Product Announcement: ACK Managed Clusters Install ack-ram-authenticator by Default Starting from Kubernetes Version 1.33 - Container Service for Kubernetes: Central de Documentação do Alibaba Cloud

A partir do Kubernetes 1.33, os novos clusters gerenciados pelo ACK incluem, por padrão, a versão mais recente do componente gerenciado ack-ram-authenticator. Esse componente não consome recursos adicionais dos nós do cluster.

Escopo de impacto

Essa alteração se aplica apenas aos novos clusters gerenciados pelo ACK que executam o Kubernetes versão 1.33 ou posterior, incluindo o ACK managed cluster Pro Edition e o ACK managed cluster Basic Edition.

Alterações

Nota

Para obter detalhes sobre o complemento ack-ram-authenticator e como usá-lo, consulte ack-ram-authenticator e Use ack-ram-authenticator for webhook authentication to the ACK managed cluster API server.

A partir da versão 1.33 do Kubernetes, as seguintes mudanças se aplicam aos novos clusters gerenciados pelo ACK:

Os novos clusters instalam a versão mais recente do ack-ram-authenticator por padrão. Esse complemento é um componente do sistema e não pode ser desinstalado.
As operações de expansão do pool de nós, tanto manuais quanto automáticas, dependem do ack-ram-authenticator. Durante a expansão, o cluster gera um pequeno número de registros de acesso à OpenAPI em sua rede VPC. Especificamente, os nós worker usam a API STS GetCallerIdentity para autenticar suas funções do RAM.

Configure parâmetros personalizados para o ack-ram-authenticator ao criar um cluster

Parâmetros personalizados suportados pelo ack-ram-authenticator

Visualize os parâmetros personalizados suportados pelo ack-ram-authenticator

Parâmetro

Tipo

Descrição

EnableNonBootstrapMapping

boolean

Define se deve ativar a configuração de mapeamento de identidade descrita em Step 5: Configure mappings between RAM identities and RBAC permissions.

true: Ativa os mapeamentos de identidade configurados no cluster.
false: Desativa os mapeamentos de identidade configurados no cluster. Usa apenas o mapeamento de identidade necessário para a inicialização do nó.

Configure os parâmetros do ack-ram-authenticator usando o Terraform

Ao criar um cluster com o Terraform, especifique o complemento ack-ram-authenticator e seus parâmetros personalizados na propriedade addons do resource alicloud_cs_managed_kubernetes. Para mais informações sobre como gerenciar complementos com o Terraform, consulte Manage add-ons with Terraform.

resource "alicloud_cs_managed_kubernetes" "default" {
  # Other parameters.
  # ...

  addons {
    name = "ack-ram-authenticator"
    config = jsonencode(
      {
         "EnableNonBootstrapMapping": false
      }
    )
  }
}

Configure os parâmetros do ack-ram-authenticator usando a OpenAPI

Ao criar um cluster com a OpenAPI, use o parâmetro addons na api CreateCluster para especificar o complemento ack-ram-authenticator e seus parâmetros personalizados.

"addons": [
  // Other add-on configurations.
  {
    "name": "ack-ram-authenticator",
    "config": "{\"EnableNonBootstrapMapping\": false}"
  }
],

Modifique os parâmetros do ack-ram-authenticator no console

Por padrão, o complemento ack-ram-authenticator instalado pelo console desativa o mapeamento de identidade do RAM para cenários que não envolvem a inicialização de nós. Para alterar essa configuração, siga estas etapas.

Visualize as etapas para modificar os parâmetros do complemento no console

Faça login no ACK console. No painel de navegação à esquerda, clique em @conref key="cos.cls.list" project="cos-console-aliyun-com" @/conref .
Na página @conref key="cos.cls.list" project="cos-console-aliyun-com" @/conref , clique em no nome do seu cluster. No painel de navegação à esquerda, clique em Components and Add-ons.
Na página Add-ons, clique em na aba Security. Localize o ack-ram-authenticator e clique em Configure no canto inferior direito. Em seguida, selecione Enable RAM identity mapping for non-node-initialization scenarios.

Fale conosco

Se você tiver dúvidas ou feedback, envie um ticket.