Container Compute Service：通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離

使用新建立的RAM角色並授權

本樣本部署的應用將使用RRSA功能扮演指定角色，擷取當前帳號下叢集列表資訊，使用的主要資源如下。

• 命名空間：rrsa-demo。

• 服務賬戶：demo-sa。

• RAM角色：demo-role-for-rrsa。

1. 建立一個名為demo-role-for-rrsa的RAM角色。

   1. 使用阿里雲帳號登入RAM控制台。

   2. 在左側導覽列，選擇身份管理 > 角色，然後在角色頁面，單擊建立角色。

   3. 在建立角色面板，單擊切換編輯器來建立角色。

   4. 以可視化編輯為例，參考如下角色資訊進行配置，然後單擊確定。

      配置項	描述
      效果	預設為允許。
      主體	選擇身份提供者後，點擊編輯。 選擇身份提供者類型為OIDC，然後選擇對應叢集的身份提供者，如ack-rrsa-<cluster_id>。其中<cluster_id>為您的叢集ID。
      操作	預設勾選sts:AssumeRole。
      條件	oidc:iss：選擇身份提供者後自動添加，保持預設。 oidc:aud：選擇身份提供者後自動添加，保持預設。 oidc:sub：需要手動添加條件。 條件鍵：oidc:sub 運算子：StringEquals 條件值：格式為system:serviceaccount:<namespace>:<serviceAccountName>。 <namespace>：應用所在的命名空間。 <serviceAccountName>：服務賬戶名稱。 根據測試應用的資訊，此處需要填入system:serviceaccount:rrsa-demo:demo-sa。

      

   5. 在彈窗頁面中，輸入角色名稱demo-role-for-rrsa，單擊確定。

2. 為建立的角色授予測試應用所需的AliyunCSReadOnlyAccess系統策略許可權。具體操作，請參見為RAM角色授權。

   

3. 部署測試應用。

   1. 使用以下內容，建立demo.yaml檔案。

      說明

      請替換應用模板範例程式碼中的如下欄位。

      • <role_arn>需要替換為當前應用使用的RAM角色ARN。該ARN可在RAM控制台角色基本資料頁面的ARN擷取。

      • <oid_provider_arn>：替換為當前叢集的OIDC供應商ARN。該ARN可在叢集資訊頁面的基本資料頁簽，將滑鼠移動到RRSA OIDC右側的已開啟上擷取。

      展開查看範例程式碼

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        containers:
        - args:
          - rrsa
          - demo
          env:
          - name: ALIBABA_CLOUD_ROLE_ARN
            value: <role_arn>
          - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
            value: <oid_provider_arn>
          - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
            value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
          image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
          imagePullPolicy: Always
          name: demo
          volumeMounts:
          - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
            name: rrsa-oidc-token
            readOnly: true
        restartPolicy: OnFailure
        serviceAccount: demo-sa
        serviceAccountName: demo-sa
        volumes:
        - name: rrsa-oidc-token
          projected:
            defaultMode: 420
            sources:
            - serviceAccountToken:
                audience: sts.aliyuncs.com
                expirationSeconds: 3600  # 單位為秒，取值範圍為[600, 43200]，即10分鐘~12小時。
                path: token

   2. 執行以下命令，部署測試應用。

      kubectl apply -f demo.yaml

      部署應用後，應用內程式可以通過掛載的OIDC Token、RAM角色的ARN以及OIDC身份供應商的ARN，調用STS的AssumeRoleWithOIDC介面，以擷取指定RAM角色的臨時憑證。然後使用該臨時憑證訪問雲資源OpenAPI。更多資訊，請參見AssumeRoleWithOIDC。

4. 執行以下命令，查看測試應用日誌。

   kubectl -n rrsa-demo logs demo

   預期輸出ACK叢集列表資訊：

   20**/**/** 08:35:23 ======= [begin] list ACK clusters with RRSA =======
   clusters:
   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*
   20**/**/** 08:35:24 ======= [end]   list ACK clusters with RRSA =======

5. 可選：移除角色被授予的AliyunCSReadOnlyAccess系統策略許可權。具體操作，請參見為RAM角色移除許可權。

   等待30秒左右，執行以下命令，再次查看測試應用日誌。

   kubectl -n rrsa-demo logs demo

   預期輸出無許可權的錯誤記錄檔：

   20**/**/** 10:09:33 ======= [begin] list ACK clusters with RRSA =======
   20**/**/** 10:09:33 SDKError:
      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClusters request id: XXXX
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClusters","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"XXXX","AuthPrincipalType":"AssumedRoleUser","EncodedDiagnosticMessage":"XXXX","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClusters","requestId":"XXXX","status":403,"statusCode":403}

使用已存在的RAM角色並授權

如果您的應用需要使用已存在的RAM角色，而非建立新的單獨RAM角色，您可以修改RAM角色的信任策略，新增一條允許使用指定的服務賬戶的應用有許可權通過扮演此RAM角色擷取臨時憑證的信任策略。更多資訊，請參見修改RAM角色的信任策略。

RAM角色信任策略中新增的Statement條目內容樣本如下。

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}