Container Service for Kubernetes：使用ack-secret-manager匯入阿里雲KMS服務憑據

使用ServiceAccount維度細粒度RRSA授權

基於Namespace維度下不同ServiceAccount的RRSA授權實現多租情境下的KMS憑據管家存取權限隔離。相比其他授權方式，RRSA授權方式可以實現Pod維度許可權隔離，還可以避免直接使用AK、SK引起的憑據泄露風險。

1. 在Container Service管理主控台開啟叢集的RRSA功能，用於建立叢集的身份供應商資訊。具體操作，請參見啟用RRSA功能。

   說明

   安裝ack-secret-manager時，需要將參數rrsa.enable設定為true，以啟用RRSA功能。

2. 為不同的ServiceAccount建立可信實體為身份供應商的RAM角色。

   選擇信任主體類型為身份供應商，添加主體時主要參數設定如下，具體操作，請參見建立OIDC身份供應商的RAM角色。

   配置項	描述
   身份供應商類型	OIDC。
   身份供應商	選擇ack-rrsa-<CLUSTER_ID>。其中，<CLUSTER_ID>為叢集ID。
   條件	oidc:iss：保持預設。 oidc:aud：保持預設。 oidc:sub：需手動添加該條件。 條件鍵：選擇oidc:sub。 運算子：選擇StringEquals。 條件值：輸入system:serviceaccount:<NAMESPACE>:<SERVICEACCOUNT_NAME>。其中<NAMESPACE>為指定ServiceAccount的命名空間，<SERVICEACCOUNT_NAME>為服務賬戶ServiceAccount的名稱。 說明 其中<NAMESPACE>和<SERVICEACCOUNT_NAME>需要與4. 在指定命名空間下建立訪問指定KMS憑據管家的獨立ServiceAccount中的配置保持一致。

3. 建立自訂權限原則並為上一步建立的RAM角色授權。

   1. 建立指定匯入KMS憑據時所需的權限原則。具體操作，請參見建立自訂權限原則。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
              "kms:GetSecretValue",
              "kms:Decrypt"
            ],
            "Resource": "acs:kms:<REGION_ID>:<ACCOUNT_ID>:secret/xxxx",  // 指定的KMS憑據ARN
            "Effect": "Allow"
          }
        ]
      }

   2. 為上一步建立的RAM角色授權。具體操作，請參見管理RAM角色的許可權。

4. 在指定命名空間下建立訪問指定KMS憑據管家的獨立ServiceAccount。注意ServiceAccount需要添加索引值為ack.alibabacloud.com/role-arn的指定annotation，值為該ServiceAccount綁定的目標RAM角色ARN。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     annotations:
       ack.alibabacloud.com/role-arn: acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME> # RAM角色的ARN
     name: <SERVICEACCOUNT_NAME>     # 需與RAM角色配置的oidc:sub條件值<SERVICEACCOUNT_NAME>保持一致
     namespace: <NAMESPACE>         # 需與RAM角色配置的oidc:sub條件值<NAMESPACE>保持一致

5. 使用serviceAccountRef認證方式部署自訂資源SecretStore。

   1. 基於以下內容，替換相關欄位後，建立secretstore-rrsa.yaml檔案。

      1. <NAME>：替換為指定的SecretStore執行個體名稱。

      2. <NAMESPACE>：替換為指定的叢集命名空間名稱。

      3. <SERVICEACCOUNT_NAME>：替換為上一步中建立的ServiceAccount執行個體名稱。

         apiVersion: alibabacloud.com/v1alpha1
         kind: SecretStore
         metadata:
           name: <NAME>
           namespace: <NAMESPACE>
         spec:
           KMS:
             KMSAuth:
               serviceAccountRef:
                 name: <SERVICEACCOUNT_NAME>

   2. 執行以下命令，部署SecretStore。

      kubectl apply -f secretstore-rrsa.yaml

使用ack-secret-manager的ServiceAccount無AK授權

相比其他授權方式，RRSA授權方式可以實現Pod維度許可權隔離，還可以避免直接使用AK、SK引起的憑據泄露風險。

1. 在Container Service管理主控台開啟叢集的RRSA功能，用於建立叢集的身份供應商資訊。具體操作，請參見啟用RRSA功能。

   說明

   安裝ack-secret-manager時，需要將參數rrsa.enable設定為true，以啟用RRSA功能。

2. 建立可信實體為身份供應商的RAM角色，以供ack-secret-manager使用。

   選擇信任主體類型為身份供應商，添加主體時主要參數設定如下，具體操作，請參見建立OIDC身份供應商的RAM角色。

   配置項	描述
   身份供應商類型	OIDC。
   身份供應商	選擇ack-rrsa-<CLUSTER_ID>。其中，<CLUSTER_ID>為叢集ID。
   條件	oidc:iss：保持預設。 oidc:aud：保持預設。 oidc:sub：需手動添加該條件。 條件鍵：選擇oidc:sub。 運算子：選擇StringEquals。 條件值：輸入system:serviceaccount:<NAMESPACE>:<SERVICEACCOUNT_NAME>。其中，<NAMESPACE>為應用所在的命名空間。<SERVICEACCOUNT_NAME>為服務賬戶名稱。根據本文測試應用的資訊，此處需填入system:serviceaccount:kube-system:ack-secret-manager。 說明 如果將ack-secret-manager安裝在其他的命名空間，請將kube-system替換為對應命名空間的名稱。

