Container Compute Service:RRSA を使用した Pod レベルの権限設定

新しい RAM ロールの作成と承認

この例でデプロイされるアプリケーションは、RRSA 機能を使用して指定されたロールを偽装し、現在のアカウント内のクラスターのリストを取得します。使用される主なリソースは次のとおりです：

• 名前空間：rrsa-demo

• サービスアカウント：demo-sa

• RAM ロール：demo-role-for-rrsa

1. demo-role-for-rrsa という名前の RAM ロールを作成します。

   1. Alibaba Cloud アカウントを使用して RAM コンソールにログインします。

   2. 左側のナビゲーションウィンドウで、[ID] > [ロール] を選択します。Roles ページで、ロール作成 をクリックします。

   3. ロール作成 パネルで、Switch to Policy Editor をクリックしてロールを作成します。

   4. 視覚化 タブで、次の表に従ってロール情報を設定し、はい をクリックします。

      パラメーター	説明
      効果	デフォルト値は 許可 です。
      Principal	[ID プロバイダー] を選択し、エディット をクリックします。 [ID プロバイダータイプ] を [OIDC] に設定し、クラスターの OIDC ID プロバイダー (例：ack-rrsa-<cluster_id>) を選択します。<cluster_id> はご利用のクラスター ID です。
      操作	デフォルトでは、sts:AssumeRole が選択されています。
      条件	oidc:iss：この条件は [ID プロバイダー] を選択した後に自動的に追加されます。デフォルト設定を使用します。 oidc:aud：この条件は [ID プロバイダー] を選択した後に自動的に追加されます。デフォルト設定を使用します。 oidc:sub：手動で 条件を追加 を行う必要があります。 条件键：oidc:sub 运算符：StringEquals 条件值：フォーマットは system:serviceaccount:<namespace>:<serviceAccountName> です。 <namespace>：アプリケーションが存在する名前空間。 <serviceAccountName>：サービスアカウントの名前。 テストアプリケーションの情報に基づき、system:serviceaccount:rrsa-demo:demo-sa と入力します。

   5. 表示されるダイアログボックスで、ロール名 demo-role-for-rrsa を入力し、はい をクリックします。

2. 作成したロールに、テストアプリケーションで必要な AliyunCSReadOnlyAccess システムポリシーを付与します。詳細については、「RAM ロールの権限管理」をご参照ください。

3. テストアプリケーションをデプロイします。

   1. demo.yaml という名前のファイルを以下の内容で作成します。

      説明

      サンプルアプリケーションテンプレート内の次のプレースホルダーを置き換えてください。

      • <role_arn>：これをアプリケーションが使用する RAM ロールの ARN に置き換えます。ARN は、RAM コンソールのロールの 基本情報 ページにある [ARN] フィールドから取得できます。

      • <oidc_provider_arn>：これをクラスターの OIDC プロバイダーの ARN に置き換えます。この ARN は、クラスター情報 ページの 基本情報 タブにある [RRSA OIDC] の横の 有効 にカーソルを合わせることで取得できます。

      サンプルコードを展開して表示

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        containers:
        - args:
          - rrsa
          - demo
          env:
          - name: ALIBABA_CLOUD_ROLE_ARN
            value: <role_arn>
          - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
            value: <oidc_provider_arn>
          - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
            value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
          image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
          imagePullPolicy: Always
          name: demo
          volumeMounts:
          - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
            name: rrsa-oidc-token
            readOnly: true
        restartPolicy: OnFailure
        serviceAccount: demo-sa
        serviceAccountName: demo-sa
        volumes:
        - name: rrsa-oidc-token
          projected:
            defaultMode: 420
            sources:
            - serviceAccountToken:
                audience: sts.aliyuncs.com
                expirationSeconds: 3600  # 単位：秒。有効値：[600, 43200]、つまり 10 分から 12 時間。
                path: token

   2. 次のコマンドを実行して、テストアプリケーションをデプロイします。

      kubectl apply -f demo.yaml

      アプリケーションがデプロイされると、アプリケーションはマウントされた OIDC トークン、RAM ロールの ARN、および OIDC ID プロバイダーの ARN を使用して、STS の AssumeRoleWithOIDC API を呼び出し、指定された RAM ロールの一時的な認証情報を取得できます。その後、アプリケーションはこの一時的な認証情報を使用してクラウドリソース API にアクセスします。詳細については、「AssumeRoleWithOIDC」をご参照ください。

4. 次のコマンドを実行して、テストアプリケーションのログを表示します。

   kubectl -n rrsa-demo logs demo

   期待される出力は、ACK クラスターのリストです：

   20**/**/** 08:35:23 ======= [begin] list ACK clusters with RRSA =======
   clusters:
   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*
   20**/**/** 08:35:24 ======= [end]   list ACK clusters with RRSA =======

5. (任意) ロールから AliyunCSReadOnlyAccess システムポリシーをデタッチします。詳細については、「RAM ロールから権限を削除する」をご参照ください。

   約 30 秒待ってから、次のコマンドを再度実行してアプリケーションのログを表示します：

   kubectl -n rrsa-demo logs demo

   権限拒否エラーが期待されます：

   20**/**/** 10:09:33 ======= [begin] list ACK clusters with RRSA =======
   20**/**/** 10:09:33 SDKError:
      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClusters request id: XXXX
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClusters","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"XXXX","AuthPrincipalType":"AssumedRoleUser","EncodedDiagnosticMessage":"XXXX","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClusters","requestId":"XXXX","status":403,"statusCode":403}

既存の RAM ロールの承認

アプリケーションが新しいロールではなく既存の RAM ロールを使用する必要がある場合、RAM ロールの信頼ポリシーを変更し、特定のサービスアカウントを使用するアプリケーションがこの RAM ロールを偽装して一時的な認証情報を取得できるようにするステートメントを追加できます。詳細については、「RAM ロールの信頼ポリシーを変更する」をご参照ください。

以下のコードは、RAM ロールの信頼ポリシーに追加する Statement エントリの例です。

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}