Container Service for Kubernetes:RAM ユーザーまたは RAM ロールへの RBAC 権限の付与

仕組み

ACK の 認可モデルは、Alibaba Cloud RAM と Kubernetes RBAC という 2 つの異なるレイヤーを統合しています。これにより、クラウドプラットフォームから個々のクラスターリソースまで、一貫した認可チェーンが作成されます。

• RAM: 誰がクラスターにアクセスできるかを制御します。クラウドリソースレベルで動作し、ACK およびその依存サービスへの API コールの権限を管理します。

• RBAC: ユーザーがクラスター内で何ができるかを制御します。Kubernetes 内できめ細かな認可を提供し、どのユーザーがどのタイプのリソース (Pod や Deployment など) に対して特定の操作 (create や delete など) を実行できるかを定義します。

Kubernetes RBAC のメカニズム

RBAC 権限は、2 組のオブジェクトを通じて管理します。

• ClusterRole と ClusterRoleBinding: ClusterRole は、クラスター全体に適用される権限のセットを定義します。これは ClusterRoleBinding を使用してユーザーまたはロールにバインドされます。

• Role と RoleBinding: Role は、単一の名前空間にスコープが限定された権限を定義します。これは RoleBinding を使用してその名前空間内のユーザーまたはロールにバインドされます。

ユースケース 1: Alibaba Cloud アカウントを使用した RBAC 権限の付与

ユースケース 2: RAM ユーザーまたは RAM ロールを使用した RBAC 権限の付与

デフォルトでは、RAM ユーザーまたは RAM ロールは他の ID に RBAC 権限を付与できません。この責務を委任するために、RAM ユーザーまたは RAM ロールを権限管理者として指定し、他のユーザーに RBAC 権限を付与させることができます。

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ],
    "Version": "1"
}

本番運用時の注意点

権限管理のセキュリティと保守性を向上させるために、以下のベストプラクティスに従うことを推奨します。

• 最小権限の原則

  RAM ユーザーまたは RAM ロールには、タスクの実行に必要な最小限の権限セットのみを付与します。管理者などの高い権限を持つロールを無差別に付与することは避けてください。

• きめ細かな認可

  • 階層化された権限付与: RAM によるクラウドリソースへのアクセスと、RBAC によるクラスターリソースへのアクセスの責務を区別します。

  • スコープの収束: 可能な限り、クラスター全体に適用される ClusterRoleBinding ではなく、RoleBinding を使用して特定の名前空間内に権限を限定します。

  • ロールの的確な選択: 事前定義された ACK ロールから始めます。カスタムロールを作成する場合は、ルールを具体的に定義し、ワイルドカード (*) の使用を避けてください。

• 継続的なガバナンス

  定期的に権限を監査し、冗長または過剰な権限を取り消します。権限管理者などの高い権限を持つアカウントによって実行されるすべてのアクションを監視およびログに記録します。

付録: 事前定義された RBAC ロール

権限管理を簡素化し、一般的なユーザーシナリオをサポートするために、ACK は RBAC のメカニズムに基づいたさまざまな標準化された事前定義ロールを提供しています。

よくある質問

関連ドキュメント

• 事前定義されたロールが不十分な場合は、「カスタム RBAC を使用してクラスターリソースへのアクセスを制限する」をご参照ください。

• さまざまなユーザーロールに対する完全な権限付与ガイド (RAM と RBAC の両方を含む) については、以下のトピックをご参照ください。

  • クラスターの O&M エンジニアへの権限付与

  • クラスターのアプリケーション開発者への権限付与

  • 権限管理者への権限付与

• ACK で使用されるサービスロールの一覧については、「ACK ロール」をご参照ください。

• その他の権限付与関連の問題のトラブルシューティングについては、「権限管理に関するよくある質問」をご参照ください。