kubelatch sale en public preview

Hoy kubelatch sale en public preview: ya se puede instalar, Free es gratis y Pro tiene lista de espera. Te cuento de dónde viene (un kubeconfig de administrador para todos), qué he construido en estos meses y qué quiere decir «preview»: lo que ya funciona y lo que todavía no cubre.

El problema que tenía encima de la mesa

Llevo años dando acceso a clusters de Kubernetes a equipos de desarrollo: en EKS, GKE, AKS, DigitalOcean y alguno montado a mano. Y siempre acababa igual. El kubeconfig de administrador que trae el cluster el primer día pasa de mano en mano, o, como mucho, un token de ServiceAccount asociado a un Role que Dios sabe cómo se llama y dónde está; se copia en portátiles y en los secretos de la CI, y a los pocos meses nadie sabe cuántas copias hay. Cuando algo se rompe, en la auditoría del cluster pone kubernetes-admin, que es el mismo para todos. Lo conté con calma en Por qué existe kubelatch.

Luego llegaron los agentes de IA, y la pregunta se puso más seria. Claude Code o Cursor averiguan en diez minutos por qué falla un pod, pero para eso tienen que llegar al cluster. ¿De verdad le voy a pegar mi kubeconfig a un agente y a cruzar los dedos? O peor: ¿dejar que lea el ~/.kube/config de mi usuario? Hace lo mismo que yo, y luego en la auditoría no se distingue qué hice yo y qué hizo él.

Lo que había

Miré las opciones antes de escribir una línea. Los certificados de cliente son lo que trae cualquier cluster, y Kubernetes no los revoca: el que se emite vale hasta que caduca. OIDC en el API server sería lo correcto, pero los clusters gestionados no dejan configurarlo. El IAM de cada nube funciona, con tres proveedores y tres inventarios distintos. Ninguna de las tres se comportaba igual en todos los clusters sin tocar el API server.

La única pieza que sí lo hace es un proxy con suplantación: una puerta delante de cada API server que comprueba quién pide, lo registra y reenvía la petición al cluster en nombre de esa persona. El cluster sigue autorizando cada verbo con su propio RBAC; el proxy solo le dice quién pregunta. Los motivos, y lo que cuesta, están en Por qué un proxy.

Meses de trabajo

Lo primero fue el proxy, y una decisión que mantengo: un binario de Go, Postgres y poco más. Después, el reconciliador que escribe el RBAC en cada cluster para que nadie edite un RoleBinding a mano, y los seis roles del sistema, de viewer a cluster-admin. Luego las credenciales con caducidad obligatoria, que se revocan desde una pantalla y dejan al siguiente kubectl con un 401.

Con eso funcionando llegó la CI: un job de GitHub Actions cambia el token OIDC que le da GitHub por una credencial de una hora, sin ningún secreto guardado en el repositorio. Y la parte que más ilusión me hace, el servidor MCP: un agente trabaja en tu cluster como tú, con menos permisos de los que tienes, durante unas horas, y cada cambio que quiera hacer espera a que lo apruebes con el diff delante. Lo cuento en Un agente de IA en tu cluster, sin tu kubeconfig.

Por el camino han salido las ediciones Free y Pro, con los límites de Free por escrito en la licencia, la documentación en inglés y en español, el chart de Helm y las notas de cada versión. Han sido meses de trabajo, y de probarlo en clusters de verdad.

Con quién

kubelatch nace en Picaporte Labs, un estudio pequeño en España, con el respaldo de Jaraxa Software, que ya lo tiene desplegado en sus clusters y con uso intensivo: la mejor prueba que puede tener un producto así.

Qué quiere decir preview

kubelatch ya está en producción: Jaraxa Software lo usa a diario en sus clusters. La preview es el paso previo a la versión general, mientras Pro abre a la venta y el producto llega a más equipos. Antes de instalarlo, conviene que sepas esto:

• Solo se da soporte a la última versión, y las versiones salen a menudo. Actualizar es cambiar la imagen; la base de datos migra sola al arrancar.
• kubelatch no es un inicio de sesión único ni una service mesh: vigila una sola puerta, la API de Kubernetes. Ten preparado un acceso nativo de emergencia a cada cluster, porque lo que entra por ahí no pasa por kubelatch.
• Free está disponible hoy: 2 clusters, 5 personas, agentes sin límite y la auditoría de las últimas 24 horas. Pro todavía no se puede contratar; en Precios tienes la lista de espera, y los diez primeros equipos tendrán un 50 % de descuento el primer año. Si te interesa mucho y no quieres esperar, escríbenos a hola@picaportelabs.com.

Pruébalo

Con el tutorial en local montas kubelatch y un cluster kind desechable en tu máquina en unos quince minutos; su paso 14, opcional, te lleva otros cinco: conectas Claude Code para que actúe como tú y ves cómo un borrado espera tu aprobación.

Y si lo pruebas, cuéntamelo. Busco equipos que lo usen con sus agentes y me digan qué no cuadra, y partners que quieran ayudar a que crezca y a que llegue a más equipos. Escríbeme, o a hello@kubelatch.com.