Nada permanente de serie
Un permiso lleva fecha de fin y una credencial caduca siempre. Revocas una credencial, y el siguiente kubectl recibe un 401.
Hoy · Solicitudes y aprobación: fase 2 · Pro
Hecho en Europa. Se instala en un cluster tuyo, y tus credenciales y tu auditoría no salen de tu infraestructura.
// sobre el SSO que ya tienes
No sustituye a tu SSO. Lo completa.
kubelatch se da de alta en tu proveedor de identidad como una aplicación más, igual que Argo CD o Grafana, y pone lo que al SSO del cluster le falta.
Una puerta para todos
Un proxy delante de EKS, AKS, GKE o tu propio cluster, para personas, pipelines de CI y agentes de IA. Nada se ejecuta dentro.
Hoy · Los grupos que ya usa tu cluster: fase 1 · Free
Cada petición, con nombre y apellidos
Una fila de auditoría por petición: quién, dónde, qué comando y con qué resultado, escrita antes de llegar al cluster.
Hoy · Exportación e informe para el auditor: fase 3 · Pro
funciona con
kubectlk9sLensHelmGitHub ActionsClaude CodeCursorMCP
// GitHub Actions
Tus pipelines llegan al cluster sin ningún secreto guardado.
El job cambia su token OIDC de GitHub por una credencial de kubelatch que dura una hora. Nada guardado, nada que rotar, y cada kubectl auditado.
Job de GitHub Actionsid-token: write
token OIDC firmado
kubelatchregla de confianza · bot · auditoría
credencial de 1 h
Tu clusterAPI de Kubernetes
// Kubernetes en la era de la IA
Deja trabajar al agente. Quédate las llaves.
Claude Code, Cursor o cualquier cliente MCP trabaja como tú, en solo lectura salvo que le des más, durante unas horas. Sus escrituras esperan tu aprobación, y le cortas el acceso con un clic.
// cómo funciona
kubectl habla con kubelatch. kubelatch habla con tu cluster como tú.
kubectl, k9s, Helm, CItoken klt_
credencial propia
kubelatchproxy · RBAC · auditoría
actúa como tú
Tus clustersAPI de Kubernetes
-
Un admin concede un rol
Por ejemplo,
developerenshopdeprod-eu, con fecha de fin. -
Entras y obtienes un kubeconfig
Con tu SSO o con GitHub. kubectl, k9s, Lens y Helm siguen igual.
-
Cada petición pasa por kubelatch
Comprueba la credencial, actúa en el cluster como tú y deja la petición registrada.
El cluster te ve como user:ana, por suplantación, y decide con su propio RBAC. Por qué un proxy
funciona con
EKSGKEAKSkubeadmk3sRKE2Talos
// lo que no es
Ni VPN, ni service mesh, ni un segundo SSO.
Un binario de Go y un Postgres delante del API server: no toca el tráfico de tus aplicaciones, y entras con el SSO que ya tienes. Lo que no cubre.
// pruebas
Cuatro cosas que puedes comprobar tú mismo.
Quince minutos en un cluster desechable
Concede un permiso, usa kubectl, lee la auditoría y revoca, en tu máquina con kind. Pruébalo en local
Versiones frecuentes, con sus notas
Cada versión en GitHub con sus notas, y firmada desde la 0.44. Versiones
Un modelo de seguridad que dice lo que no cubre
Lo que kubelatch garantiza, en qué se apoya y lo que queda fuera. Modelo de seguridad
No manda nada fuera
Clave verificada offline y sin telemetría. Solo comprueba una vez al día si hay versión nueva, y eso puedes desactivarlo. Seguridad
// ediciones
Gratis para un equipo pequeño. Pro cuando crece.
Free: 2 clusters, 5 personas y 24 horas de auditoría, sin clave y sin límite de tiempo. Pro: 15 $ por persona y mes, con clusters ilimitados, la auditoría el tiempo que quieras y roles personalizados. Los primeros 30 días son gratis.
- Lo que hoy es de Free se queda en Free.
- Un límite solo frena un alta nueva; nada de lo que existe se corta.
- Sin telemetría, y la clave se verifica offline.
kubelatch está en public preview: lo que falta está en el roadmap.
// preguntas
¿Y si ya tengo SSO? ¿Por qué no Teleport?
Las respuestas, con sus límites, en las preguntas frecuentes.