Container Service for Kubernetes:Gunakan RRSA untuk kontrol akses tingkat pod

Dapatkan URL dan ARN penyedia OIDC

Setelah RRSA diaktifkan, arahkan kursor ke label Enabled di samping RRSA OIDC dalam bagian Security and Auditing. URL dan Nama Sumber Daya Alibaba Cloud (ARN) penyedia OIDC akan ditampilkan.

Catat kedua nilai tersebut untuk digunakan saat mengonfigurasi peran RAM dan templat aplikasi.

1. Instal ack-pod-identity-webhook

ack-pod-identity-webhook secara otomatis menyuntikkan path file token OIDC dan ARN peran RAM ke dalam pod sebagai variabel lingkungan. Lewati langkah ini jika ingin mengonfigurasi templat pod secara manual. Lihat Mengonfigurasi templat pod secara manual.

1. Di Konsol ACK, klik nama kluster Anda. Di panel navigasi kiri, klik Add-ons.

2. Di halaman Add-ons, klik tab Security.

3. Temukan ack-pod-identity-webhook dan klik Install.

4. Konfirmasi informasi dan klik OK.

2. Buat atau konfigurasi peran RAM untuk penyedia identitas OIDC

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. Berikan izin kepada peran RAM

Lampirkan kebijakan AliyunCSReadOnlyAccess ke demo-role-for-rrsa. Lihat Berikan izin kepada peran RAM.

Hal ini memberikan akses read-only kepada aplikasi terhadap informasi kluster ACK.

4. Terapkan aplikasi Anda

Buat file bernama demo.yaml dengan konten berikut. Label namespace pod-identity.alibabacloud.com/injection: 'on' dan anotasi akun layanan pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa mengaktifkan injeksi otomatis oleh ack-pod-identity-webhook. Lihat ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Terapkan aplikasi:

kubectl apply -f demo.yaml

5. Verifikasi konfigurasi yang diinjeksikan

Konfirmasi bahwa ack-pod-identity-webhook telah menginjeksikan variabel lingkungan dan mount volume yang diperlukan:

kubectl -n rrsa-demo get pod demo -o yaml

Output yang diharapkan mencakup item yang diinjeksikan berikut:

Spesifikasi pod yang diinjeksikan dengan benar tampak seperti berikut:

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Periksa log aplikasi

Cetak log aplikasi:

kubectl -n rrsa-demo logs demo

Jika berhasil, akan menampilkan daftar kluster dalam akun Alibaba Cloud Anda:

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

Opsi tambahan: Untuk memverifikasi penerapan hak istimewa minimal, lepaskan kebijakan AliyunCSReadOnlyAccess dari peran RAM (lihat Hapus izin dari peran RAM). Tunggu 30 detik, lalu jalankan kembali perintah log. Aplikasi akan mengembalikan error 403 seperti berikut:

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Hal ini mengonfirmasi bahwa RRSA menerapkan izin pada tingkat pod.

Versi SDK yang didukung dan demo

Lihat dokumentasi kredensial untuk setiap bahasa — Metode 6: Gunakan peran RAM dari IdP OIDC.

Demo SDK khusus layanan cloud

Beberapa SDK layanan cloud menyediakan dukungan token OIDC native:

Alibaba Cloud CLI

Alibaba Cloud CLI v3.0.206 dan versi lebih baru mendukung RRSA. Tetapkan region_id ke wilayah target Anda.

Opsi A: File konfigurasi. Tetapkan mode ke OIDC dalam ~/.aliyun/config.json:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Opsi B: Perintah langsung (tanpa file konfigurasi):

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Output yang diharapkan:

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Lihat Jenis kredensial.

ossutil 2.0

ossutil V2.1.0 dan versi lebih baru mendukung RRSA. Ganti region dengan wilayah aktual Anda.

Tetapkan mode ke oidcRoleArn dalam ~/.ossutilconfig:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

Lihat Contoh dalam dokumentasi ossutil 2.0.

Simple Log Service CLI

Simple Log Service CLI tidak mendukung file konfigurasi OIDC. Gunakan ack-ram-tool untuk menyuntikkan kredensial saat runtime:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

Alibaba Cloud Provider V1.222.0 dan versi lebih baru mendukung assume_role_with_oidc. Tetapkan region ke wilayah target Anda.

Tambahkan assume_role_with_oidc ke konfigurasi provider Anda:

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Lihat Demo Terraform RRSA.

Error SDK