Container Service for Kubernetes:Use RRSA for pod-level access control

Obter a URL e o ARN do provedor OIDC

Após ativar o RRSA, passe o mouse sobre o rótulo Enabled ao lado de RRSA OIDC na seção Security and Auditing. A interface exibirá a URL e o Alibaba Cloud Resource Name (ARN) do provedor OIDC.

Anote ambos os valores e configure as funções do RAM e os modelos de aplicação.

1. Instale o ack-pod-identity-webhook

O ack-pod-identity-webhook injeta automaticamente o caminho do arquivo de token OIDC e o ARN da função do RAM nos pods como variáveis de ambiente. Ignore esta etapa e configure os modelos de pod manualmente. Consulte configure manualmente os modelos de pod.

1. No console do ACK, clique no nome do seu cluster. No painel de navegação à esquerda, clique em Add-ons.

2. Na página Add-ons, clique na aba Security.

3. Encontre o ack-pod-identity-webhook e clique em Install.

4. Confirme as informações e clique em OK.

2. Crie ou configure uma função do RAM para o provedor de identidade OIDC

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. Conceder permissões à função do RAM

Anexe a política AliyunCSReadOnlyAccess à demo-role-for-rrsa. Consulte Grant permissions to a RAM role.

Isso concede à aplicação acesso somente leitura às informações do cluster ACK.

4. Implantar sua aplicação

Crie um arquivo chamado demo.yaml com o seguinte conteúdo. O rótulo de namespace pod-identity.alibabacloud.com/injection: 'on' e a anotação da conta de serviço pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa permitem a injeção automática pelo ack-pod-identity-webhook. Consulte ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Implante a aplicação:

kubectl apply -f demo.yaml

5. Verifique a configuração injetada

Confirme se o ack-pod-identity-webhook injetou as variáveis de ambiente e as montagens de volume necessárias:

kubectl -n rrsa-demo get pod demo -o yaml

A saída esperada inclui os seguintes itens injetados:

Veja um exemplo de especificação de pod com a injeção correta:

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Verifique os logs da aplicação

Visualize os logs da aplicação:

kubectl -n rrsa-demo logs demo

Uma execução bem-sucedida lista os clusters na sua conta da Alibaba Cloud:

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

Opcional: verifique a aplicação do privilégio mínimo, remova a política AliyunCSReadOnlyAccess da função do RAM (consulte Remove permissions from a RAM role). Aguarde 30 segundos e execute o comando de log novamente. A aplicação retorna um erro 403 semelhante a:

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Isso confirma que o RRSA aplica as permissões no nível do pod.

Versões de SDK suportadas e demonstrações

Consulte a documentação de credenciais de cada linguagem — Método 6: Use a função do RAM de um IdP OIDC.

Demonstrações de SDK específicas para services de cloud

Alguns SDKs de service de cloud oferecem suporte nativo a tokens OIDC:

Alibaba Cloud CLI

O Alibaba Cloud CLI v3.0.206 e versões posteriores são compatíveis com o RRSA. Defina region_id como a sua região de destino.

Opção A: Arquivo de configuração. Defina mode como OIDC em ~/.aliyun/config.json:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Opção B: Comando direto (sem necessidade de arquivo de configuração):

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Saída esperada:

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Consulte Credential types.

ossutil 2.0

O ossutil V2.1.0 e versões posteriores são compatíveis com o RRSA. Substitua region pela sua região real.

Defina mode como oidcRoleArn em ~/.ossutilconfig:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

Consulte Examples na documentação do ossutil 2.0.

Simple Log Service CLI

O Simple Log Service CLI não é compatível com arquivos de configuração OIDC. Use o ack-ram-tool para injetar credenciais em tempo de execução:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

O Alibaba Cloud Provider V1.222.0 e versões posteriores são compatíveis com assume_role_with_oidc . Defina region como a sua região de destino.

Adicione assume_role_with_oidc à configuração do seu provedor:

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Consulte a demonstração do RRSA com Terraform.

Erros de SDK