Container Service for Kubernetes:異なる Pod が異なるクラウドサービスにアクセスすることを承認するために RRSA を使用する

背景情報

Elastic Container Instance は Elastic Compute Service (ECS) インスタンス上で実行されます。ECS インスタンスメタデータには、Alibaba Cloud 内の ECS インスタンスに関する情報が含まれています。実行中のインスタンス内からこのメタデータにアクセスして、インスタンスを構成または管理できます。ACK クラスタにデプロイされたアプリケーションは、ECS インスタンスメタデータを使用して、さまざまな Resource Access Management (RAM) ロールを引き受けるために使用されるセキュリティトークンサービス (STS) トークンを取得できます。このようにして、アプリケーションは異なるクラウドサービスの API を呼び出すことができます。詳細については、「インスタンスメタデータを取得する」をご参照ください。

セキュリティ上の理由から、クラスタ内の異なるアプリケーションの RAM 権限を制限する必要がある場合は、ECS または Elastic Container Instance メタデータを通じてインスタンスロールに関連付けられた STS トークンを取得する機能を無効にするか、インスタンスに関連付けられたロールに RAM ポリシーを割り当てないようにする必要があります。ただし、これらのアプリケーションは、クラウドリソースにアクセスするために STS トークンを取得するための安全な方法を引き続き必要とします。これらの問題に対処するために、ACK は RAM に基づいて開発された RRSA 機能をリリースしました。

RRSA 機能を使用すると、ACK クラスタ内の異なるアプリケーションが異なる RAM ロールを引き受けることができます。アプリケーションは STS トークンを取得し、そのトークンを使用して特定の RAM ロールを引き受け、関連するクラウドサービスにアクセスできます。これにより、最小権限の原則が適用され、アプリケーションは AccessKey ペアを使用せずに API 操作を呼び出すことができるため、AccessKey ペアの漏洩を防ぎます。

制限

RRSA 機能は、Kubernetes 1.22 以降を実行する ACK クラスタのみをサポートしています。RRSA 機能をサポートする ACK クラスタには、ACK ベーシッククラスタ、ACK Pro マネージドクラスター、ACK Serverless ベーシッククラスタ、ACK Serverless Pro クラスタ、および ACK Edge Pro クラスタ が含まれます。

RRSA を有効にする

既存のクラスタがない場合は、ACK マネージドクラスター または ACK Edge クラスタ を作成するときに RRSA を有効にします。それ以外の場合は、クラスタ詳細ページの [セキュリティと監査] セクションで有効にします。

URL と ARN 情報を取得する

クラスタの RRSA 機能を有効にした後、[基本情報] タブの [セキュリティと監査] セクションに移動します。[RRSA OIDC] の横にある [有効] ラベルにマウスポインタを合わせると、OIDC プロバイダーの URL と Alibaba Cloud Resource Name (ARN) が表示されます。

RRSA が有効になると、ACK はバックグラウンドで次の操作を実行します。

• クラスタ専用の OIDC 発行者 が自動的に作成されます。OIDC 発行者は ACK によって管理されます。詳細については、「OIDC Issuer」をご参照ください。

• クラスタのサービスアカウントトークンボリュームプロジェクションを有効にし、OIDC 発行者の構成をクラスタの既存の service-account-issuer パラメータの値とマージします。詳細については、「ServiceAccount トークンボリュームプロジェクションを使用する」をご参照ください。

• アカウント内に RAM ロール ID プロバイダーを作成します。ID プロバイダーは、シングルサインオン (SSO) に OIDC 発行者を使用します。ID プロバイダーの名前は ack-rrsa-<cluster_id> です。<cluster_id> はクラスタの ID を示します。詳細については、「OIDC IdP を管理する」をご参照ください。

RRSA を使用する

クラスタの RRSA を有効にした後、次の手順を実行して、クラスタ内のアプリケーションが RRSA を介して STS トークンを取得できるようにします。STS トークンは、特定のクラウドサービスの API を呼び出すために使用されます。

