ack-ram-authenticator eklentisi, ACK yönetilen kümelerinde API sunucusu isteklerini Webhook belirteç kimlik doğrulaması ve RAM aracılığıyla doğrular. Bu konuda eklentiye genel bakış, kullanım notları, yapılandırma ve sürüm notları sunulmaktadır.
Genel Bakış
ack-ram-authenticator eklentisi, Kubernetes yerel Webhook belirteç kimlik doğrulamasını ve RAM'i kullanarak ACK yönetilen kümelerindeki API sunucusu isteklerini doğrular. Esnek RBAC yetkilendirmesi için özel kaynak tanımları (CRD'ler) aracılığıyla RAM kimlikleri ile rol tabanlı erişim kontrolü (RBAC) izinleri arasında eşlemeler tanımlayabilirsiniz.
Bir kullanıcı API sunucusuna erişmek için bir Alibaba Cloud SSO rolünü üstlendiğinde, ack-ram-authenticator kullanıcı kimliğine karşılık gelen oturum adını API sunucusuna iletir. Bu sayede aynı rolü üstlenen farklı kullanıcılardan gelen erişim isteklerinin denetimi daha güvenli hale gelir.
Aşağıdaki şekilde, ack-ram-authenticator yüklü bir ACK yönetilen kümesinde Webhook kimlik doğrulamasının çalışma mekanizması gösterilmektedir.
kubectl gibi bir araçla API sunucusunda kimlik doğrulaması yaptığınızda kubectl istemcisi, kubeconfig dosyasındaki
execkomutunu çalıştırır ve imzalı bir STS belirteç URL'si oluşturmak için ack-ram-tool'u çağırır.kubectl istemcisi kimlik doğrulama Webhook'unu API sunucusuna gönderir; API sunucusu bu isteği ack-ram-authenticator'a yönlendirir.
ack-ram-authenticator, GetCallerIdentity işlemiyle belirteç URL'sinden arayanın kimliğini alır ve bunu RAMIdentityMapping yapılandırmalarında tanımlanan kimlik eşlemeleriyle karşılaştırır.
API sunucusu, eşleşen RAM kullanıcısının veya kullanıcı grubunun RBAC izinlerini doğrular ve kimlik doğrulama sonucunu kubectl istemcisine döndürür.
Kullanım Notları
Bkz. Webhook kimlik doğrulaması için ack-ram-authenticator kullanma.
Yapılandırma
ack-ram-authenticator aşağıdaki yapılandırmaları destekler:
Parametre | Tür | Açıklama |
EnableNonBootstrapMapping | boolean | Adım 5: RAM kimliklerini RBAC izinleriyle eşleştirme bölümünde yapılandırılan RAM rolünden RBAC eşlemelerini etkinleştirip etkinleştirmeyeceğinizi belirtir.
Not v0.4.0.0-g33f30dac-aliyun ve sonraki sürümler için geçerlidir. |
Sürüm Notları
Nisan 2025
Sürüm | Açıklama | Yayın Tarihi | Etki |
v0.4.1.0-g8023a0b5-aliyun |
| 2025-04-29 | ack-ram-authenticator yüklemek veya kaldırmak kontrol düzleminin yeniden başlatılmasına neden olur ve kalıcı API sunucusu bağlantılarını kesintiye uğratır. Hizmet etkisini en aza indirmek için bu işlemleri yoğun olmayan saatlerde gerçekleştirin. |
Mart 2025
|
|
|
|
|
|
|
|
|
|
Eylül 2024
|
|
|
|
|
|
|
|
|
|
Nisan 2024
Sürüm | Açıklama | Yayın Tarihi | Etki |
v0.2.1.3-g694325a9-aliyun | Sorun giderme amacıyla GetCallerIdentity çağrılarıyla birlikte ack-ram-authenticator sürüm bilgilerini iletir. | 2024-04-12 | ack-ram-authenticator yüklemek veya kaldırmak kontrol düzleminin yeniden başlatılmasına neden olur ve kalıcı API sunucusu bağlantılarını kesintiye uğratır. Hizmet etkisini en aza indirmek için bu işlemleri yoğun olmayan saatlerde gerçekleştirin. |
v0.2.0.3-gcea89d25-aliyun | Canary sürümü. ARM mimarisi desteği eklenmiştir. | 2024-04-10 |
Kasım 2023
Sürüm | Açıklama | Yayın Tarihi | Etki |
v0.2.0.0-g9cf9d682-aliyun |
| 2023-11-15 | ack-ram-authenticator yüklemek veya kaldırmak kontrol düzleminin yeniden başlatılmasına neden olur ve kalıcı API sunucusu bağlantılarını kesintiye uğratır. Hizmet etkisini en aza indirmek için bu işlemleri yoğun olmayan saatlerde gerçekleştirin. |
Mayıs 2023
|
|
|
|
|
|
|
|
|
|