Container Compute Service:RRSA を使用して、異なるポッドが異なるクラウドサービスにアクセスすることを承認する

新しい RAM ロールを使用し、必要な権限を RAM ロールに付与する

この例では、アプリケーションが作成され、クラスタで RRSA が有効になり、アプリケーションが次の操作を実行できるようになります。指定された RAM ロールをアシュームし、API 操作を呼び出して現在の Alibaba Cloud アカウントに属するクラスタをクエリします。次のリソースが使用されます。

• 名前空間: rrsa-demo

• サービスアカウント: demo-sa

• RAM ロール: demo-role-for-rrsa

1. demo-role-for-rrsa という名前の RAM ロールを作成します。

   1. Alibaba Cloud アカウントを使用して、RAM コンソール にログインします。

   2. 左側のナビゲーションウィンドウで、[ID] > [ロール] を選択します。[ロール] ページで、[ロールの作成] をクリックします。

   3. [ロールの作成] パネルで、[エディターに切り替える] をクリックしてロールを作成します。

   4. たとえば、[ビジュアルエディター] を使用する場合は、次の情報に基づいてロールを構成し、[OK] をクリックします。

      構成項目	説明
      [効果]	デフォルト値は [許可] です。
      [プリンシパル]	[ID プロバイダー] を選択し、[編集] をクリックします。 ID プロバイダーのタイプを [OIDC] に設定し、ack-rrsa-<cluster_id> などのクラスタの ID プロバイダーを選択します。<cluster_id> はクラスタの ID です。
      [操作]	[sts:assumerole] がデフォルトで選択されています。
      [条件]	[oidc:iss]: この条件は、[ID プロバイダー] を選択すると自動的に追加されます。デフォルト値を保持します。 [oidc:aud]: この条件は、[ID プロバイダー] を選択すると自動的に追加されます。デフォルト値を保持します。 [oidc:sub]: 手動で [条件を追加] する必要があります。 [条件キー]: oidc:sub [演算子]: StringEquals [条件値]: フォーマットは system:serviceaccount:<namespace>:<serviceAccountName> です。 <namespace>: アプリケーションの名前空間を指定します。 <serviceAccountName>: サービスアカウントの名前を指定します。 この例では、system:serviceaccount:rrsa-demo:demo-sa と入力します。

      

   5. 表示されるダイアログボックスに、ロール名 demo-role-for-rrsa を入力し、[OK] をクリックします。

2. [aliyuncsreadonlyaccess] システムポリシーを作成したロールにアタッチします。詳細については、「RAM ロールに権限を付与する」をご参照ください。

   

3. アプリケーションをデプロイします。

   1. demo.yaml という名前のファイルを次の要件に基づいて作成します。

      説明

      上記のテンプレートの次のフィールドを変更します。

      • <role_arn> を、アプリケーションで使用される RAM ロールの ARN に置き換えます。RAM コンソール の [基本情報] タブで [ARN] を表示できます。

      • <oid_provider_arn> を、クラスターで使用される OIDC プロバイダーの ARN に置き換えます。[クラスター情報] ページの [基本情報] タブで、[RRSA OIDC] の右にある [有効] にポインターを移動できます。

      YAML テンプレートのサンプルを表示

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        containers:
        - args:
          - rrsa
          - demo
          env:
          - name: ALIBABA_CLOUD_ROLE_ARN
            value: <role_arn>
          - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
            value: <oid_provider_arn>
          - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
            value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
          image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
          imagePullPolicy: Always
          name: demo
          volumeMounts:
          - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
            name: rrsa-oidc-token
            readOnly: true
        restartPolicy: OnFailure
        serviceAccount: demo-sa
        serviceAccountName: demo-sa
        volumes:
        - name: rrsa-oidc-token
          projected:
            defaultMode: 420
            sources:
            - serviceAccountToken:
                audience: sts.aliyuncs.com
                expirationSeconds: 3600  # 単位: 秒。有効な値: 600 (10 分) ～ 43200 (12 時間)。
                path: token

   2. 次のコマンドを実行して、アプリケーションをデプロイします。

      kubectl apply -f demo.yaml

      アプリケーションがデプロイされると、アプリケーションの プログラム は、OIDC トークン、RAM ロールの ARN、および OIDC ID プロバイダーの ARN を使用して、STS AssumeRoleWithOIDC API 操作を呼び出し、RAM ロールのテンポラリ STS トークンを取得できます。その後、そのトークンを使用してクラウドサービスの API を呼び出すことができます。詳細については、「AssumeRoleWithOIDC」をご参照ください。

4. 次のコマンドを実行して、アプリケーションのログを出力します。

   kubectl -n rrsa-demo logs demo

   出力にクラスタのリストが表示されます。

   20**/**/** 08:35:23 ======= [begin] list ACK clusters with RRSA =======
   clusters:
   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*
   20**/**/** 08:35:24 ======= [end]   list ACK clusters with RRSA =======

5. オプション: [aliyuncsreadonlyaccess] システムポリシーを RAM ロールからデタッチします。詳細については、「RAM ロールから権限を削除する」をご参照ください。

   30 秒待ってから、次のコマンドを実行して、アプリケーションのログを再度出力します。

   kubectl -n rrsa-demo logs demo

   次のエラーメッセージは、アプリケーションに必要な権限がないことを示しています。

   20**/**/** 10:09:33 ======= [begin] list ACK clusters with RRSA =======
   20**/**/** 10:09:33 SDKError:
      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClusters request id: XXXX
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClusters","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"XXXX","AuthPrincipalType":"AssumedRoleUser","EncodedDiagnosticMessage":"XXXX","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClusters","requestId":"XXXX","status":403,"statusCode":403}

既存の RAM ロールを使用し、必要な権限を RAM ロールに付与する

アプリケーションに既存の RAM ロールを使用させる場合は、次のテンプレートに基づいて RAM ロールの信頼ポリシーを変更する必要があります。これにより、アプリケーションはサービスアカウントを使用して RAM ロールをアシュームし、STS トークンを取得できます。詳細については、「RAM ロールの信頼ポリシーを編集する」をご参照ください。

Statement 構成の例:

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}