例

この例では、アプリケーションが作成され、クラスタの RRSA が有効になり、アプリケーションが次の操作を実行できるようになります。指定された RAM ロールを引き受け、API 操作を呼び出して現在の Alibaba Cloud アカウントに属するクラスタをクエリします。

[サンプル構成]

• 名前空間: rrsa-demo

• サービスアカウント: demo-sa

• RAM ロール: demo-role-for-rrsa

[手順]

• ack-pod-identity-webhook コンポーネントをインストールせずに RRSA を有効にする場合は、必要な OIDC トークンファイルをアプリケーションテンプレートの環境変数として手動で指定できます。詳細については、「RRSA を有効にするためにアプリケーションテンプレートを手動で変更する」をご参照ください。

• 既存の RAM ロールを使用する場合は、必要な権限を RAM ロールに付与する必要があります。詳細については、「既存の RAM ロールを使用し、必要な権限を RAM ロールに付与する」をご参照ください。

1. ack-pod-identity-webhook コンポーネントをインストールします。

   1. [クラスタ] ページで、クラスタの名前をクリックします。左側のナビゲーションウィンドウで、[操作] > [アドオン] を選択します。

   2. [アドオン] ページで、[セキュリティ] タブをクリックし、ack-pod-identity-webhook を見つけて、カードの右下にある [インストール] をクリックします。

   3. 表示されるメッセージで、情報を確認し、[OK] をクリックします。

2. demo-role-for-rrsa という名前の RAM ロールを作成します。次の表でパラメータについて説明します。詳細な手順については、「OIDC IdP の RAM ロールを作成する」をご参照ください。

   パラメータ	説明
   [ID プロバイダータイプ]	[OIDC] を選択します。
   [ID プロバイダー]	IdP を選択します。IdP は ack-rrsa-<cluster_id> 形式で名前が付けられます。<cluster_id> はクラスタの ID を示します。
   [条件]	[oidc:iss]: デフォルト値を使用します。 [oidc:aud]: デフォルト値を使用します。 [oidc:sub]: この条件を手動で追加します。 [キー]: [oidc:sub] を選択します。 [演算子]: [stringequals] を選択します。 [値]: system:serviceaccount:<namespace>:<serviceAccountName> と入力します。 <namespace>: アプリケーションの名前空間を指定します。 <serviceAccountName>: サービスアカウントの名前を指定します。この例では、system:serviceaccount:rrsa-demo:demo-sa と入力します。
   [RAM ロールの名前]	値を demo-role-for-rrsa に設定します。

3. 手順 2 で作成した RAM ロールに AliyunCSReadOnlyAccess ポリシーをアタッチして、アプリケーションに必要な権限を付与します。詳細については、「RAM ロールに権限を付与する」をご参照ください。

4. アプリケーションをデプロイします。SDK デモの詳細については、「RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ」をご参照ください。

   1. demo.yaml という名前のファイルを作成します。以下の要件に基づいて作成します。

      次の YAML テンプレートのサンプルでは、pod-identity.alibabacloud.com/injection: 'on' ラベルが名前空間に追加され、pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa アノテーションがサービスアカウントに追加され、ack-pod-identity-webhook の自動挿入機能が有効になっています。ack-pod-identity-webhook の構成方法の詳細については、「ack-pod-identity-webhook」をご参照ください。

      [サンプルコードを表示]

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
        labels:
          pod-identity.alibabacloud.com/injection: 'on'
      
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
        annotations:
          pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa
      
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        serviceAccountName: demo-sa
        containers:
          - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
            imagePullPolicy: "Always"
            args:
              - rrsa
              - demo
            name: demo
        restartPolicy: OnFailure

