Caducidad y revocación¶

Las credenciales no se renuevan: cuando caducan, emites otra. Aquí tienes qué hacer cuando una va a caducar, cómo revocar una que ya no necesitas y qué pasa con los comandos que tenías abiertos.

Caducidad¶

Cada credencial caduca sola cuando pasa el tiempo que elegiste al emitirla (hasta 30 días para una persona por defecto, 90 para un bot). No se renueva ni se envía nada antes de caducar: en «Inicio», en «Mis credenciales», cada credencial activa muestra cuándo caduca y cuándo se usó por última vez (o «nunca usada»), la de caducidad más cercana primero. La caducidad se pone ámbar en los últimos 7 días y roja en las últimas 24 horas. Para ver las demás, marca «Mostrar caducadas y revocadas»: dicen Caducada, o Revocada el… con el motivo en una línea debajo.

Una sesión de la CLI es la excepción: su marca dice sesión · 11 h y no cambia de color, porque la renuevas ejecutando kubelatch login (Cuando caduca la sesión).

Si una credencial se acaba en los próximos siete días, «Tu semana» también la enseña, en su día (Tu semana). Una credencial caducada no se reactiva. Para seguir trabajando, emite una nueva: «Emitir una igual», en la fila de una credencial caducada (en el menú de la fila si caduca en la semana), abre el formulario con su nombre y su cluster ya puestos, y «Emitir una credencial», en la tarjeta «Mis credenciales», parte de cero (ver Obtener una credencial).

Tu semana¶

«Tu semana», en «Inicio», enseña lo tuyo que se acaba en los próximos siete días y qué día: tus permisos activos y tus credenciales, no tus sesiones de la CLI ni los tokens de CI, que se renuevan solos. Cada día es una columna, empezando por hoy («Hoy · vie 24»), y cada cosa dice qué es (el rol, o «Credencial «k9s»»), dónde y a qué hora acaba, en rojo si le quedan menos de 24 horas y en ámbar el resto de la semana. Cada una trae su salida:

• Un permiso: «Pedir una prórroga», que lleva al contacto que hayan puesto tus administradores o, si no hay ninguno, te dice que se la pidas a un administrador. En Pro abre en su lugar el formulario de solicitud sobre ese permiso, como «Pedir prórroga», o «Pedir más» si te llega por un grupo o un conjunto (Prórrogas). Quien administra ve en su lugar «Renovar», que abre «Permisos».
• Una credencial: «Emitir una igual», que abre el formulario con su nombre y su cluster ya puestos.

Un día enseña dos cosas como mucho, y «+N más» abre el resto. Los permisos tuyos que caducaron esta semana sin renovarse salen en una línea encima de los días, con la misma salida (en Pro, «Pedir acceso»). Si no se te acaba nada en la semana, la tarjeta dice qué es lo próximo («Nada tuyo acaba esta semana. Lo próximo: viewer en qa-1, el 23 nov») o «Nada tuyo caduca». «Ver todo lo que caduca» te lleva a «Mis clusters», donde están abiertos los clusters en los que algo se acaba (Ver tus accesos). En el móvil, la semana es una lista de los días que tienen algo.

Revocar una credencial propia¶

1. En «Inicio», busca la credencial en «Mis credenciales».
2. Pulsa «Revocar» en su fila.
3. En el diálogo, escribe un motivo si quieres (opcional, hasta 500 caracteres) y pulsa «Revocar». Un aviso lo confirma.

Para terminar en cambio tu sesión de la CLI, pulsa «Cerrar sesión» en la línea bajo el título de «Inicio»: cierra la sesión de la CLI en ese equipo, y kubectl vuelve a pedir kubelatch login allí.

kubectl responde 401 al instante en la siguiente petición con esa credencial: no hay periodo de gracia.

Qué pasa con lo que tenías abierto¶

Un exec, logs -f, port-forward o watch que estaba en marcha se corta en menos de 10 segundos tras la revocación. kubectl suele mostrar un error de conexión cortada, por ejemplo websocket: close 1006 (abnormal closure). No hace falta nada más: el siguiente kubectl get pods con esa credencial ya responde 401.

Quién más puede revocarla¶

Un administrador puede revocar cualquier credencial, no solo la tuya, por ejemplo si sales del equipo o pierdes el portátil. Si de repente tu credencial deja de funcionar y tú no la revocaste, pregunta a un administrador: puede haberla revocado él, o tu cuenta puede estar deshabilitada (deshabilitarla también revoca todas tus credenciales de golpe, con el motivo «cuenta deshabilitada», o «cuenta deshabilitada por el sistema» si la deshabilitó la salida de la organización de GitHub).

Comprueba que está revocada¶

kubectl --kubeconfig ~/.kube/kubelatch.yaml get pods

Tras revocar, esto responde 401 con el mensaje credential revoked. Es la confirmación de que la revocación ya es efectiva.

Para ver qué se hizo con una credencial antes de revocarla, consulta Mi actividad.