3. 建立自訂權限原則並為上一步建立的RAM角色授權。

   1. 建立ack-secret-manager匯入KMS憑據時所需的權限原則。策略內容如下。具體操作，請參見建立自訂權限原則。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:GetSecretValue",
                      "kms:Decrypt"
                  ],
                  "Resource": [
                      "*"
                  ],
                  "Effect": "Allow"
              }
          ]
      }

   2. 為上一步建立的RAM角色授權。具體操作，請參見管理RAM角色的許可權。

4. 建立自訂資源SecretStore關聯對應的認證方式並部署。

   1. 使用以下內容，替換相關欄位後，建立secretstore-rrsa.yaml檔案。

      • <ACCOUNT_ID>：替換為同步KMS憑據的阿里雲帳號ID。

      • <CLUSTER_ID>：替換為叢集ID。

      • <ROLE_NAME>：替換為步驟2中建立的RAM角色名稱。

        apiVersion: alibabacloud.com/v1alpha1
        kind: SecretStore
        metadata:
          name: scdemo-rrsa
        spec:
          KMS:
            KMSAuth:
              oidcProviderARN: "acs:ram::<ACCOUNT_ID>:oidc-provider/ack-rrsa-<CLUSTER_ID>"
              ramRoleARN: "acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME>"	                     

   2. 執行以下命令，部署SecretStore。

      kubectl apply -f secretstore-rrsa.yaml

為叢集對應的Worker RAM角色添加許可權

1. 建立如下自訂權限原則。具體操作，請參見建立自訂權限原則。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:GetSecretValue",
                   "kms:Decrypt"
               ],
               "Resource": [
                   "*"
               ],
               "Effect": "Allow"
           }
       ]
   }

2. 為叢集的Worker RAM角色添加上一步建立的自訂許可權。具體操作，請參見為叢集的Worker RAM角色授權。

通過設定AK扮演指定RAM角色

1. 建立可信實體為阿里雲帳號的RAM角色，以供ack-secret-manager組件使用。具體操作，請參見建立可信實體為阿里雲帳號的RAM角色。

   說明

   在選擇信任主體類型時，請選擇當前雲帳號。

2. 建立自訂權限原則並為上一步已建立的RAM角色授權。

   1. 建立訪問KMS服務憑據所需的權限原則。策略內容如下。具體操作，請參見建立自訂權限原則。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:GetSecretValue",
                      "kms:Decrypt"
                  ],
                  "Resource": [
                      "*"
                  ],
                  "Effect": "Allow"
              }
          ]
      }

   2. 為上一步已建立的RAM角色授權。具體操作，請參見管理RAM角色的許可權。

3. 建立自訂權限原則，並為指定的RAM使用者授權。

   1. 建立扮演上述角色的自訂權限原則。策略內容如下。具體操作，請參見建立自訂權限原則。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Resource": "acs:ram:*:<ACCOUNT_ID>:role/<ROLE_NAME>"  
              }
          ],
          "Version": "1"
      }

      上述自訂策略中的Resource為角色ARN，其中，<ACCOUNT_ID>為阿里雲帳號ID，<ROLE_NAME>為RAM角色名稱。關於如何查看角色ARN，請參見如何查看RAM角色的ARN？。

   2. 將上述自訂策略授權給RAM使用者，便可以指定具體可以扮演的RAM角色。關於如何為RAM使用者授權，請參見管理RAM使用者的許可權。

4. 建立Secret用於存放指定RAM使用者的訪問憑證資訊。

   1. 使用以下內容，替換您的AccessKey ID和AccessKey Secret的Base64編碼資訊後，建立ramuser.yaml檔案。

      apiVersion: v1
      data:
        accessKey: <AccessKey ID的Base64編碼>
        accessKeySecret: <AccessKey Secret的Base64編碼>
      kind: Secret
      metadata:
        name: ramuser
        namespace: kube-system
      type: Opaque

   2. 執行以下命令，建立名為ramuser的Secret。

      kubectl apply -f ramuser.yaml

5. 建立自訂資源SecretStore關聯對應的認證方式並部署。

   1. 使用以下內容，替換相關欄位後，建立secretstore-ramrole.yaml檔案。

      • <ACCOUNT_ID>：替換為同步KMS憑據的阿里雲帳號ID。

      • <ROLE_NAME>：替換為步驟1中建立的RAM角色名稱。

      • <SECRET_NAME> ：替換為儲存AK、SK的Secret名稱。

      • <SECRET_NAMESPACE> ：替換為儲存AK、SK的Secret的命名空間。

      • <SECRET_KEY_AK>和<SECRET_KEY_SK> ：替換為儲存AK、SK的Secret中data欄位下的鍵名（key）。

      • <ROLE_SESSION_NAME> ：替換為角色會話名稱（自訂字串）。

      apiVersion: alibabacloud.com/v1alpha1
      kind: SecretStore
      metadata:
        name: scdemo-ramrole
      spec:
        KMS:
          KMSAuth:
            accessKey:
              name: <SECRET_NAME>
              namespace: <SECRET_NAMESPACE>
              key: <SECRET_KEY_AK>
            accessKeySecret:
              name: <SECRET_NAME>
              namespace: <SECRET_NAMESPACE>
              key: <SECRET_KEY_SK>
            ramRoleARN: "acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME>"  
            ramRoleSessionName: <ROLE_SESSION_NAME>

   2. 執行以下命令，部署SecretStore。

      kubectl apply -f secretstore-ramrole.yaml