Container Service for Kubernetes:Authorize in-cluster operations with RBAC

Fonctionnement

Le système d'autorisation ACK se compose de deux couches, Alibaba Cloud RAM et Kubernetes RBAC, qui forment une chaîne d'autorisation complète allant des ressources cloud aux ressources internes au cluster.

• RAM : Détermine qui peut accéder au cluster. Il opère au niveau des ressources cloud et contrôle les autorisations d'un principal pour les opérations API sur les clusters ACK et leurs services cloud dépendants.

• RBAC : Détermine ce qu'un principal peut faire dans le cluster. Il offre une autorisation granulaire en définissant les opérations (telles que la création ou la suppression) qu'un principal peut effectuer sur des ressources Kubernetes spécifiques (telles que les Pods et les Deployments).

Mécanisme Kubernetes RBAC

• Un ClusterRole définit un ensemble d'autorisations applicables à l'ensemble du cluster. Un ClusterRoleBinding le lie à un principal, rendant les autorisations effectives à l'échelle du cluster.

• Un Role définit un ensemble d'autorisations limitées à un seul namespace. Un RoleBinding le lie à un principal, rendant les autorisations effectives uniquement dans ce namespace.

Scénario 1 : Autoriser avec un compte Alibaba Cloud

Scénario 2 : Autoriser avec un utilisateur ou un rôle RAM

Par défaut, un utilisateur RAM ou un rôle RAM ne peut pas accorder d'autorisations RBAC à d'autres principaux. Pour simplifier la gestion des autorisations, désignez un utilisateur RAM ou un rôle RAM en tant qu'administrateur des autorisations. L'administrateur pourra alors accorder des autorisations RBAC à d'autres principaux.

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ],
    "Version": "1"
}

Bonnes pratiques pour les environnements de production

Pour renforcer la sécurité et la maintenabilité de la gestion des autorisations, appliquez les bonnes pratiques suivantes.

• Respecter le principe du moindre privilège

  Accordez aux principaux, tels que les utilisateurs et les rôles RAM, uniquement l'ensemble minimal d'autorisations requis pour exécuter leurs tâches. Évitez d'accorder indiscriminément des rôles à privilèges élevés, tels que Administrator.

• Mettre en œuvre une autorisation granulaire

  • Utiliser une autorisation en couches : Différenciez les responsabilités entre RAM pour l'accès aux ressources cloud et RBAC pour l'accès aux ressources internes au cluster.

  • Restreindre la portée : Chaque fois que possible, utilisez un RoleBinding pour limiter les autorisations à un namespace spécifique plutôt qu'un ClusterRoleBinding à l'échelle du cluster.

  • Choisir les rôles avec précision : Utilisez les rôles prédéfinis fournis par ACK. Si vous devez créer des rôles personnalisés, définissez les règles d'autorisation avec précision et évitez d'utiliser des caractères génériques (*).

• Pratiquer une gouvernance continue

  La gestion des autorisations est un processus dynamique. Mettez en place un mécanisme d'audit régulier pour révoquer rapidement les autorisations redondantes ou excessives. Enregistrez et surveillez les opérations des rôles à privilèges élevés, tels que les administrateurs des autorisations.

Annexe : Rôles prédéfinis

Pour simplifier la gestion des autorisations et répondre aux cas d'utilisation courants, ACK propose plusieurs rôles prédéfinis standardisés basés sur le mécanisme RBAC.

FAQ

Rubriques connexes

• Si les rôles prédéfinis ne répondent pas à vos besoins et que vous avez besoin d'autorisations RBAC personnalisées pour accéder aux ressources internes au cluster, consultez la section Utiliser RBAC personnalisé pour restreindre les opérations sur les ressources internes au cluster.

• Pour connaître les workflows d'autorisation complets (incluant à la fois les autorisations RAM et RBAC) pour différents rôles opérationnels, consultez les rubriques suivantes :

  • Scénario 2 : Accorder des autorisations à un ingénieur O&M pour un cluster et ses applications

  • Scénario 3 : Accorder des autorisations à un développeur d'applications pour un cluster

  • Scénario 4 : Accorder des autorisations à un administrateur des autorisations pour les applications internes au cluster

• Pour obtenir des informations sur les rôles de service utilisés par ACK, consultez la section Rôles de service ACK.

• Si vous rencontrez des problèmes lors de l'autorisation, consultez la section FAQ sur la gestion des autorisations.