Container Service for Kubernetes:Use RRSA for pod-level access control

Obtención de la URL y el ARN del proveedor OIDC

Una vez habilitado RRSA, pase el cursor sobre la etiqueta Enabled junto a RRSA OIDC en la sección Security and Auditing. Se mostrarán la URL y el Alibaba Cloud Resource Name (ARN) del proveedor OIDC.

Anote ambos valores, ya que los necesitará al configurar los roles de RAM y las plantillas de la aplicación.

1. Instale ack-pod-identity-webhook

ack-pod-identity-webhook inyecta automáticamente la ruta del archivo de token OIDC y el ARN del rol de RAM en los pods como variables de entorno. Omita este paso si prefiere configurar las plantillas de pod manualmente. Consulte Manually configure pod templates.

1. En la consola de ACK, haga clic en el nombre de su clúster. En el panel de navegación izquierdo, haga clic en Add-ons.

2. En la página Add-ons, haga clic en la pestaña Security.

3. Busque ack-pod-identity-webhook y haga clic en Install.

4. Confirme la información y haga clic en OK.

2. Cree o configure un rol de RAM para el proveedor de identidades OIDC

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. Otorgue permisos al rol de RAM

Adjunte la política AliyunCSReadOnlyAccess a demo-role-for-rrsa. Consulte Grant permissions to a RAM role.

Esto otorga a la aplicación acceso de solo lectura a la información del clúster de ACK.

4. Despliegue su aplicación

Cree un archivo llamado demo.yaml con el siguiente contenido. La etiqueta de namespace pod-identity.alibabacloud.com/injection: 'on' y la anotación de cuenta de servicio pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa permiten la inyección automática mediante ack-pod-identity-webhook. Consulte ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Despliegue la aplicación:

kubectl apply -f demo.yaml

5. Compruebe la configuración inyectada

Compruebe que ack-pod-identity-webhook haya inyectado las variables de entorno y los montajes de volumen necesarios:

kubectl -n rrsa-demo get pod demo -o yaml

La salida esperada incluye los siguientes elementos inyectados:

Una especificación de pod con la inyección correcta tiene el siguiente aspecto:

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Revise los registros de la aplicación

Muestre el registro de la aplicación:

kubectl -n rrsa-demo logs demo

Si la ejecución es exitosa, se listarán los clústeres de su cuenta de Alibaba Cloud:

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

Opcional: para comprobar que se aplica el privilegio mínimo, quite la política AliyunCSReadOnlyAccess del rol de RAM (consulte Remove permissions from a RAM role). Espere 30 segundos y vuelva a ejecutar el comando de registros. La aplicación devolverá un error 403 similar al siguiente:

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Esto confirma que RRSA aplica los permisos a nivel de pod.

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oidc_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

Versiones de SDK compatibles y demostraciones

Consulte la documentación de credenciales de cada lenguaje en la sección Method 6: Use the RAM role of an OIDC IdP.

Demostraciones de SDK para servicios específicos

Algunos SDK de servicios en la nube ofrecen compatibilidad nativa con tokens OIDC:

Alibaba Cloud CLI

Alibaba Cloud CLI v3.0.206 y versiones posteriores admiten RRSA. Establezca region_id con la región de destino.

Opción A: Archivo de configuración. Establezca mode en OIDC dentro de ~/.aliyun/config.json:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Opción B: Comando directo (no requiere archivo de configuración):

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Salida esperada:

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Consulte Credential types.

ossutil 2.0

ossutil V2.1.0 y versiones posteriores admiten RRSA. Reemplace region con su región real.

Establezca mode en oidcRoleArn dentro de ~/.ossutilconfig:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

Consulte Examples en la documentación de ossutil 2.0.

CLI de Simple Log Service

La CLI de Simple Log Service no admite archivos de configuración OIDC. Utilice ack-ram-tool para inyectar las credenciales en tiempo de ejecución:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

Alibaba Cloud Provider V1.222.0 y versiones posteriores admiten assume_role_with_oidc . Establezca region con la región de destino.

Agregue assume_role_with_oidc a la configuración de su proveedor:

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Consulte la demostración de RRSA con Terraform.

Errores del SDK