Container Service for Kubernetes:Use RRSA for pod-level access control

Obtenha a URL e o ARN do provedor OIDC

Após ativar o RRSA, passe o mouse sobre o rótulo Enabled ao lado de RRSA OIDC na seção Security and Auditing. A URL e o Alibaba Cloud Resource Name (ARN) do provedor OIDC serão exibidos.

Anote ambos os valores para utilizá-los na configuração das funções RAM e dos modelos de aplicação.

1. Instale o ack-pod-identity-webhook

O componente ack-pod-identity-webhook injeta automaticamente o caminho do arquivo de token OIDC e o ARN da função RAM nos pods como variáveis de ambiente. Pule esta etapa se preferir configurar os modelos de pod manualmente. Consulte Manually configure pod templates.

1. No console do ACK, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

2. Na página Add-ons, clique na aba Security.

3. Localize o ack-pod-identity-webhook e clique em Install.

4. Confirme as informações e clique em OK.

2. Crie ou configure uma função RAM para o provedor de identidade OIDC

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. Conceda permissões à função RAM

Anexe a política AliyunCSReadOnlyAccess à função demo-role-for-rrsa. Consulte Grant permissions to a RAM role.

Essa ação concede à aplicação acesso somente leitura às informações do cluster ACK.

4. Implante sua aplicação

Crie um arquivo chamado demo.yaml com o conteúdo abaixo. O rótulo de namespace pod-identity.alibabacloud.com/injection: 'on' e a anotação da conta de service pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa habilitam a injeção automática pelo ack-pod-identity-webhook. Consulte ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Implante a aplicação:

kubectl apply -f demo.yaml

5. Verifique a configuração injetada

Confirme se o ack-pod-identity-webhook injetou as variáveis de ambiente e as montagens de volume necessárias:

kubectl -n rrsa-demo get pod demo -o yaml

A saída esperada inclui os seguintes itens injetados:

Uma especificação de pod com injeção correta tem a seguinte aparência:

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Verifique os logs da aplicação

Imprima o log da aplicação:

kubectl -n rrsa-demo logs demo

Uma execução bem-sucedida lista os clusters na sua conta Alibaba Cloud:

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

Opcional: para verificar a aplicação do privilégio mínimo, desanexe a política AliyunCSReadOnlyAccess da função RAM (consulte Remove permissions from a RAM role). Aguarde 30 segundos e execute o comando de log novamente. A aplicação retornará um erro 403 semelhante a:

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Isso confirma que o RRSA aplica as permissões no nível do pod.

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oidc_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

Versões de SDK suportadas e demonstrações

Consulte a documentação de credenciais para cada linguagem — Método 6: Utilize a função RAM de um IdP OIDC.

Demonstrações de SDKs específicos para services da cloud

Alguns SDKs de services da cloud fornecem suporte nativo a tokens OIDC:

Alibaba Cloud CLI

O Alibaba Cloud CLI v3.0.206 e versões posteriores suportam o RRSA. Defina region_id como sua região de destino.

Opção A: Arquivo de configuração. Defina mode como OIDC em ~/.aliyun/config.json:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Opção B: Comando direto (sem necessidade de arquivo de configuração):

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Saída esperada:

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Consulte Credential types.

ossutil 2.0

O ossutil V2.1.0 e versões posteriores suportam o RRSA. Substitua region pela sua região real.

Defina mode como oidcRoleArn em ~/.ossutilconfig:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

Consulte Examples na documentação do ossutil 2.0.

Simple Log Service CLI

O Simple Log Service CLI não suporta arquivos de configuração OIDC. Utilize o ack-ram-tool para injetar credenciais em tempo de execução:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

O Alibaba Cloud Provider V1.222.0 e versões posteriores suportam assume_role_with_oidc . Defina region como sua região de destino.

Adicione assume_role_with_oidc à configuração do seu provedor:

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Consulte a demonstração do RRSA com Terraform.

Erros de SDK