All Products
Search

This Product

    Container Service for Kubernetes:ack-ram-authenticator

    Document Center

    Container Service for Kubernetes:ack-ram-authenticator

    Last Updated:Aug 21, 2026

    Add-on ack-ram-authenticator mengotentikasi permintaan ke server API di kluster ACK yang dikelola melalui otentikasi token webhook Kubernetes dan RAM. Topik ini mencakup ikhtisar add-on, catatan penggunaan, konfigurasi, dan catatan rilis.

    Ikhtisar

    Add-on ack-ram-authenticator mengotentikasi permintaan ke server API di kluster ACK yang dikelola menggunakan otentikasi token webhook native Kubernetes dan RAM. Anda dapat menentukan pemetaan antara identitas RAM dan izin kontrol akses berbasis peran (RBAC) melalui Definisi Sumber Daya Kustom (CRD) untuk otorisasi RBAC yang fleksibel.

    Ketika pengguna mengasumsikan peran Alibaba Cloud SSO untuk mengakses server API, ack-ram-authenticator meneruskan nama sesi yang sesuai dengan identitas pengguna ke server API. Hal ini memungkinkan auditing akses yang lebih aman terhadap permintaan dari pengguna berbeda yang mengasumsikan peran yang sama.

    Gambar berikut menunjukkan cara kerja otentikasi webhook di kluster ACK yang dikelola dengan ack-ram-authenticator yang telah diinstal.

    1111..png

    1. Saat Anda menggunakan alat seperti kubectl untuk mengotentikasi ke server API, klien kubectl menjalankan perintah exec dalam file kubeconfig dan memanggil ack-ram-tool untuk menghasilkan URL token STS yang ditandatangani.

    2. Klien kubectl mengirim webhook otentikasi ke server API, yang kemudian mengarahkannya ke ack-ram-authenticator.

    3. ack-ram-authenticator memanggil operasi GetCallerIdentity untuk memperoleh identitas pemanggil dari URL token, lalu mencocokkannya dengan pemetaan identitas yang ditentukan dalam konfigurasi RAMIdentityMapping.

    4. Server API memverifikasi izin RBAC dari pengguna RAM atau kelompok pengguna RAM yang cocok dan mengembalikan hasil otentikasi ke klien kubectl.

    Catatan Penggunaan

    Lihat Gunakan ack-ram-authenticator untuk otentikasi webhook.

    Konfigurasi

    ack-ram-authenticator mendukung konfigurasi berikut:

    Parameter

    Tipe

    Deskripsi

    EnableNonBootstrapMapping

    boolean

    Apakah akan mengaktifkan pemetaan role RAM ke izin RBAC yang dikonfigurasi di Langkah 5: Memetakan identitas RAM ke izin RBAC.

    • true: Mengaktifkan pemetaan yang dikonfigurasi di kluster.

    • false: Menonaktifkan pemetaan tersebut. Hanya pemetaan identitas yang diperlukan untuk inisialisasi node yang digunakan.

    Catatan

    Berlaku untuk v0.4.0.0-g33f30dac-aliyun dan versi setelahnya.

    Catatan Rilis

    April 2025

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.4.1.0-g8023a0b5-aliyun

    • Menambahkan identifier "identitySource": ["ack-ram-authenticator"] ke bidang extra dalam informasi pengguna yang dikembalikan, sehingga memungkinkan identifikasi cepat terhadap pengguna yang diautentikasi oleh ack-ram-authenticator.

    • Memperbarui Golang ke versi 1.24.2 untuk meningkatkan stabilitas.

    2025-04-29

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.

    Maret 2025

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.4.0.0-g33f30dac-aliyun

    Menambahkan parameter EnableNonBootstrapMapping. Lihat Konfigurasi.

    2025-03-31

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.

    September 2024

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.3.0.0-gea598ff0-aliyun

    Memperbarui Golang ke versi 1.22.7 untuk meningkatkan stabilitas.

    2024-09-09

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.

    April 2024

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.2.1.3-g694325a9-aliyun

    Menyertakan informasi versi ack-ram-authenticator dalam panggilan GetCallerIdentity untuk keperluan troubleshooting.

    2024-04-12

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.

    v0.2.0.3-gcea89d25-aliyun

    Rilis canary.

    Menambahkan dukungan arsitektur ARM.

    2024-04-10

    November 2023

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.2.0.0-g9cf9d682-aliyun

    • Menambahkan dukungan untuk kluster ACK serverless.

    • Menambahkan dukungan untuk format token baru.

    2023-11-15

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.

    Mei 2023

    Versi

    Deskripsi

    Tanggal Rilis

    Dampak

    v0.1.0.5-g6e50a122-aliyun

    Rilis awal ack-ram-authenticator.

    2023-05-18

    Menginstal atau menguninstall ack-ram-authenticator memicu restart lapisan kontrol, yang mengganggu koneksi persisten ke server API. Lakukan operasi ini selama jam sepi untuk meminimalkan dampak terhadap layanan.