Use custom worker RAM Roles for fine-grained Node Pool permissions - Container Service for Kubernetes

Pour appliquer le principe du moindre privilège, attribuez un rôle Resource Access Management (RAM) personnalisé à des pools de nœuds spécifiques dans votre cluster ACK. Plutôt que de partager un seul rôle par défaut entre tous les nœuds, ce qui risque d'entraîner une attribution excessive d'autorisations, les rôles personnalisés isolent les autorisations au niveau du pool de nœuds.

Important

Vous ne pouvez attribuer un rôle RAM de nœud de travail personnalisé que lors de la création d'un cluster ou d'un nouveau pool de nœuds. Il est impossible de modifier le rôle RAM de nœud de travail d'un pool de nœuds existant.

Prérequis

Avant de commencer, vérifiez que vous remplissez les conditions suivantes :

Version du cluster : Un cluster géré ACK exécutant Kubernetes 1.22 ou une version ultérieure. Consultez la rubrique Créer un cluster géré ACK.
Autorisations de l'opérateur : L'utilisateur RAM ou le rôle RAM utilisé pour créer le pool de nœuds doit disposer de l'autorisation ram:PassRole.

Remarque
Si l'utilisateur RAM ou le rôle RAM dispose déjà de l'autorisation AliyunCSFullAccess, l'autorisation ram:PassRole n'est pas requise.
ram:PassRole exemples de stratégies
Utilisez l'un des exemples de stratégie d'autorisation suivants. Pour savoir comment créer et attacher des stratégies, consultez les rubriques Créer une stratégie personnalisée, Gérer les autorisations des utilisateurs RAM et Accorder des autorisations à un rôle RAM.

Autoriser un rôle RAM spécifique

Remplacez <role_arn> par l'ARN de votre rôle RAM. Pour trouver l'ARN, consultez la rubrique Comment afficher l'ARN d'un rôle RAM ?
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": [
        "<role_arn>"
      ],
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}
```
Autoriser tous les rôles RAM (à utiliser avec prudence)
```
{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}
```

Étape 1 : Créer un rôle RAM personnalisé

Créez le rôle RAM que vous souhaitez attribuer à votre pool de nœuds. Ce rôle doit répondre à deux exigences :

Nomination : Le nom du rôle ne doit pas commencer par KubernetesMasterRole- ni par KubernetesWorkerRole-.
Entité de confiance : Le service de confiance doit être Cloud Service.

Utilisez l'une des méthodes suivantes pour créer le rôle.

Console

Suivez les instructions de la rubrique Créer un rôle de service standard.

OpenAPI ou Terraform

Créez le rôle en utilisant OpenAPI ou Terraform, puis configurez la stratégie de confiance comme suit. Pour plus de détails sur la modification de la stratégie de confiance, consultez la rubrique Modifier la stratégie de confiance d'un rôle RAM.

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

Étape 2 : Attribuer le rôle à un nouveau pool de nœuds

Une fois le rôle créé, attachez-le lors de la création d'un cluster ou d'un pool de nœuds.

Connectez-vous à la console ACK.
Accédez à la page de création de cluster ou de création de pool de nœuds.
Développez la section Advanced Options et définissez le paramètre Worker RAM Role sur le rôle que vous avez créé à l'étape Étape 1.

Pour des instructions détaillées, consultez :

Étapes suivantes

Un rôle RAM nouvellement créé ne dispose d'aucune autorisation par défaut. Accordez les autorisations requises par chaque pool de nœuds et révoquez celles qui sont inutiles.

Accorder des autorisations

Console : Créer une stratégie personnalisée et Accorder des autorisations à un rôle RAM
OpenAPI : CreatePolicy et AttachPolicyToRole
Terraform : Créer un rôle RAM et accorder des autorisations à l'aide de Terraform

Révoquer des autorisations

Révoquez dès que possible les autorisations qui ne sont plus nécessaires. Consultez la rubrique Révoquer des autorisations d'un rôle RAM.