   2. 次のコマンドを実行して、アプリケーションをデプロイします。

      kubectl apply -f demo.yaml

5. 次のコマンドを実行して、ack-pod-identity-webhook がアプリケーション用に作成された Pod に必要な構成を挿入したかどうかを確認します。

   kubectl -n rrsa-demo get pod demo -o yaml

   [予期される出力]

   apiVersion: v1
   kind: Pod
   metadata:
     name: demo
     namespace: rrsa-demo
   spec:
     containers:
     - args:
       - rrsa
       - demo
       env:
       - name: ALIBABA_CLOUD_ROLE_ARN
         value: acs:ram::1***:role/demo-role-for-rrsa
       - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
         value: acs:ram::1***:oidc-provider/ack-rrsa-c***
       - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
         value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
       image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
       imagePullPolicy: Always
       name: demo
       volumeMounts:
       - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
         name: kube-api-access-4bwdg
         readOnly: true
       - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
         name: rrsa-oidc-token
         readOnly: true
     restartPolicy: OnFailure
     serviceAccount: demo-sa
     serviceAccountName: demo-sa
     volumes:
     - name: kube-api-access-4bwdg
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             expirationSeconds: 3607
             path: token
         - configMap:
             items:
             - key: ca.crt
               path: ca.crt
             name: kube-root-ca.crt
         - downwardAPI:
             items:
             - fieldRef:
                 apiVersion: v1
                 fieldPath: metadata.namespace
               path: namespace
     - name: rrsa-oidc-token
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             audience: sts.aliyuncs.com
             expirationSeconds: 3600
             path: token

   出力は、ack-pod-identity-webhook が次の構成を Pod に挿入したことを示しています。

   カテゴリ	構成項目	説明
   環境変数	ALIBABA_CLOUD_ROLE_ARN	引き受ける RAM ロールの ARN。
   	ALIBABA_CLOUD_OIDC_PROVIDER_ARN	OIDC IdP の ARN。
   	ALIBABA_CLOUD_OIDC_TOKEN_FILE	OIDC トークンファイルのパス。
   VolumeMount	rrsa-oidc-token	OIDC トークンをマウントするための構成。
   Volume	rrsa-oidc-token	OIDC トークンをマウントするための構成。

6. 次のコマンドを実行して、アプリケーションのログを出力します。

   kubectl -n rrsa-demo logs demo

   クラスタのリストが出力に表示されます。

   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*

7. オプション: RAM ロールから AliyunCSReadOnlyAccess システムポリシーをデタッチします。詳細については、「RAM ロールから権限を削除する」をご参照ください。

   30 秒待ってから、次のコマンドを実行して、アプリケーションのログを再度出力します。

   kubectl -n rrsa-demo logs demo

   次のエラーメッセージは、アプリケーションに必要な権限がないことを示しています。

      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClusters request id: E78A2E2D-***
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClusters","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClusters","requestId":"E78A2E2D-***","status":403,"statusCode":403}

RRSA を有効にするためにアプリケーションテンプレートを手動で変更する

必要な OIDC トークンファイルをアプリケーションテンプレートの環境変数として手動で指定できます。このようにして、ack-pod-identity-webhook をインストールせずに RRSA を有効にできます。

次のテンプレートは例を示しています。

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oid_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

変更したテンプレートに基づいてアプリケーションを再デプロイすると、アプリケーションはテンプレートで指定した OIDC トークンファイル、RAM ロール ARN、および OIDC プロバイダー ARN を使用して STS の AssumeRoleWithOIDC 操作を呼び出し、特定の RAM ロールを引き受けるために使用される STS トークンを取得できます。このようにして、アプリケーションは異なるクラウドサービスの API 操作を呼び出すことができます。OIDC トークンファイルは ALIBABA_CLOUD_OIDC_TOKEN_FILE 環境変数で指定され、RAM ロール ARN は ALIBABA_CLOUD_ROLE_ARN 環境変数で指定され、OIDC プロバイダー ARN は ALIBABA_CLOUD_OIDC_PROVIDER_ARN 環境変数で指定されます。アプリケーションは、ファイルを使用するときに、OIDC トークンファイルから最新の OIDC トークンを読み取ります。SDK デモの詳細については、「RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ」をご参照ください。詳細については、「AssumeRoleWithOIDC」をご参照ください。

