Container Service for Kubernetes:Use RRSA for pod-level access control

OIDC sağlayıcı URL'sini ve ARN'sini alın

RRSA etkinleştirildikten sonra, Security and Auditing bölümünde RRSA OIDC yanındaki Enabled etiketinin üzerine gelin. OIDC sağlayıcısının URL'si ve Alibaba Cloud Resource Name (ARN) bilgisi görüntülenir.

RAM rollerini ve uygulama şablonlarını yapılandırırken kullanmak üzere her iki değeri de kaydedin.

1. ack-pod-identity-webhook bileşenini yükleyin

ack-pod-identity-webhook bileşeni, OIDC belirteci dosya yolunu ve RAM rolü ARN'sini ortam değişkenleri olarak podlara otomatik olarak enjekte eder. Pod şablonlarını manuel olarak yapılandırmak isterseniz bu adımı atlayabilirsiniz. Bkz. Pod şablonlarını manuel olarak yapılandırma.

1. ACK konsolunda kümenizin adına tıklayın. Sol gezinme bölmesinde Add-ons öğesine tıklayın.

2. Add-ons sayfasında Security sekmesine tıklayın.

3. ack-pod-identity-webhook bileşenini bulun ve Install öğesine tıklayın.

4. Bilgileri onaylayın ve OK öğesine tıklayın.

2. OIDC kimlik sağlayıcısı için bir RAM rolü oluşturun veya yapılandırın

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

3. RAM rolüne izinler atayın

demo-role-for-rrsa rolüne AliyunCSReadOnlyAccess ilkesini ekleyin. Bkz. RAM rolüne izin verme.

Bu işlem, uygulamaya ACK küme bilgilerine salt okunur erişim izni verir.

4. Uygulamanızı dağıtın

Aşağıdaki içeriğe sahip demo.yaml adlı bir dosya oluşturun. Ad alanı etiketi pod-identity.alibabacloud.com/injection: 'on' ve hizmet hesabı ek açıklaması pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa, ack-pod-identity-webhook tarafından otomatik enjeksiyonu etkinleştirir. Bkz. ack-pod-identity-webhook.

---
apiVersion: v1
kind: Namespace
metadata:
  name: rrsa-demo
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: demo-sa
  namespace: rrsa-demo
  annotations:
    pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa

---
apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  serviceAccountName: demo-sa
  containers:
    - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
      args:
        - rrsa
        - demo
      name: demo
  restartPolicy: OnFailure

Uygulamayı dağıtın:

kubectl apply -f demo.yaml

5. Enjekte edilen yapılandırmayı doğrulayın

ack-pod-identity-webhook bileşeninin gerekli ortam değişkenlerini ve birim bağlantılarını enjekte ettiğini onaylayın:

kubectl -n rrsa-demo get pod demo -o yaml

Beklenen çıktıda aşağıdaki enjekte edilen öğeler yer alır:

Doğru enjekte edilmiş bir pod belirtimi şu şekilde görünür:

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: acs:ram::1***:role/demo-role-for-rrsa
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: acs:ram::1***:oidc-provider/ack-rrsa-c***
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    - name: ALIBABA_CLOUD_STS_ENDPOINT
      value: sts-vpc.cn-hangzhou.aliyuncs.com
    - name: ALIBABA_CLOUD_STS_REGION
      value: cn-hangzhou
    - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
      value: "true"
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
      name: kube-api-access-4bwdg
      readOnly: true
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: kube-api-access-4bwdg
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          expirationSeconds: 3607
          path: token
      - configMap:
          items:
          - key: ca.crt
            path: ca.crt
          name: kube-root-ca.crt
      - downwardAPI:
          items:
          - fieldRef:
              apiVersion: v1
              fieldPath: metadata.namespace
            path: namespace
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

6. Uygulama günlüklerini kontrol edin

Uygulama günlüğünü yazdırın:

kubectl -n rrsa-demo logs demo

Başarılı bir çalıştırma, Alibaba Cloud hesabınızdaki kümeleri listeler:

cluster id: cf***, cluster name: foo*
cluster id: c8***, cluster name: bar*
cluster id: c4***, cluster name: foob*

İsteğe bağlı: En az ayrıcalık ilkesinin uygulanmasını doğrulamak için RAM rolünden AliyunCSReadOnlyAccess ilkesini kaldırın (bkz. RAM rolünden izinleri kaldırma). 30 saniye bekleyin ve ardından günlük komutunu tekrar çalıştırın. Uygulama, aşağıdakine benzer bir 403 hatası döndürür:

   StatusCode: 403
   Code: StatusForbidden
   Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
   Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

Bu durum, RRSA'nın izinleri pod düzeyinde uyguladığını doğrular.

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oidc_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

Desteklenen SDK sürümleri ve demosu

Her dil için kimlik bilgileri belgelerine bakın — Yöntem 6: OIDC IdP'nin RAM rolünü kullanma.

Bulut hizmetlerine özel SDK demoları

Bazı bulut hizmeti SDK'ları yerel OIDC belirteci desteği sunar:

Alibaba Cloud CLI

Alibaba Cloud CLI v3.0.206 ve sonraki sürümler RRSA'yı destekler. region_id değerini hedef bölgenize ayarlayın.

Seçenek A: Yapılandırma dosyası. ~/.aliyun/config.json dosyasında mode değerini OIDC olarak ayarlayın:

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

Seçenek B: Doğrudan komut (yapılandırma dosyası gerekmez):

aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa

Beklenen çıktı:

{
  "AccountId": "11380***",
  "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
  "IdentityType": "AssumedRoleUser",
  "PrincipalId": "33300***:test-rrsa",
  "RequestId": "20F78881-F47E-5771-90D6-***",
  "RoleId": "33300***"
}

Bkz. Kimlik bilgisi türleri.

ossutil 2.0

ossutil V2.1.0 ve sonraki sürümler RRSA'yı destekler. region değerini gerçek bölgenizle değiştirin.

~/.ossutilconfig dosyasında mode değerini oidcRoleArn olarak ayarlayın:

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

ossutil 2.0 belgelerindeki Örnekler bölümüne bakın.

Simple Log Service CLI

Simple Log Service CLI, OIDC yapılandırma dosyalarını desteklemez. Kimlik bilgilerini çalışma zamanında enjekte etmek için ack-ram-tool aracını kullanın:

ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

Terraform

Alibaba Cloud Provider V1.222.0 ve sonraki sürümler assume_role_with_oidc özelliğini destekler. region değerini hedef bölgenize ayarlayın.

Sağlayıcı yapılandırmanıza assume_role_with_oidc bloğunu ekleyin:

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

Bkz. Terraform RRSA demosu.

SDK hataları