Seminar Open Cluster Management Clusterregistrierung und sichere Anbindung

Das Seminar behandelt den vollständigen Registrierungslebenszyklus von Managed Clustern. Neben dem Standard-Join werden Zertifikate, Double Opt-in, Proxy- und gRPC-Szenarien, Klusterlet-Varianten sowie kontrollierte Trennung geübt.

Zielsetzung

Managed Cluster werden unter realistischen Netzwerk- und Sicherheitsbedingungen angebunden, geprüft, getrennt und erneut aufgenommen. Fehler im Bootstrap- und Zertifikatspfad werden reproduzierbar diagnostiziert.

Zielgruppe

• Kubernetes- und OCM-Administratoren
• Netzwerk- und Plattformteams
• Cloud Security Engineers

Voraussetzungen

Kubernetes-Administration, X.509-Grundlagen, kubectl, DNS und Netzwerkdiagnose; ein vorbereiteter Hub und mehrere Testcluster.

Inhaltsübersicht

1. Tag 1: Standardregistrierung, Netzwerk und Double Opt-in
2. Tag 2: Sonderformen, Proxy-Anbindung und kontrollierte Trennung

Kapitel 1 – Tag 1: Standardregistrierung, Netzwerk und Double Opt-in

Inhaltsverzeichnis: Netzwerk- und DNS-Voraussetzungen zwischen Spoke und Hub; Bootstrap-Kubeconfig, CertificateSigningRequest und Annahmeprozess; clusteradm init, join und accept; ManagedCluster-Status, Lease und Zertifikatsablage

Fachliche Inhalte

• Netzwerk- und DNS-Voraussetzungen zwischen Spoke und Hub
• Bootstrap-Kubeconfig, CertificateSigningRequest und Annahmeprozess
• clusteradm init, join und accept
• ManagedCluster-Status, Lease und Zertifikatsablage

Schritt-für-Schritt-Anleitung

1. Schritt 1: Erreichbarkeit, Zertifikatsnamen, Proxy-Einstellungen und Kubernetes-Kontexte vor dem Join prüfen.
2. Schritt 2: Den Klusterlet per clusteradm installieren und die entstehenden CSR- und ManagedCluster-Objekte beobachten.
3. Schritt 3: Die Registrierung auf Hub-Seite kontrolliert annehmen und die beidseitige Zustimmung verifizieren.
4. Schritt 4: Lease, Conditions, Hub-Kubeconfig-Secret und Agent-Protokolle als Abnahmekriterien auswerten.

Praxisprüfung

Ein fehlerhaftes Zertifikatsszenario wird absichtlich erzeugt, diagnostiziert und ohne Neuaufbau des gesamten Clusters korrigiert.

Kapitel 2 – Tag 2: Sonderformen, Proxy-Anbindung und kontrollierte Trennung

Inhaltsverzeichnis: Hosted- und Singleton-Klusterlet; Registrierung über gRPC oder vorhandene Proxy-Infrastruktur; Ressourcen- und Namenskonfiguration der Agenten; Unjoin, Entfernung, Bereinigung und Zertifikatsrotation

Fachliche Inhalte

• Hosted- und Singleton-Klusterlet
• Registrierung über gRPC oder vorhandene Proxy-Infrastruktur
• Ressourcen- und Namenskonfiguration der Agenten
• Unjoin, Entfernung, Bereinigung und Zertifikatsrotation

Schritt-für-Schritt-Anleitung

1. Schritt 1: Für ein vorgegebenes Betriebsmodell die passende Klusterlet-Variante auswählen und die Auswirkungen dokumentieren.
2. Schritt 2: Proxy- oder gRPC-Pfade konfigurieren und die minimale ausgehende Kommunikation des Spokes validieren.
3. Schritt 3: CPU-, Speicher- und Namespace-Vorgaben für die Agenten definieren und auf dem Zielcluster anwenden.
4. Schritt 4: Einen Cluster geordnet trennen, verbleibende Ressourcen prüfen und einen erneuten Join ohne Altlasten durchführen.

Praxisprüfung

Die Praxisprüfung umfasst einen vollständigen Join-Unjoin-Rejoin-Zyklus einschließlich Zertifikats- und Ressourcenbereinigung.