Container Service for Kubernetes:RRSA を使用した Pod レベルのアクセス制御

OIDC プロバイダーの URL と ARN の取得

RRSA が有効になった後、[セキュリティと監査] セクションの [RRSA OIDC] の横にある [有効] ラベルにカーソルを合わせます。OIDC プロバイダーの URL と Alibaba Cloud リソースネーム (ARN) が表示されます。

RAM ロールとアプリケーションテンプレートを設定する際に使用するため、両方の値を記録しておきます。

1. ack-pod-identity-webhook のインストール

ack-pod-identity-webhook は、OIDC トークンファイルのパスと RAM ロールの ARN を環境変数として Pod に自動的にインジェクトします。Pod テンプレートを手動で設定する場合は、このステップをスキップしてください。詳細については、「Pod テンプレートの手動設定」をご参照ください。

1. ACK コンソールで、クラスターの名前をクリックします。左側のナビゲーションペインで、[アドオン] をクリックします。

2. [アドオン] ページで、[セキュリティ] タブをクリックします。

3. [ack-pod-identity-webhook] を見つけて、[インストール] をクリックします。

4. 情報を確認し、[OK] をクリックします。

2. OIDC ID プロバイダー用の RAM ロールの作成または設定

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. RAM ロールへの権限付与

demo-role-for-rrsa に AliyunCSReadOnlyAccess ポリシーをアタッチします。詳細については、「RAM ロールに権限を付与する」をご参照ください。

これにより、アプリケーションに ACK クラスター情報への読み取り専用アクセス権が付与されます。

4. アプリケーションのデプロイ

次の内容で demo.yaml という名前のファイルを作成します。 名前空間ラベル pod-identity.alibabacloud.com/injection: 'on' とサービスアカウントのアノテーション pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa は、ack-pod-identity-webhook による自動インジェクションを有効にします。 詳細については、「ack-pod-identity-webhook」をご参照ください。

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

アプリケーションをデプロイします。

kubectl apply -f demo.yaml

5. インジェクトされた設定の検証

ack-pod-identity-webhook が必要な環境変数とボリュームマウントをインジェクトしたことを確認します。

kubectl -n rrsa-demo get pod demo -o yaml

期待される出力には、以下のインジェクトされた項目が含まれます。

正しくインジェクトされた Pod の spec は以下のようになります。

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. アプリケーションログの確認

アプリケーションログを出力します。

kubectl -n rrsa-demo logs demo

正常に実行されると、Alibaba Cloud アカウント内のクラスターが一覧表示されます。

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

オプション: 最小権限の適用を検証するには、RAM ロールから AliyunCSReadOnlyAccess ポリシーをデタッチします (「RAM ロールから権限を削除」をご参照ください)。 30 秒待機してから、ログコマンドを再度実行します。 アプリケーションは、次のような 403 エラーを返します：

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

これにより、RRSA が Pod レベルで権限を適用していることが確認できます。

サポートされている SDK バージョンとデモ

各言語の認証情報に関するドキュメントをご参照ください — 方法 6：OIDC IdP の RAM ロールを使用する。

クラウドサービス固有の SDK デモ

一部のクラウドサービス SDK は、ネイティブの OIDC トークンサポートを提供しています。

Alibaba Cloud CLI

Alibaba Cloud CLI v3.0.206 以降は RRSA に対応しています。region_id を目的のリージョンに設定します。

オプション A: 設定ファイル。 ~/.aliyun/config.json で mode を OIDC に設定します:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

オプション B：直接コマンド (設定ファイル不要)：

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

期待される出力：

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

詳細については、「認証情報の種類」をご参照ください。

ossutil

ossutil V2.1.0 以降は RRSA に対応しています。region を実際のリージョンに置き換えてください。

~/.ossutilconfig で mode を oidcRoleArn に設定します:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

ossutil ドキュメントの「例」をご参照ください。

Simple Log Service CLI

Simple Log Service CLI は OIDC 設定ファイルをサポートしていません。ack-ram-tool を使用して、実行時に認証情報をインジェクトします:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

Alibaba Cloud Provider V1.222.0 以降は assume_role_with_oidc をサポートします。region にはターゲットリージョンを設定します。

プロバイダー設定に assume_role_with_oidc を追加します：

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

詳細については、「Terraform RRSA デモ」をご参照ください。

SDK エラー