Key Management Service：ACK通過ack-kms-agent-webhook-injector組件快速整合KMS Agent

啟用ACK RRSA功能。

開啟叢集詳情頁，在基本資料頁簽的安全與審計地區，將滑鼠懸浮至RRSA OIDC右側已開啟上面，查看供應商的URL連結和ARN資訊。

為app1建立一個可信實體為身份供應商的RAM角色，並授權其可以訪問標籤為secret: app1的憑據。具體操作，請參見建立可信實體為身份供應商的RAM角色。

1. 登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 角色，然後在角色頁面，單擊建立角色。

3. 在建立角色面板，選擇可信實體類型為身份供應商，並單擊切換編輯器。

4. 在建立角色頁面的可視化編輯，配置如下角色資訊後，單擊確定。

   配置項	描述
   效果	選擇允許。
   主體	選擇身份供應商。 身份供應商類型：選擇OIDC。 身份供應商：開啟RRSA後，ACK叢集會預設建立身份供應商，命名格式為ack-rrsa-<cluster_id>。其中，<cluster_id>為您的叢集ID。
   操作	保持預設。即勾選sts:AssumeRole。
   條件	在預設的oidc:iss和oidc:aud限制條件基礎上，新增一個限制條件： 條件鍵：選擇oidc:sub。 運算子：選擇StringEquals。 條件值：system:serviceaccount:<namespace>:<serviceAccountName>。本文樣本為system:serviceaccount:app1-dev:app1-service。 <namespace>：希望注入KMS Agent的應用所在的命名空間。 <serviceAccountName>：希望注入KMS Agent的應用所使用的服務賬戶名稱。服務賬戶名稱為Pod提供身份標識，可以通過RRSA機制與RAM角色動態綁定。 說明 若您需要為多個不同命名空間中的不同服務賬戶配置，您可以配置多個值。

5. 在建立角色對話方塊中，設定角色名稱，然後單擊確定。本文角色名稱以app1-rrsa為例。

6. （可選）查看app1-rrsa這個RAM角色的信任策略。

   信任策略表示允許服務賬戶app1-service通過阿里雲RRSA（RAM Roles for Service Accounts） ，在滿足OIDC身分識別驗證條件後，擔任某個RAM角色。

7. 建立權限原則。

   權限原則名稱以app1-rrsa-kms-policy為例，策略內容為訪問標籤為secret: app1的憑據。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "kms:GetSecretValue"
               ],
               "Resource": "*",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/secret": [
                           "app1"
                       ]
                   }
               }
           }
       ]
   }

8. 將app1-rrsa-kms-policy權限原則，授權給app1-rrsa角色。具體操作，請參見為RAM角色授權。

為app2建立一個可信實體為身份供應商的RAM角色，並授權其可以訪問標籤為secret: app1的憑據。具體操作，請參見建立可信實體為身份供應商的RAM角色。

1. 登入RAM控制台。

2. 在左側導覽列，選擇身份管理 > 角色，然後在角色頁面，單擊建立角色。

3. 在建立角色面板，選擇可信實體類型為身份供應商，並單擊切換編輯器。

4. 在建立角色頁面的可視化編輯，配置如下角色資訊後，單擊確定。

   配置項	描述
   效果	選擇允許。
   主體	選擇身份供應商。 身份供應商類型：選擇OIDC。 身份供應商：開啟RRSA後，ACK叢集會預設建立身份供應商，命名格式為ack-rrsa-<cluster_id>。其中，<cluster_id>為您的叢集ID。
   操作	保持預設。即勾選sts:AssumeRole。
   條件	在預設的oidc:iss和oidc:aud限制條件基礎上，新增一個限制條件： 條件鍵：選擇oidc:sub。 運算子：選擇StringEquals。 條件值：system:serviceaccount:<namespace>:<serviceAccountName>。本文樣本為system:serviceaccount:app2-dev:app2-service。 <namespace>：希望注入KMS Agent的應用所在的命名空間。 <serviceAccountName>：希望注入KMS Agent的應用所使用的服務賬戶名稱。服務賬戶名稱為Pod提供身份標識，可以通過RRSA機制與RAM角色動態綁定。 說明 若您需要為多個不同命名空間中的不同服務賬戶配置，您可以配置多個值。

5. 在建立角色對話方塊中，設定角色名稱，然後單擊確定。本文角色名稱以app2-rrsa為例。

6. （可選）查看app2-rrsa這個RAM角色的信任策略。

   信任策略表示允許服務賬戶app2-service通過阿里雲RRSA（RAM Roles for Service Accounts） ，在滿足OIDC身分識別驗證條件後，擔任某個RAM角色。

7. 建立權限原則。

   權限原則名稱以app2-rrsa-kms-policy為例，策略內容為訪問標籤為secret: app2的憑據。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "kms:GetSecretValue"
               ],
               "Resource": "*",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/secret": [
                           "app2"
                       ]
                   }
               }
           }
       ]
   }

8. 將app2-rrsa-kms-policy權限原則，授權給app2-rrsa角色。具體操作，請參見為RAM角色授權。

建立普通服務角色。角色名稱以ack-secret-manager為例。

1. 登入RAM控制台，在左側導覽列，選擇身份管理 > 角色。

2. 在角色頁面，單擊建立角色。

3. 在建立角色頁面，選擇信任主體類型為雲端服務，信任主體名稱請選擇Container ServiceKubernetes版，最後單擊確定。

4. 在建立角色對話方塊，輸入角色名稱，單擊確定。

建立如下自訂權限原則。策略名稱稱以ack-secret-manager-policy為例。具體操作，請參見建立自訂權限原則。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "kms:GetSecretValue",
        "kms:Decrypt"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

將自訂權限原則ack-secret-manager-policy，授權給自訂角色ack-secret-manager。

建立節點池時，為節點池指定Worker RAM角色。

Worker RAM角色選擇自訂，然後選擇ack-secret-manager。

建立叢集時同步建立節點池，詳細介紹，請參見建立ACK託管叢集、建立ACK Serverless叢集。為已有叢集建立節點池，請參見建立和管理節點池。