O add-on ack-ram-authenticator autentica requisições ao servidor de API em clusters gerenciados do ACK por meio de autenticação de token via webhook e RAM. Este tópico aborda a visão geral do add-on, notas de uso, configuração e notas de versão.
Visão geral
O add-on ack-ram-authenticator autentica requisições ao servidor de API em clusters gerenciados do ACK usando autenticação de token via webhook nativa do Kubernetes e RAM. Você pode definir mapeamentos entre identidades do RAM e permissões de controle de acesso baseado em função (RBAC) por meio de definições de recursos personalizados (CRDs) para obter uma autorização RBAC flexível.
Quando um usuário assume uma função SSO do Alibaba Cloud para acessar o servidor de API, o ack-ram-authenticator transmite o nome da sessão correspondente à identidade do usuário ao servidor de API. Isso permite auditar com mais segurança as requisições de acesso de diferentes usuários que assumem a mesma função.
A figura a seguir ilustra o funcionamento da autenticação via webhook em um cluster gerenciado do ACK com o ack-ram-authenticator instalado.
Ao usar uma ferramenta como kubectl para autenticar no servidor de API, o cliente kubectl executa o comando
execno arquivo kubeconfig e chama o ack-ram-tool para gerar uma URL de token STS assinada.O cliente kubectl envia o webhook de autenticação ao servidor de API, que o encaminha ao ack-ram-authenticator.
O ack-ram-authenticator chama a operação GetCallerIdentity para obter a identidade do chamador a partir da URL do token e a compara com os mapeamentos de identidade definidos nas configurações de RAMIdentityMapping.
O servidor de API verifica as permissões RBAC do usuário ou grupo de usuários do RAM correspondente e retorna o resultado da autenticação ao cliente kubectl.
Notas de uso
Consulte Usar ack-ram-authenticator para autenticação via webhook.
Configuração
O ack-ram-authenticator oferece suporte às seguintes configurações:
|
Parâmetro |
Tipo |
Descrição |
|
EnableNonBootstrapMapping |
boolean |
Define se os mapeamentos de função do RAM para RBAC configurados na Etapa 5: Mapear identidades do RAM para permissões RBAC devem ser ativados.
Nota
Aplica-se à versão v0.4.0.0-g33f30dac-aliyun e posteriores. |
Notas de versão
Abril de 2025
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.4.1.0-g8023a0b5-aliyun |
|
29/04/2025 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |
Março de 2025
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.4.0.0-g33f30dac-aliyun |
Adiciona o parâmetro |
31/03/2025 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |
Setembro de 2024
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.3.0.0-gea598ff0-aliyun |
Atualiza o Golang para a versão 1.22.7 para melhorar a estabilidade. |
09/09/2024 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |
Abril de 2024
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.2.1.3-g694325a9-aliyun |
Fornece informações de versão do ack-ram-authenticator nas chamadas GetCallerIdentity para auxiliar na solução de problemas. |
12/04/2024 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |
|
v0.2.0.3-gcea89d25-aliyun |
Lançamento canário. Adiciona suporte à arquitetura ARM. |
10/04/2024 |
Novembro de 2023
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.2.0.0-g9cf9d682-aliyun |
|
15/11/2023 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |
Maio de 2023
|
Versão |
Descrição |
Data de lançamento |
Impacto |
|
v0.1.0.5-g6e50a122-aliyun |
Lançamento inicial do ack-ram-authenticator. |
18/05/2023 |
A instalação ou desinstalação do ack-ram-authenticator aciona uma reinicialização do plano de controle, interrompendo conexões persistentes com o servidor de API. Execute essas operações fora dos horários de pico para minimizar o impacto nos serviços. |