Container Service for Kubernetes:Restrict worker RAM role permissions

Prérequis

Avant de commencer, assurez-vous que :

• Vous disposez d'un cluster ACK managé (Pro ou Basic) exécutant Kubernetes 1.18 ou une version ultérieure. Créez un cluster ACK managé ou mettez à niveau manuellement un cluster si nécessaire. Vous pouvez également migrer un cluster ACK dédié vers un cluster ACK managé Pro.

• Vous avez accordé les rôles de service par défaut requis par le cluster ACK managé. Pour plus d'informations, consultez la section Accorder des autorisations aux rôles de service.

Étape 1 : Évaluer les autorisations actuelles

Déterminez si le rôle RAM des nœuds de calcul dispose d'autorisations excessives qui doivent être restreintes.

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom du cluster cible. Sous l'onglet Basic Information, cliquez sur le lien situé à côté de Worker RAM Role.

3. Dans la console RAM, accédez à l'onglet Permissions de la page Role.

   • Si aucune politique n'est associée, aucune action supplémentaire n'est requise. Le rôle RAM des nœuds de calcul ne dispose pas d'autorisations supplémentaires.

   • Si des politiques sont associées (par exemple, k8sWorkerRolePolicy-db8ad5c7***), le rôle peut disposer d'autorisations supérieures au nécessaire. Évaluez la situation en fonction de vos besoins métier et du principe du moindre privilège, puis passez à l'étape suivante.

Étape 2 : Mettre à niveau les modules complémentaires

Historiquement, les modules complémentaires ACK s'appuyaient sur le rôle RAM des nœuds de calcul pour accéder aux ressources cloud. Les modules complémentaires ACK actuels utilisent l'authentification basée sur des jetons (rôles de service managés). Mettez à niveau les modules complémentaires de votre cluster et analysez les journaux d'audit afin de supprimer les autorisations inutiles du rôle RAM des nœuds de calcul et de limiter l'impact d'éventuels incidents de sécurité.

Pour plus d'informations, consultez la rubrique Gérer les modules complémentaires.

Étape 3 : Collecter les journaux d'audit

Configurez la journalisation d'audit pour suivre les opérations API Alibaba Cloud effectuées par le rôle RAM des nœuds de calcul. Ces données vous indiquent quelles autorisations sont encore utilisées et lesquelles peuvent être supprimées en toute sécurité.

1. Connectez-vous à la console ActionTrail.

2. Créez une piste mono-compte pour la région où se trouve le cluster. Lors de la création de la piste, sélectionnez Delivery to Log Service. Pour plus d'informations, consultez la rubrique Créer une piste mono-compte.

Pour obtenir la liste complète des services pris en charge par ActionTrail, consultez la rubrique Services Alibaba Cloud pris en charge.

Étape 4 : Tester les fonctionnalités du cluster

Après avoir mis à niveau les modules complémentaires et redéployé les charges de travail, vérifiez que les fonctionnalités principales du cluster fonctionnent toujours correctement.

Étape 5 : Analyser les journaux d'audit

Après avoir collecté les journaux pendant au moins une semaine, interrogez les données pour identifier les opérations API effectuées par le rôle RAM des nœuds de calcul.

1. Connectez-vous à la console Simple Log Service (SLS).

2. Dans la section Projects, cliquez sur le projet spécifié à l'étape 3.

   

3. Sous l'onglet Log Storage > Logstore, cliquez sur le Logstore de destination. Le Logstore est nommé actiontrail_<trail_name>.

4. Exécutez la requête suivante pour répertorier les opérations API appelées via le jeton Security Token Service (STS) du rôle RAM des nœuds de calcul. Remplacez <worker_role_name> par le nom du rôle RAM des nœuds de calcul de votre cluster. Les résultats affichent les services Alibaba Cloud et les opérations API appelés. Utilisez ces données à l'étape 6 pour décider des autorisations à conserver et de celles à supprimer.

      * and event.userIdentity.userName: <worker_role_name> | select "event.serviceName", "event.eventName", count(*) as total GROUP BY "event.eventName", "event.serviceName"

Étape 6 : Supprimer les autorisations inutilisées

Sur la base de l'analyse des journaux d'audit, supprimez les autorisations dont le rôle RAM des nœuds de calcul n'a pas besoin.

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom du cluster cible. Sous l'onglet Basic Information, cliquez sur le lien situé à côté de Worker RAM Role.

3. Sous l'onglet Permissions de la page Role, cliquez sur la stratégie d'accès cible pour accéder à l'onglet Policy Content. Cliquez sur Modify Policy.

   Important

   Avant de modifier le document de stratégie, effectuez une sauvegarde. Cela vous permettra de revenir à la configuration d'autorisation précédente si nécessaire.

4. Supprimez les autorisations inutiles en vous basant sur l'analyse des journaux d'audit de l'étape 5. Par exemple, supprimez de la stratégie les autorisations Action qui n'ont pas été invoquées pendant votre période d'audit. Si la requête n'a renvoyé aucun résultat, vous pouvez détacher la stratégie entière du rôle en toute sécurité.

5. Redéployez les charges de travail à l'aide des commandes répertoriées à l'étape 2.

6. Répétez les étapes 4, 5 et 6 jusqu'à ce que le rôle RAM des nœuds de calcul ne dispose que des autorisations minimales requises par les modules complémentaires ou les applications.

Références

• Pour obtenir une vue d'ensemble du système d'autorisation ACK, consultez la rubrique Bonnes pratiques en matière d'autorisation.