Container Service for Kubernetes:クラスター内のリソース操作を制限するためのカスタム RBAC の使用

ステップ 1：ClusterRole の作成

次の手順では、クラスター全体の Pod と Service への読み取り専用アクセスを許可する my-clusterrole という名前の ClusterRole を作成します。

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、対象のクラスターの名前をクリックします。左側のペインで、[セキュリティ] > [ロール] を選択します。

3. [ロール] ページで、[Cluster Role] タブを選択し、[OK] をクリックします。

4. [YAML の作成] パネルで、ClusterRole のマニフェストを入力し、[OK] をクリックします。次のマニフェストは、Pod と Service への読み取り専用アクセス (get、list、watch) を許可します：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: my-clusterrole
   rules:
     - apiGroups: [""]
       resources: ["pods"]
       verbs: ["get", "list", "watch"]
     - apiGroups: [""]
       resources: ["services"]
       verbs: ["get", "list", "watch"]

   作成後、my-clusterrole が [Cluster Role] タブに表示されます。

ステップ 2：ClusterRole を RAM ユーザーまたは RAM ロールにバインドする

1. 左側のナビゲーションウィンドウで、[権限付与] をクリックします。

2. [権限付与] ページで、権限付与の対象を選択します：

   • RAM ユーザー：[RAM ユーザー] タブをクリックし、対象の RAM ユーザーを見つけて、[権限の変更] をクリックします。

   • RAM ロール：[RAM ロール] タブをクリックし、[RAM ロール名] フィールドに対象の RAM ロール名を入力または選択して、[権限の変更] をクリックします。

3. [権限管理] パネルで、[+ 権限の追加] をクリックします。[権限の追加] セクションで、次の操作を行います：

   1. my-clusterrole に関連付けられている [クラスター] を選択します。

   2. 対象の [Namespace] を選択します。

   3. [権限管理] で [カスタム] を選択し、ドロップダウンリストから [my-clusterrole] を選択します。

   4. [送信] をクリックします。

ステップ 1：カスタムロールの作成

ClusterRole — クラスター全体に権限を付与します。

次のマニフェストは、Pod と Service への読み取り専用アクセス権を持つ my-clusterrole という名前の ClusterRole を作成します：

# my-clusterrole.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: my-clusterrole
rules:
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["services"]
    verbs: ["get", "list", "watch"]

Role — 特定の名前空間内で権限を付与します。

次のマニフェストは、default 名前空間の Pod への読み取りアクセス権を持つ my-role という名前の Role を作成します：

# my-role.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: my-role
rules:
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list"]

マニフェストを適用します：

kubectl apply -f my-clusterrole.yaml

ステップ 2：権限付与オブジェクト ID の取得

ロールを RAM ユーザーまたは RAM ロールにバインドするには、対応する ID が必要です：

• RAM ユーザー: RAM ユーザー名を指定して GetUser API を呼び出して UserId を取得します。

• RAM ロール: RAM ロール名を指定して GetRole API を呼び出して、RoleId を取得します。

ステップ 3：バインディングの作成

次のマニフェストは、my-clusterrole を RAM ユーザーまたは RAM ロールにバインドします。20811XXXXXXXXX2288 を前のステップで取得した UserId または RoleId に置き換えてください。

# my-clusterrole-binding.yaml
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: my-clusterrole-binding
subjects:
  - kind: User
    name: "20811XXXXXXXXX2288"    # ステップ 2 で取得した UserId または RoleId
roleRef:
  kind: ClusterRole
  name: my-clusterrole
  apiGroup: rbac.authorization.k8s.io

バインディングを適用します：

kubectl apply -f my-clusterrole-binding.yaml

権限の検証

バインド後、RAM ユーザーが期待どおりのアクセス権を持っていることを確認します。クラスターの kubeconfig を取得して kubectl を使用して接続し、ロールで許可されているコマンドを実行します：

kubectl get pods

付与された権限外のアクセスが正しく拒否されることを確認するには、ロールでカバーされていないコマンドを実行します。たとえば、Pod アクセスのみが付与されている場合に Deployment を一覧表示します：

kubectl get deployments

期待される出力は次のとおりです：

Error from server (Forbidden): deployments.apps is forbidden: User "20811XXXXXXXXX2288" cannot list resource "deployments" in API group "apps" at the cluster scope

このエラーは、権限の境界が正しく機能していることを示しています。