Gestion des Kubeconfigs

apiVersion: v1
kind: Config
preferences: {}
 
# 1. Clusters : endpoints API server
clusters:
  - name: sdv-cluster-prod
    cluster:
      server: https://api.k8s.example.com:6443
      certificate-authority-data: LS0tLS1CRUdJTi...  # CA du cluster
 
# 2. Users : credentials d'authentification
users:
  - name: gitlab-deployer
    user:
      token: eyJhbGciOiJSUzI1NiIsImtpZCI6...  # Token ServiceAccount
      # OU
      client-certificate-data: LS0tLS1CRUdJTi...
      client-key-data: LS0tLS1CRUdJTi...
 
# 3. Contexts : association cluster + user + namespace
contexts:
  - name: sdv-prod-deployer
    context:
      cluster: sdv-cluster-prod
      user: gitlab-deployer
      namespace: production  # namespace par défaut
 
# Contexte actif par défaut
current-context: sdv-prod-deployer

# Lister les contextes disponibles
kubectl config get-contexts
 
# Changer de contexte actif
kubectl config use-context sdv-prod-deployer
 
# Afficher la configuration actuelle
kubectl config view
 
# Afficher la configuration avec les secrets (ATTENTION : données sensibles)
kubectl config view --raw
 
# Définir un namespace par défaut pour un contexte
kubectl config set-context --current --namespace=production
 
# Créer un nouveau contexte
kubectl config set-context dev-context \
  --cluster=sdv-cluster \
  --user=dev-user \
  --namespace=development
 
# Supprimer un contexte
kubectl config delete-context old-context
 
# Fusionner plusieurs kubeconfigs
KUBECONFIG=~/.kube/config:~/kubeconfig-prod.yaml kubectl config view --flatten > ~/.kube/config-merged

generate_token:
  stage: setup
  script:
    # Générer un token avec durée limitée
    - TOKEN=$(kubectl create token gitlab-deployer -n production --duration=168h)
    - echo "KUBE_TOKEN=$TOKEN" >> deploy.env
  artifacts:
    reports:
      dotenv: deploy.env
 
deploy:
  stage: deploy
  script:
    # Utiliser le token fraîchement généré
    - kubectl --token=$KUBE_TOKEN apply -f manifests/

apiVersion: audit.k8s.io/v1
kind: Policy
rules:
  # Log toutes les modifications (create, update, patch, delete)
  - level: RequestResponse
    verbs: ["create", "update", "patch", "delete"]
    
  # Log les accès en lecture aux secrets
  - level: Metadata
    resources:
      - group: ""
        resources: ["secrets"]
    verbs: ["get", "list", "watch"]

production/
  ├── gitlab-deployer (droits d'écriture)
  └── prometheus (lecture seule)
 
staging/
  ├── gitlab-deployer (droits d'écriture)
  └── prometheus (lecture seule)
 
monitoring/
  └── prometheus (lecture cluster-wide)

deploy:
  stage: deploy
  image: bitnami/kubectl:latest
  script:
    # La variable KUBECONFIG_FILE est injectée comme fichier
    - export KUBECONFIG=$KUBECONFIG_FILE
    - kubectl apply -f k8s/
    - kubectl rollout status deployment/app -n production
  only:
    - main

name: Deploy to Kubernetes
on:
  push:
    branches: [main]
 
jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      
      - name: Setup kubectl
        uses: azure/setup-kubectl@v3
      
      - name: Deploy
        env:
          KUBECONFIG_CONTENT: ${{ secrets.KUBECONFIG }}
        run: |
          echo "$KUBECONFIG_CONTENT" > /tmp/kubeconfig
          export KUBECONFIG=/tmp/kubeconfig
          kubectl apply -f k8s/
          kubectl rollout status deployment/app -n production

pipeline {
    agent any
    
    environment {
        KUBECONFIG = credentials('kubeconfig-prod')
    }
    
    stages {
        stage('Deploy') {
            steps {
                sh 'kubectl apply -f k8s/'
                sh 'kubectl rollout status deployment/app -n production'
            }
        }
    }
}

kubectl config view -o jsonpath='{.clusters[0].cluster.server}'
# Testez la connectivité
curl -k https://api.k8s.example.com:6443/version

# Vérifier la présence du CA
kubectl config view --raw -o jsonpath='{.clusters[0].cluster.certificate-authority-data}' | base64 -d | openssl x509 -noout -text
 
# Alternative : désactiver la vérification TLS (NON RECOMMANDÉ en production)
kubectl --insecure-skip-tls-verify=true get nodes

# Vérifier les permissions actuelles
kubectl auth can-i get pods --as=system:serviceaccount:production:gitlab-deployer -n production
 
# Lister toutes les permissions
kubectl auth can-i --list --as=system:serviceaccount:production:gitlab-deployer -n production
 
# Vérifier les RoleBindings
kubectl get rolebinding -n production
kubectl describe rolebinding gitlab-deployer-binding -n production

# Vérifier l'expiration du token (décode le JWT)
echo $TOKEN | cut -d'.' -f2 | base64 -d 2>/dev/null | jq .exp
 
# Régénérer un nouveau token
kubectl create token gitlab-deployer -n production --duration=168h

kubectl oidc-login setup \
  --oidc-issuer-url=https://keycloak.example.com/auth/realms/kubernetes \
  --oidc-client-id=kubernetes \
  --oidc-client-secret=xxx

# Installation
brew install kubie
 
# Lancer un shell avec un contexte isolé
kubie ctx sdv-prod-deployer
 
# Dans ce shell, toutes les commandes kubectl utilisent le bon contexte
kubectl get pods

# Installation
brew install k9s
 
# Lancer avec un kubeconfig spécifique
k9s --kubeconfig=/path/to/kubeconfig.yaml