Container Service for Kubernetes：Gunakan Proyeksi Token ServiceAccount

Prasyarat

• Sebuah klaster ACK dikelola, klaster ACK khusus, atau klaster ACK Serverless yang menjalankan Kubernetes 1.20 atau lebih baru telah dibuat. Untuk informasi lebih lanjut, lihat Buat klaster ACK dikelola, Buat klaster ACK khusus (tidak dilanjutkan), dan Buat klaster ACK Serverless.

• Fitur proyeksi volume token ServiceAccount diaktifkan selama proses pembuatan klaster.

  Secara default, fitur proyeksi volume token ServiceAccount diaktifkan di klaster yang menjalankan Kubernetes 1.22 atau lebih baru. Untuk meningkatkan klaster, lihat Tingkatkan klaster ACK secara manual.

  Server API dan controller-manager dari komponen sistem secara otomatis mengaktifkan gerbang fitur untuk mengikat proyeksi volume token ServiceAccount, serta menambahkan konfigurasi berikut dalam parameter startup server API.

  Parameter	Deskripsi	Nilai default	Konfigurasi Konsol
  service-account-issuer	Penerbit token ServiceAccount, yang sesuai dengan bidang iss dalam payload token.	https://kubernetes.default.svc	Didukung.
  api-audiences	Pengidentifikasi API, digunakan untuk memvalidasi token permintaan untuk layanan server API.	https://kubernetes.default.svc	Didukung. Lebih dari satu audience dapat dikonfigurasi, dipisahkan dengan koma (,).
  service-account-signing-key-file	Jalur file kunci privat yang menandatangani token.	/etc/kubernetes/pki/sa.key	Tidak didukung. Nilai default: /etc/kubernetes/pki/sa.key.

Langkah 1: Buat objek ServiceAccount

Secara default, setiap namespace memiliki default ServiceAccount, yang dapat Anda lihat dengan menjalankan perintah kubectl get serviceaccounts. Untuk menetapkan identitas tambahan ke proses yang berjalan di dalam pod, Anda dapat membuat ServiceAccount baru dengan menggunakan kode berikut:

kubectl apply -f - <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: build-robot
EOF

Setelah ServiceAccount dibuat, Anda dapat melihat informasi lengkap ServiceAccount dengan menjalankan perintah kubectl get serviceaccounts/build-robot -o yaml.

Langkah 2: Sebarkan aplikasi pod yang menggunakan proyeksi volume token ServiceAccount

Anda dapat memproyeksikan ServiceAccount ke dalam pod sebagai volume, memungkinkan kontainer di dalam pod menggunakan token untuk mengakses server API klaster dan mengotentikasi dengan ServiceAccount. Misalnya, Anda dapat menentukan audience, waktu kedaluwarsa (expirationSeconds), dan properti lain dari token, serta memproyeksikan ini ke dalam aplikasi yang berjalan di dalam pod.

1. Buat file bernama nginx.yaml dengan kode contoh berikut. Konfigurasi ini menentukan bahwa pod menggunakan ServiceAccount dengan audience vault dan waktu kedaluwarsa 2 jam.

   apiVersion: v1
   kind: Pod
   metadata:
     name: nginx
   spec:
     containers:
     - image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
       name: nginx
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: vault-token
     serviceAccountName: build-robot
     volumes:
     - name: vault-token
       projected:
         sources:
         - serviceAccountToken:
             path: vault-token
             expirationSeconds: 7200
             audience: vault

2. Jalankan perintah berikut untuk menyebarkan aplikasi yang berjalan di dalam pod yang menggunakan proyeksi volume:

   kubectl apply -f nginx.yaml

3. Verifikasi waktu kedaluwarsa token yang dipasang di dalam pod.

   1. Jalankan perintah berikut untuk memastikan bahwa pod berjalan seperti yang diharapkan:

      kubectl get pod nginx

      Output yang diharapkan:

      NAME    READY   STATUS    RESTARTS   AGE
      nginx   1/1     Running   0          3m15s

   2. Unduh token yang dipasang di dalam kontainer pod:

      kubectl exec -t nginx -- cat /var/run/secrets/tokens/vault-token > vault-token

   3. Jalankan perintah berikut untuk mendapatkan waktu kedaluwarsa token:

      cat vault-token |awk -F '.' '{print $2}' |base64 -d 2>/dev/null |jq  '.exp' | xargs -I {} date -d @{}

      Contoh output:

      Mon  Aug 26 15:45:59 CST 2024