容器服务 Kubernetes 版 ACK：使用ack-secret-manager导入阿里云OOS加密参数

使用ServiceAccount维度的细粒度RRSA授权

基于Namespace维度下不同ServiceAccount的RRSA授权实现多租场景下的OOS加密参数访问权限隔离。相比其他授权方式，RRSA授权方式可以实现Pod维度的权限隔离，还可以避免直接使用AK、SK引起的凭据泄露风险。

1. 在容器服务管理控制台开启集群的RRSA功能，用于创建集群的身份提供商信息。具体操作，请参见启用RRSA功能。

   说明

   安装ack-secret-manager时，需要将参数rrsa.enable设置为true，以启用RRSA功能。

2. 为不同的ServiceAccount创建可信实体为身份提供商的RAM角色。

   选择信任主体类型为身份提供商，添加主体时主要参数设置如下，具体操作，请参见创建OIDC身份提供商的RAM角色。

   配置项	描述
   身份提供商类型	OIDC。
   身份提供商	选择ack-rrsa-<CLUSTER_ID>。其中，<CLUSTER_ID>为集群ID。
   条件	oidc:iss：保持默认。 oidc:aud：保持默认。 oidc:sub：需手动添加该条件。 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：输入system:serviceaccount:<NAMESPACE>:<SERVICEACCOUNT_NAME>。其中<NAMESPACE>为指定ServiceAccount的命名空间，<SERVICEACCOUNT_NAME>为服务账户ServiceAccount的名称。 说明 其中<NAMESPACE>和<SERVICEACCOUNT_NAME>需要与4.在指定命名空间下创建访问指定OOS加密参数的独立ServiceAccount中的配置保持一致。

3. 创建自定义权限策略并为上一步创建的RAM角色授权。

   1. 创建指定导入OOS加密参数时所需的权限策略。具体操作，请参见创建自定义权限策略。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
               "oos:GetSecretParameter",
               "kms:GetSecretValue"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
          }
        ]
      }

   2. 为上一步创建的RAM角色授权。具体操作，请参见为RAM角色授权。

4. 在指定命名空间下创建访问指定OOS加密参数的独立ServiceAccount。注意ServiceAccount需要添加键值为ack.alibabacloud.com/role-arn的指定annotation，值为该ServiceAccount绑定的目标RAM角色ARN。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     annotations:
       ack.alibabacloud.com/role-arn: acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME> # RAM角色的ARN
     name: <SERVICEACCOUNT_NAME>     # 需与RAM角色配置的oidc:sub条件值<SERVICEACCOUNT_NAME>保持一致
     namespace: <NAMESPACE>         # 需与RAM角色配置的oidc:sub条件值<NAMESPACE>保持一致

5. 使用serviceAccountRef认证方式部署自定义资源SecretStore。

   1. 基于以下内容，替换相关字段后，创建secretstore-rrsa.yaml文件。

      1. <NAME>：替换为指定的SecretStore实例名称。

      2. <NAMESPACE>：替换为指定的集群命名空间名称。

      3. <SERVICEACCOUNT_NAME>：替换为上一步中创建的ServiceAccount实例名称。

         apiVersion: alibabacloud.com/v1alpha1
         kind: SecretStore
         metadata:
           name: <NAME>
           namespace: <NAMESPACE>
         spec:
           OOS:
             OOSAuth:
               serviceAccountRef:
                 name: <SERVICEACCOUNT_NAME>

   2. 执行以下命令，部署SecretStore。

      kubectl apply -f secretstore-rrsa.yaml

使用ack-secret-manager的ServiceAccount无AK授权

相比其他授权方式，RRSA授权方式可以实现Pod维度的权限隔离，还可以避免直接使用AK、SK引起的凭据泄露风险。

1. 在容器服务管理控制台开启集群的RRSA功能，用于创建集群的身份提供商信息。具体操作，请参见启用RRSA功能。

   说明

   安装ack-secret-manager时，需要将参数rrsa.enable设置为true，以启用RRSA功能。

2. 创建可信实体为身份提供商的RAM角色，以供ack-secret-manager使用。主要参数设置如下，具体操作，请参见创建OIDC身份提供商的RAM角色。

   配置项	描述
   身份提供商类型	OIDC。
   身份提供商	选择ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
   条件	oidc:iss：保持默认。 oidc:aud：保持默认。 oidc:sub：需手动添加该条件。 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：输入system:serviceaccount:<namespace>:<serviceAccountName>。其中，<namespace>为应用所在的命名空间。<serviceAccountName>为服务账户名称。根据本文测试应用的信息，此处需填入system:serviceaccount:kube-system:ack-secret-manager。 说明 如果您将ack-secret-manager安装在其他的命名空间，请将kube-system替换为对应命名空间的名称。

