El complemento ack-ram-authenticator autentica las solicitudes al servidor de API en clústeres administrados de ACK mediante la autenticación de tokens por webhook y RAM. Este tema aborda la descripción general del complemento, notas de uso, configuración y notas de versión.
Descripción general
El complemento ack-ram-authenticator autentica las solicitudes al servidor de API en clústeres administrados de ACK mediante la autenticación de tokens por webhook nativa de Kubernetes y RAM. Puede definir asignaciones entre identidades de RAM y permisos de control de acceso basado en roles (RBAC) mediante definiciones de recursos personalizados (CRD) para lograr una autorización RBAC flexible.
Cuando un usuario asume un rol de SSO de Alibaba Cloud para acceder al servidor de API, ack-ram-authenticator transmite al servidor el nombre de sesión correspondiente a la identidad del usuario. Esto permite auditar con mayor seguridad las solicitudes de acceso de distintos usuarios que asumen el mismo rol.
La siguiente figura muestra cómo funciona la autenticación por webhook en un clúster administrado de ACK con ack-ram-authenticator instalado.
Al usar una herramienta como kubectl para autenticarse ante el servidor de API, el cliente kubectl ejecuta el comando
execdel archivo kubeconfig e invoca a ack-ram-tool para generar una URL de token STS firmada.El cliente kubectl envía el webhook de autenticación al servidor de API, que lo enruta hacia ack-ram-authenticator.
ack-ram-authenticator llama a la operación GetCallerIdentity para obtener la identidad del solicitante desde la URL del token y luego la compara con las asignaciones de identidad definidas en las configuraciones de RAMIdentityMapping.
El servidor de API verifica los permisos RBAC del usuario o grupo de usuarios de RAM coincidente y devuelve el resultado de la autenticación al cliente kubectl.
Notas de uso
Consulte Use ack-ram-authenticator for webhook authentication.
Configuración
ack-ram-authenticator admite las siguientes configuraciones:
Parámetro | Tipo | Descripción |
EnableNonBootstrapMapping | boolean | Indica si se habilitan las asignaciones de roles de RAM a RBAC configuradas en Step 5: Map RAM identities to RBAC permissions.
Nota Aplica a la versión v0.4.0.0-g33f30dac-aliyun y posteriores. |
Notas de versión
Abril de 2025
Versión | Descripción | Fecha de lanzamiento | Impacto |
v0.4.1.0-g8023a0b5-aliyun |
| 2025-04-29 | La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |
Marzo de 2025
|
Versión |
Descripción |
Fecha de lanzamiento |
Impacto |
|
v0.4.0.0-g33f30dac-aliyun |
Agrega el parámetro |
2025-03-31 |
La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |
Septiembre de 2024
|
Versión |
Descripción |
Fecha de lanzamiento |
Impacto |
|
v0.3.0.0-gea598ff0-aliyun |
Actualiza Golang a la versión 1.22.7 para mejorar la estabilidad. |
2024-09-09 |
La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |
Abril de 2024
Versión | Descripción | Fecha de lanzamiento | Impacto |
v0.2.1.3-g694325a9-aliyun | Proporciona información de versión de ack-ram-authenticator mediante llamadas a GetCallerIdentity para facilitar la solución de problemas. | 2024-04-12 | La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |
v0.2.0.3-gcea89d25-aliyun | Versión canary. Agrega compatibilidad con la arquitectura ARM. | 2024-04-10 |
Noviembre de 2023
Versión | Descripción | Fecha de lanzamiento | Impacto |
v0.2.0.0-g9cf9d682-aliyun |
| 2023-11-15 | La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |
Mayo de 2023
|
Versión |
Descripción |
Fecha de lanzamiento |
Impacto |
|
v0.1.0.5-g6e50a122-aliyun |
Lanzamiento inicial de ack-ram-authenticator. |
2023-05-18 |
La instalación o desinstalación de ack-ram-authenticator desencadena un reinicio del plano de control, lo que interrumpe las conexiones persistentes al API server. Realice estas operaciones fuera del horario pico para minimizar el impacto en el servicio. |