Container Service for Kubernetes:Autorizar operações no cluster com RBAC

Como funciona

O sistema de autorização do ACK é composto por duas camadas: o RAM da Alibaba Cloud e o RBAC do Kubernetes. Juntas, elas formam uma cadeia completa de autorização que abrange desde os recursos na nuvem até os recursos internos do cluster.

• RAM: Define quem pode acessar o cluster. Atua no nível de recursos da nuvem e controla as permissões de uma entidade de segurança para operações de API em clusters ACK e seus serviços dependentes.

• RBAC: Define o que uma entidade de segurança pode fazer dentro do cluster. Oferece autorização granular ao especificar quais operações (como criar ou excluir) uma entidade pode executar em recursos Kubernetes específicos (como Pods e Deployments).

Mecanismo RBAC do Kubernetes

• Uma ClusterRole define um conjunto de permissões aplicáveis a todo o cluster. Uma ClusterRoleBinding associa essa função a uma entidade de segurança, tornando as permissões válidas em todo o cluster.

• Uma Role define um conjunto de permissões restritas a um único namespace. Uma RoleBinding vincula essa função a uma entidade de segurança, limitando sua validade apenas àquele namespace.

Cenário 1: Autorizar com uma conta Alibaba Cloud

Cenário 2: Autorizar com um usuário ou função RAM

Por padrão, um usuário RAM ou uma função RAM não pode conceder permissões RBAC a outras entidades de segurança. Para simplificar o gerenciamento, designe um usuário RAM ou uma função RAM como administrador de permissões. Esse administrador poderá então conceder permissões RBAC a outras entidades.

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        }
    ],
    "Version": "1"
}

Melhores práticas para ambientes de produção

Para aumentar a segurança e a manutenibilidade do gerenciamento de permissões, siga estas melhores práticas.

• Siga o princípio do menor privilégio

  Conceda às entidades de segurança, como usuários e funções RAM, apenas o conjunto mínimo de permissões necessário para realizar suas tarefas. Evite conceder indiscriminadamente funções de alto privilégio, como Administrator.

• Implemente autorização granular

  • Utilize autorização em camadas: Diferencie as responsabilidades entre o RAM para acesso a recursos da nuvem e o RBAC para acesso a recursos internos do cluster.

  • Restrinja o escopo: Sempre que possível, use uma RoleBinding para limitar as permissões a um namespace específico em vez de usar uma ClusterRoleBinding abrangente.

  • Escolha funções com precisão: Utilize as funções predefinidas fornecidas pelo ACK. Caso precise criar funções personalizadas, defina as regras de permissão com exatidão e evite o uso de curingas (*).

• Pratique governança contínua

  O gerenciamento de permissões é um processo dinâmico. Estabeleça um mecanismo de auditoria regular para revogar prontamente permissões redundantes ou excessivas. Registre e monitore as operações de funções com altos privilégios, como administradores de permissões.

Apêndice: Funções predefinidas

Para simplificar o gerenciamento de permissões e atender a casos de uso comuns, o ACK oferece diversas funções predefinidas padronizadas baseadas no mecanismo RBAC.

FAQ

Tópicos relacionados

• Se as funções predefinidas não atenderem às suas necessidades e você precisar de permissões RBAC personalizadas para acessar recursos internos do cluster, consulte Usar RBAC personalizado para restringir operações em recursos do cluster.

• Para fluxos de trabalho completos de autorização (incluindo autorização RAM e RBAC) para diferentes funções operacionais, consulte os seguintes tópicos:

  • Cenário 2: Conceder permissões a um engenheiro de O&M para um cluster e suas aplicações

  • Cenário 3: Conceder permissões a um desenvolvedor de aplicações para um cluster

  • Cenário 4: Conceder permissões a um administrador de permissões para aplicações no cluster

• Para informações sobre as funções de serviço usadas pelo ACK, consulte Funções de serviço do ACK.

• Se encontrar problemas durante a autorização, consulte FAQ sobre gerenciamento de autorização.