3. 创建自定义授权策略并为上一步创建的RAM角色授权。

   1. 创建ack-secret-manager导入OOS加密参数时所需的权限策略。策略内容如下。具体操作，请参见创建自定义权限策略。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
               "oos:GetSecretParameter",
               "kms:GetSecretValue"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
          }
        ]
      }

   2. 为上一步创建的RAM角色授权。具体操作，请参见为RAM角色授权。

4. 创建自定义资源SecretStore关联对应的认证方式并部署。

   1. 使用以下内容，替换相关字段后，创建secretstore-rrsa.yaml文件。

      • <accountID>：替换为同步OOS加密参数的阿里云账号ID。

      • <clusterID>：替换为您的集群ID。

      • <roleName>：替换为步骤2中创建的RAM角色名称。

        apiVersion: alibabacloud.com/v1alpha1
        kind: SecretStore
        metadata:
          name: scdemo-rrsa
        spec:
          OOS:
            OOSAuth:
              oidcProviderARN: "acs:ram::<accountID>:oidc-provider/ack-rrsa-<clusterID>"
              ramRoleARN: "acs:ram::<accountID>:role/<roleName>"

5. 执行以下命令，部署SecretStore。

   kubectl apply -f secretstore-rrsa.yaml

为集群对应的Worker RAM角色添加权限

1. 创建如下自定义权限策略。具体操作，请参见创建自定义权限策略。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
         "oos:GetSecretParameter",
         "kms:GetSecretValue"
      ],
      "Resource": [
          "*"
      ],
      "Effect": "Allow"
    }
  ]
}

2. 为集群的Worker RAM角色添加上一步创建的自定义权限。具体操作，请参见步骤二：为集群的Worker RAM角色授权。

通过设置AK扮演指定RAM角色

1. 创建可信实体为阿里云账号的RAM角色，以供ack-secret-manager组件使用。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

2. 创建自定义授权策略并为上一步已创建的RAM角色授权。

   1. 创建访问OOS服务加密参数所需的权限策略。策略内容如下。具体操作，请参见创建自定义权限策略。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
               "oos:GetSecretParameter",
               "kms:GetSecretValue"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
          }
        ]
      }

   2. 为上一步已创建的RAM角色授权。具体操作，请参见为RAM角色授权。

3. 创建扮演上述角色的自定义授权策略，并为指定的RAM用户授权。

   1. 创建扮演上述角色的自定义授权策略，其中Resource的值为步骤1中创建的RAM角色的ARN。具体操作，请参见创建自定义权限策略。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Resource": "acs:ram::***:role/****"
              }
          ],
          "Version": "1"
      }

   2. 为指定的RAM用户授权。具体操作，请参见为RAM用户授权。

4. 创建Secret用于存放指定RAM用户的AK、SK信息。

   1. 使用以下内容，替换您的AK、SK的Base64编码信息后，创建ramuser.yaml文件。

      apiVersion: v1
      data:
        accessKey: <AK base64编码>
        accessKeySecret: <SK base64 编码>
      kind: Secret
      metadata:
        name: ramuser
        namespace: kube-system
      type: Opaque

   2. 执行以下命令，创建名为ramuser的Secret。

      kubectl apply -f ramuser.yaml

5. 创建自定义资源SecretStore关联对应的认证方式并部署。

   1. 使用以下内容，替换相关字段后，创建secretstore-ramrole.yaml文件。

      • <accountID>：替换为同步OOS加密参数的阿里云账号ID。

      • <roleName>：替换为步骤1中创建的RAM角色名称。

      • <secretName> ：替换为存储AK、SK的Secret名称。

      • <secretNamespace> ：替换为存储AK、SK的Secret的Namespace。

      • <secretKey> ：替换为存储AK、SK的Secret Key。

      • <roleSessionName> ：替换为角色会话名称（自定义字符串）。

        apiVersion: alibabacloud.com/v1alpha1
        kind: SecretStore
        metadata:
          name: scdemo-ramrole
        spec:
          OOS:
            OOSAuth:
              accessKey:
                name: <secretName>
                namespace: <secretNamespace>
                key: <secretKey>
              accessKeySecret:
                name: <secretName>
                namespace: <secretNamespace>
                key: <secretKey>
              ramRoleARN: "acs:ram::<accountID>:role/<roleName>"  
              ramRoleSessionName: <roleSessionName>

   2. 执行以下命令，部署SecretStore。

      kubectl apply -f secretstore-ramrole.yaml