Container Service for Kubernetes:Use RRSA for pod-level access control

Obtenir l'URL et l'ARN du fournisseur OIDC

Une fois RRSA activé, survolez l'étiquette Enabled à côté de RRSA OIDC dans la section Security and Auditing. L'URL et le nom de ressource Alibaba Cloud (ARN) du fournisseur OIDC s'affichent.

Notez ces deux valeurs, car elles seront nécessaires lors de la configuration des rôles RAM et des modèles d'application.

1. Installer ack-pod-identity-webhook

ack-pod-identity-webhook injecte automatiquement le chemin du fichier de jeton OIDC et l'ARN du rôle RAM dans les pods sous forme de variables d'environnement. Ignorez cette étape si vous souhaitez configurer manuellement les modèles de pod. Consultez la section Configurer manuellement les modèles de pod.

1. Dans la console ACK, cliquez sur le nom de votre cluster. Dans le volet de navigation de gauche, cliquez sur Add-ons.

2. Sur la page Add-ons, cliquez sur l'onglet Security.

3. Recherchez ack-pod-identity-webhook et cliquez sur Install.

4. Confirmez les informations et cliquez sur OK.

2. Créer ou configurer un rôle RAM pour le fournisseur d'identité OIDC

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. Accorder des autorisations au rôle RAM

Attachez la stratégie AliyunCSReadOnlyAccess au rôle demo-role-for-rrsa. Consultez la rubrique Accorder des autorisations à un rôle RAM.

Cette opération accorde à l'application un accès en lecture seule aux informations du cluster ACK.

4. Déployer votre application

Créez un fichier nommé demo.yaml contenant le code ci-dessous. Le libellé de namespace pod-identity.alibabacloud.com/injection: 'on' et l'annotation du compte de service pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa activent l'injection automatique par ack-pod-identity-webhook. Pour plus d'informations, consultez ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Déployez l'application :

kubectl apply -f demo.yaml

5. Vérifier la configuration injectée

Confirmez que ack-pod-identity-webhook a injecté les variables d'environnement et les montages de volume requis :

kubectl -n rrsa-demo get pod demo -o yaml

La sortie attendue inclut les éléments injectés suivants :

Voici à quoi ressemble une spécification de pod correctement injectée :

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Consulter les journaux de l'application

Affichez les journaux de l'application :

kubectl -n rrsa-demo logs demo

En cas de succès, la commande liste les clusters de votre compte Alibaba Cloud :

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

Facultatif : Pour vérifier l'application du principe du moindre privilège, détachez la stratégie AliyunCSReadOnlyAccess du rôle RAM (consultez la rubrique Supprimer des autorisations d'un rôle RAM). Attendez 30 secondes, puis exécutez à nouveau la commande de journalisation. L'application renvoie une erreur 403 semblable à celle-ci :

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Cela confirme que RRSA applique les autorisations au niveau du pod.

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oidc_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

Versions prises en charge et démos des SDK

Consultez la documentation relative aux identifiants pour chaque langage — Méthode 6 : Utiliser le rôle RAM d'un fournisseur d'identité OIDC.

Démos spécifiques aux SDK des services cloud

Certains SDK de services cloud offrent une prise en charge native des jetons OIDC :

Alibaba Cloud CLI

Alibaba Cloud CLI v3.0.206 et versions ultérieures prennent en charge RRSA. Définissez region_id sur votre région cible.

Option A : Fichier de configuration. Définissez mode sur OIDC dans ~/.aliyun/config.json :

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Option B : Commande directe (aucun fichier de configuration requis) :

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Résultat attendu :

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Consultez la section Types d'identifiants.

ossutil 2,0

ossutil V2.1.0 et versions ultérieures prennent en charge RRSA. Remplacez region par votre région réelle.

Définissez mode sur oidcRoleArn dans ~/.ossutilconfig :

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

Consultez les Exemples dans la documentation d'ossutil 2,0.

Interface CLI Simple Log Service

L'interface CLI Simple Log Service ne prend pas en charge les fichiers de configuration OIDC. Utilisez ack-ram-tool pour injecter les identifiants au moment de l'exécution :

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

Alibaba Cloud Provider V1.222.0 et versions ultérieures prennent en charge assume_role_with_oidc . Définissez region sur votre région cible.

Ajoutez assume_role_with_oidc à la configuration de votre fournisseur :

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Consultez la démo Terraform RRSA.

Erreurs liées au SDK