achar certs: grep etcd /etc/kubernetes/manifests/kube-apiserver.yaml.
2. ETCDCTL_API=3 etcdctl --cert ... --key ... --cacert ... get /registry/secrets/<ns>/<name>.
3. Decodificar campos do secret: echo <base64> | base64 -d.