Container Service for Kubernetes:Create and authorize users in ACK One GitOps

Pré-requisitos

Verifique se os seguintes requisitos foram atendidos:

• O kubectl está conectado à instância Fleet com o kubeconfig obtido no console do ACK One.

• O GitOps está ativado na instância Fleet.

• Você tem a senha de administrador do Argo CD. Consulte Acessar o Argo CD usando a CLI do Argo CD.

Adicionar um usuário local

1. Edite o ConfigMap argocd-cm.

   kubectl edit cm argocd-cm -n argocd

2. Adicione o usuário local no campo data. Este exemplo adiciona um usuário chamado localuser1.

   data:
     accounts.localuser1: login,apiKey    # Grants UI login and API key generation
     accounts.localuser1.enabled: "true"  # Enables the user

   Cada conta oferece duas capacidades:

   • login — faz login na UI e na CLI do Argo CD

   • apiKey — gera tokens de autenticação para acesso à API

3. Verifique se o usuário foi criado.

   argocd account list

   Saída esperada:

   NAME        ENABLED  CAPABILITIES
   admin       true     login
   localuser1  true     login,apiKey

4. Defina uma senha e gere um token.

   # Set a password
   argocd account update-password \
     --account localuser1 \
     --current-password <admin-password> \
     --new-password <localuser1-password>
   
   # Generate an API key token
   argocd account generate-token --account localuser1
   eyJhb......

Funções predefinidas

Para conceder permissões, atribua-as primeiro a uma função e depois mapeie um grupo SSO ou usuário local para essa função. O sistema aceita funções personalizadas e disponibiliza as seguintes funções integradas:

Também é possível criar funções personalizadas com permissões refinadas.

Sintaxe da política

Todas as políticas são definidas no campo .data.policy.csv do argocd-rbac-cm.

Atribuir uma permissão (regra p):

p, <role/user/group>, <resource>, <action>, <object>

Para recursos dentro de um projeto:

p, <role/user/group>, <resource>, <action>, <appproject>/<object>

Onde:

• <role/user/group> — nome da função, nome de usuário local ou grupo/UID do SSO

• <resource> — tipo de recurso do Argo CD

• <action> — operação a ser permitida

• <object> — instância específica do recurso ou * para todos

Mapear um usuário ou grupo para uma função (regra g):

g, <user/group>, <role>

Recursos e ações compatíveis

O Argo CD é compatível com os seguintes recursos: clusters, projects, applications, applicationsets, repositories, certificates, accounts, gpgkeys, logs, exec e extensions.

As seguintes ações são compatíveis: get, create, update, delete, sync, override e action/<api-group>/<Kind>/<action-name>.

sync , override e action/<api-group>/<Kind>/<action-name> são válidos apenas para o recurso applications .

Conceder permissões a um usuário local

1. Edite o ConfigMap argocd-rbac-cm.

   kubectl edit cm argocd-rbac-cm -n argocd

2. Adicione uma regra g para mapear o usuário local a uma função. Este exemplo mapeia localuser1 para role:admin.

   • Mapeie localuser1 para role:admin para obter acesso total a todos os recursos do Argo CD.

   • Mapeie localuser1 para a função personalizada project-admin (comentada) para acesso restrito ao projeto.

   Importante

   Não modifique outras configurações existentes no ConfigMap.

   data:
     policy.csv: |
   ##  p, role:project-admin, applications, *, */*, allow
   ##  p, role:project-admin, projects, *, *, allow
   
         g, "14***01", role:admin          # Keep the current setting.
         g, localuser1, role:admin         # Map localuser1 to role:admin.
   ##    g, localuser1, role:project-admin # Alternative: map to a custom role.
       scopes: '[uid]'                     # Keep the current setting.

   Este exemplo abrange dois cenários:

Conceder permissões a usuários RAM ou funções RAM

Por padrão, o ACK One GitOps integra a UI e a CLI do Argo CD à autenticação SSO do Alibaba Cloud RAM. Após fazer login no console do Alibaba Cloud, acesse a UI ou a CLI do Argo CD via SSO sem precisar inserir credenciais novamente. Os administradores da instância Fleet recebem automaticamente permissões de administrador do Argo CD. Usuários RAM comuns precisam receber permissões do administrador da frota.

Para um usuário RAM comum, conceda ambos os itens a seguir:

1. Permissões RBAC do Argo CD no argocd-rbac-cm

2. Permissões no nível da aplicação por meio de projetos do Argo CD