Container Service for Kubernetes:ACK One GitOpsのマルチテナント権限の設定

目次

• 権限モデル

• 適用シナリオ

• ACK One GitOpsのマルチテナント権限の設定

• ACK One GitOpsの権限モデルの確認

権限モデル

利用シナリオ

ACK One GitOpsのマルチテナント権限の設定

1. 次のコマンドを実行して、argocd-cm ConfigMapを変更します。

   kubectl edit cm argocd-cm -n argocd

2. 次のローカルユーザーをargocd-cm ConfigMapに追加します。

   data:
     accounts.team01-admin: login
     accounts.team01-admin.enabled: "true"
     accounts.team01-user01: login
     accounts.team01-user01.enabled: "true"
     accounts.team01-user02: login
     accounts.team01-user02.enabled: "true"
     accounts.team02-admin: login
     accounts.team02-admin.enabled: "true"

3. 次のコマンドを実行して、argocd-rbac-cm ConfigMapを変更します。

   kubectl edit cm argocd-rbac-cm -n argocd

4. argocd-RBAC-cm ConfigMapで、ローカルユーザーに対して次のロールベースのアクセス制御 (rbac) ルールを設定します。

   RBACルールの表示

   data:
     policy.csv: |
       ...
       p, role:team01-admin, projects, get, team01, allow
       p, role:team01-admin, repositories, *, team01/*, allow
       p, role:team01-admin, applications, *, team01/*, allow
       p, role:team01-admin, repositories, get, *, allow
       p, role:team01-admin, clusters, get, *, allow
       p, role:team02-admin, projects, get, team02, allow
       p, role:team02-admin, repositories, *, team02/*, allow
       p, role:team02-admin, applications, *, team02/*, allow
       p, role:team02-admin, repositories, get, *, allow
       p, role:team02-admin, clusters, get, *, allow
       p, role:team01-user01, projects, get, team01, allow
       p, role:team01-user01, repositories, get, team01/*, allow
       p, role:team01-user01, repositories, get, *, allow
       p, role:team01-user01, clusters, get, *, allow
       p, role:team01-user01, applications, *, team01/production-app, allow
       p, role:team01-user02, projects, get, team01, allow
       p, role:team01-user02, repositories, get, team01/*, allow
       p, role:team01-user02, repositories, get, *, allow
       p, role:team01-user02, clusters, get, *, allow
       p, role:team01-user02, applications, *, team01/staging-app, allow
       ...
       g, team01-admin, role:team01-admin
       g, team02-admin, role:team02-admin
       g, team01-user01, role:team01-user01
       g, team01-user02, role:team01-user02

5. 管理者アカウントでArgoCDにログインし、ローカルユーザーを表示し、各ローカルユーザーのパスワードを設定します。

   1. 次のコマンドを実行して、ローカルユーザーを表示します。

      export ARGOCD_OPTS='--port-forward-namespace argocd --port-forward'
      argocd account list

      期待される出力:

      NAME           ENABLED  CAPABILITIES
      admin          true     apiKey, login
      team01-admin   true     login
      team01-user01  true     login
      team01-user02  true     login
      team02-admin   true     login

   2. 次のコマンドを実行して、ローカルユーザーのパスワードを設定します。

      argocd account update-password --account <username> --current-password <current password> --new-password <new password>

6. 管理者アカウントでArgoCDにログインし、次のコマンドを実行してグローバルリポジトリを追加します。

   argocd repo add https://code.aliyun.com/bigteam/echo-server01.git
   argocd repo add https://code.aliyun.com/bigteam/echo-server02.git
   argocd repo list
   TYPE  NAME  REPO                                               INSECURE  OCI    LFS    CREDS  STATUS      MESSAGE  PROJECT
   git         https://code.aliyun.com/bigteam/echo-server01.git  false     false  false  false  Successful
   git         https://code.aliyun.com/bigteam/echo-server02.git  false     false  false  false  Successful

7. 管理者アカウントでArgoCDにログオンし、次のコマンドを実行してProject team01およびProject team02を作成および設定します。

   カテゴリ	Gitリポジトリ	クラスター
   Project team01がアクセスを許可されているリソース	https://code.aliyun.com/bigteam/echo-server01.git	https:// 47.111.XX.XX:6443
   Project team02がアクセスを許可されているリソース	https://code.aliyun.com/bigteam/echo-server02.git	https:// 47.97.XX.XX:6443

   argocd proj create team01
   argocd proj add-source team01 https://code.aliyun.com/bigteam/echo-server01.git
   argocd proj add-destination team01 https://47.111.XX.XX:6443 "*"
   argocd proj create team02
   argocd proj add-source team02 https://code.aliyun.com/bigteam/echo-server02.git
   argocd proj add-destination team02 https://47.97.XX.XX:6443 "*"

8. team01-adminアカウントとteam02-adminアカウントを使用して、プロジェクトにリポジトリを作成します。

   • team01-管理者

     1. 次のコマンドを実行して、team01-adminアカウントでログインします。

        argocd login 
        Username: team01-admin
        Password:
        'team01-admin:login' logged in successfully
        Context 'port-forward' updated

     2. 次のコマンドを実行して、Project team01にリポジトリを作成します。

        argocd repo add https://code.aliyun.com/team01/echo-server.git --project team01

        期待される出力:

        Repository 'https://code.aliyun.com/team01/echo-server.git' added

   • team02-管理者

     1. 次のコマンドを実行して、team02-adminアカウントでログインします。

        argocd login 
        Username: team02-admin
        Password:
        'team01-admin:login' logged in successfully
        Context 'port-forward' updated

     2. 次のコマンドを実行して、Project team02にリポジトリを作成します。

        argocd repo add https://code.aliyun.com/team02/echo-server.git --project team02

        期待される出力:

        Repository 'https://code.aliyun.com/team02/echo-server.git' added

ACK One GitOpsの権限モデルを確認する

リソースに対するプロジェクト管理者の権限を確認する