既存の RAM ロールを使用し、必要な権限を RAM ロールに付与する

アプリケーションに既存の RAM ロールを使用させる場合は、次のテンプレートに基づいて RAM ロールの信頼ポリシーを変更する必要があります。このようにして、アプリケーションはサービスアカウントを使用して RAM ロールを引き受け、STS トークンを取得できます。詳細については、「RAM ロールの信頼ポリシーを編集する」をご参照ください。

Statement 構成の例:

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

また、ack-ram-tool ツールを使用して、信頼ポリシーの変更を自動化することもできます。コマンドの例:

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ

SDK デモ

Alibaba Cloud SDK V2.0 は、RRSA の OIDC トークン認証をサポートしています。デフォルトでは、STS トークン認証をサポートし、Alibaba Cloud SDK V2.0 に基づいて開発されたすべてのクラウドサービス SDK は、RRSA OIDC トークン認証をサポートしています。次の表に、サポートされている SDK のバージョンとデモを示します。

一部のクラウドサービス SDK では、上記のメソッドを参照して、API 操作を呼び出すときに RRSA の OIDC トークンを認証に使用できます。次の表に、SDK のデモを示します。

SDK エラーの解決策

次の表に、さまざまなエラーの解決策を示します。

{
 "Code": "AuthenticationFail.OIDCToken.Expired",
 "Message": "This JsonWebToken is expired."
}

{
 "Code": "Throttling.User",
 "Message": "Request was denied due to user flow control."
}

{
 "Code": "AuthenticationFail.OIDCToken.AudienceNotMatch",
 "Message": "Invalid audience."
}

{
 "Code": "AuthenticationFail.OIDCToken.IssuerConfigurationBroken",
 "Message": "Get public keys from OIDC Provider failed, the issuer is https://kubernetes.default.svc."
}

{
 "Code": "AuthenticationFail.OIDCToken.IssuerNotMatch",
 "Message": "The issuer in the OIDC Token doesn't match the OIDC Provider registered."
}

{
 "Code": "AuthenticationFail.NoPermission",
 "Message": "No such OIDC Provider registered."
}

{
 "Code": "EntityNotExist.Role",
 "Message": "The role not exists: acs:ram::19981***:role/***. "
}

{
  "Code": "AuthenticationFail.NoPermission",
  "Message": "There is no permission"
}

一般的に使用される CLI が RRSA の OIDC トークン認証をサポートできるようにする

ack-ram-tool を使用すると、Pod 内で一般的に使用される CLI が RRSA の OIDC トークン認証をサポートできるようにすることができます。次の表に、構成と例を示します。

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

$ aliyun sts GetCallerIdentity
{
    "AccountId": "11380***",
    "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
    "IdentityType": "AssumedRoleUser",
    "PrincipalId": "33300***:test-rrsa",
    "RequestId": "20F78881-F47E-5771-90D6-***",
    "RoleId": "33300***"
}

$ aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa
{
	"AccountId": "11380***",
	"Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
	"IdentityType": "AssumedRoleUser",
	"PrincipalId": "33300***:test-rrsa",
	"RequestId": "20F78881-F47E-5771-90D6-***",
	"RoleId": "33300***"
}

$ ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

{"count": 1, "projects": [
{"createTime": "1676282996", "description": "k8s log project, ***",
 "lastModifyTime": "1676282996", "owner": "", "projectName": "k8s-log-c0edc***", 
 "region": "cn-hangzhou", "resourceGroupId": "rg-***", "status": "Normal"}],
  "total": 24}

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

参考資料

• ack-pod-identity-webhook

• ServiceAccount トークンボリュームプロジェクション

• OIDC の概要

• OIDC ベースの SSO の概要

• AssumeRoleWithOIDC - OIDC を使用して SSO 中に RAM ロールを引き受けるための STS トークンを取得する

• ack-ram-tool