Container Service for Kubernetes:ACK One GitOps ユーザーの作成方法と権限の付与方法

前提条件

• ACK One コンソール からフリートインスタンスの KubeConfig ファイルを取得し、kubectl を使用してフリートインスタンスに接続していること。

• ACK One フリートインスタンスで GitOps が有効になっていること。詳細については、「フリートインスタンスで GitOps を有効にする」をご参照ください。

• Argo CD 管理者のパスワードを取得し、それを使用して Argo CD CLI にログインしていること。詳細については、「Argo CD CLI を使用して Argo CD にアクセスする」をご参照ください。

手順

管理者アカウントを使用して、フリートインスタンス上にローカルユーザーを作成します。ローカルユーザーを作成するには、次の手順を実行します:

1. 次のコマンドを実行して、Argo CD の argocd-cm ConfigMap を編集します。

   kubectl edit cm argocd-cm -n argocd

2. argocd-cm ConfigMap で、次のコードに示すように localuser1 という名前のローカルユーザーを追加します。

   data:
     accounts.localuser1: login,apiKey    # ローカルユーザーが Argo CD UI と Argo CD CLI にログインし、apiKey トークンを生成できるようにします。
     accounts.localuser1.enabled: "true"  # ローカルユーザー localuser1 を作成します。

3. 次のコマンドを実行して、ローカルユーザーをクエリします:

   argocd account list

   期待される出力:

   NAME        ENABLED  CAPABILITIES
   admin       true     login
   localuser1  true     login,apiKey   # ローカルユーザー localuser1。

4. 次のコマンドを実行してパスワードを設定し、トークンを生成します:

   # パスワードを設定します。
   argocd account update-password \
     --account localuser1 \
     --current-password <admin password> \
     --new-password <localuser1-password>
   
   # localuser1 のトークンを生成します。
   argocd account generate-token --account localuser1
   eyJhb......

ロールの紹介

SSO グループまたはローカルユーザーに権限を付与するには、まずロールを作成し、SSO グループまたはローカルユーザーをそのロールにマッピングする必要があります。

カスタムロールを作成するか、Argo CD で次の事前定義されたロールを使用できます:

ロールに権限を付与するには、argocd-rbac-cm ConfigMap の .data.policy.csv フィールドを次の形式で設定する必要があります:

Argo CD は、次のリソースをサポートしています: clusters、projects、applications、applicationsets、repositories、certificates、accounts、gpgkeys、logs、exec、および extensions。

次の操作がサポートされています: get、create、update、delete、sync、override、および action/<api-group>/<Kind>/<action-name>。

sync、override、および action/<api-group>/<Kind>/<action-name> 操作は、applications リソースに対してのみ有効です。

ローカルユーザーに権限を付与する

1. 次のコマンドを実行して、Argo CD の argocd-rbac-cm ConfigMap を編集します。

   kubectl edit cm argocd-rbac-cm -n argocd

2. argocd-rbac-cm ConfigMap で、要件に基づいてローカルユーザーに権限を付与します。次のサンプルコードに例を示します。

   重要

   ConfigMap 内の他の設定は変更しないでください。

   data:
     policy.csv: |
   ##  p, role:project-admin, applications, *, */*, allow
   ##  p, role:project-admin, projects, *, *, allow
       
       g, "14***01", role:admin          # 現在の設定を維持します。
       g, localuser1, role:admin         # localuser1 を admin ロールにマッピングします。
   ##  g, localuser1, role:project-admin # localuser1 を project-admin ロールにマッピングします。
     scopes: '[uid]'                     # 現在の設定を維持します。

   このサンプル ConfigMap を使用すると、次のシナリオで権限を付与できます:

   • localuser1 を事前定義された admin ロールにマッピングします。これにより、localuser1 はすべての Argo CD リソースに対する完全な権限を持ちます。

   • localuser1 をカスタムロール project-admin にマッピングします。これにより、project-admin はプロジェクトとアプリケーションに対する完全な権限を持ちます。この設定は、サンプル ConfigMap で注釈が付けられています。

Alibaba Cloud アカウント内の RAM ユーザーまたは RAM ロールに権限を付与する

デフォルトでは、ACK One GitOps は、RAM ユーザーを使用して Argo CD UI または Argo CD CLI にログインする際の SSO をサポートしています。RAM ユーザーを使用して ACK One コンソールにログインした後、ユーザー名とパスワードを再入力することなく、SSO を使用して Argo CD UI または Argo CD CLI にログインできます。

• RAM ユーザーが ACK One フリートインスタンスの管理者である場合、ACK One GitOps は自動的にその RAM ユーザーに Argo CD UI または Argo CD CLI の管理者権限を付与します。

• RAM ユーザーが一般ユーザーである場合、フリートインスタンスの管理者はその RAM ユーザーに権限を付与する必要があります。次の権限が含まれます:

  • argocd-rbac-cm で RAM ユーザーまたは RAM ロールに Argo CD RBAC 権限を付与します。

  • Argo CD プロジェクトを使用して、クラスター、リポジトリ、およびアプリケーションに対する RAM ユーザーまたは RAM ロールの権限を管理します。