Container Service for Kubernetes:Create and authorize users in ACK One GitOps

Prérequis

Assurez-vous que les conditions suivantes sont remplies :

• kubectl est connecté à l'instance Fleet avec le fichier kubeconfig issu de la console ACK One.

• GitOps est activé pour l'instance Fleet.

• Le mot de passe administrateur Argo CD. Consultez la section Accéder à Argo CD à l'aide de l'CLI Argo CD.

Ajouter un utilisateur local

1. Modifiez le ConfigMap argocd-cm.

   kubectl edit cm argocd-cm -n argocd

2. Ajoutez l'utilisateur local sous le champ data. Cet exemple ajoute un utilisateur nommé localuser1.

   data:
     accounts.localuser1: login,apiKey    # Grants UI login and API key generation
     accounts.localuser1.enabled: "true"  # Enables the user

   Chaque compte prend en charge deux fonctionnalités :

   • login — se connecter à l'interface utilisateur et à l'CLI Argo CD

   • apiKey — générer des jetons d'authentification pour l'accès API

3. Vérifiez que l'utilisateur a bien été créé.

   argocd account list

   Résultat attendu :

   NAME        ENABLED  CAPABILITIES
   admin       true     login
   localuser1  true     login,apiKey

4. Définissez un mot de passe et générez un jeton.

   # Set a password
   argocd account update-password \
     --account localuser1 \
     --current-password <admin-password> \
     --new-password <localuser1-password>
   
   # Generate an API key token
   argocd account generate-token --account localuser1
   eyJhb......

Rôles prédéfinis

Pour accorder des autorisations, attribuez d'abord les permissions à un rôle, puis associez un groupe SSO ou un utilisateur local à ce rôle. Les rôles personnalisés sont pris en charge et les rôles intégrés suivants sont disponibles :

Les rôles personnalisés avec des autorisations granulaires sont également pris en charge.

Syntaxe des politiques

Toutes les politiques sont définies dans le champ .data.policy.csv du ConfigMap argocd-rbac-cm.

Attribuer une autorisation (règle p) :

p, <role/user/group>, <resource>, <action>, <object>

Pour les ressources au sein d'un projet :

p, <role/user/group>, <resource>, <action>, <appproject>/<object>

Où :

• <role/user/group> — nom de rôle, nom d'utilisateur local ou groupe/UID SSO

• <resource> — type de ressource Argo CD

• <action> — opération à autoriser

• <object> — instance de ressource spécifique, ou * pour toutes les instances

Associer un utilisateur ou un groupe à un rôle (règle g) :

g, <user/group>, <role>

Ressources et actions prises en charge

Argo CD prend en charge les ressources suivantes : clusters, projects, applications, applicationsets, repositories, certificates, accounts, gpgkeys, logs, exec et extensions.

Les actions suivantes sont prises en charge : get, create, update, delete, sync, override et action/<api-group>/<Kind>/<action-name>.

Les actions sync, override et action/<api-group>/<Kind>/<action-name> sont valides uniquement pour la ressource applications.

Accorder des autorisations à un utilisateur local

1. Modifiez le ConfigMap argocd-rbac-cm.

   kubectl edit cm argocd-rbac-cm -n argocd

2. Ajoutez une règle g pour mapper l'utilisateur local à un rôle. Cet exemple mappe localuser1 à role:admin.

   • Mappez localuser1 à role:admin pour un accès complet à toutes les ressources Argo CD.

   • Mappez localuser1 au rôle personnalisé project-admin (commenté) pour un accès limité au projet.

   Important

   Ne modifiez pas les autres configurations existantes dans le ConfigMap.

   data:
     policy.csv: |
   ##  p, role:project-admin, applications, *, */*, allow
   ##  p, role:project-admin, projects, *, *, allow
   
         g, "14***01", role:admin          # Keep the current setting.
         g, localuser1, role:admin         # Map localuser1 to role:admin.
   ##    g, localuser1, role:project-admin # Alternative: map to a custom role.
       scopes: '[uid]'                     # Keep the current setting.

   Cet exemple couvre deux scénarios :

Accorder des autorisations aux utilisateurs RAM ou aux rôles RAM

ACK One GitOps intègre par défaut l'interface utilisateur Argo CD et l'CLI Argo CD avec l'authentification SSO RAM d'Alibaba Cloud. Une fois connecté à la console Alibaba Cloud, vous pouvez accéder à l'interface utilisateur Argo CD ou à l'CLI Argo CD via le SSO sans ressaisir vos informations d'identification. Les administrateurs d'instance Fleet reçoivent automatiquement les autorisations d'administrateur Argo CD. L'administrateur du fleet doit accorder des autorisations aux utilisateurs RAM ordinaires.

Pour un utilisateur RAM ordinaire, accordez à la fois :

1. Les autorisations RBAC Argo CD dans argocd-rbac-cm

2. Les autorisations au niveau de l'application via les projets Argo CD