ACK管理クラスターのワーカーRAMロールの権限を手動で制限する

前提条件

• Kubernetes 1.18以降を実行するACKマネージドクラスターが作成されます。 ACK管理クラスターは、ACK ProクラスターとACK Basicクラスターに分類されます。 詳細については、「ACK管理クラスターの作成」および「ACKクラスターの更新」をご参照ください。

• ACK専用クラスターのワーカーRAMロールの権限を制限する場合は、まずACK専用クラスターからACK Proクラスターに移行する必要があります。 詳細については、「ACK専用クラスターからACK Proクラスターへのホットマイグレーション」をご参照ください。

• デフォルトのロールがACKに割り当てられ、ACK管理クラスターに必要な権限が付与されます。 詳細については、「デフォルトのロールをACKに割り当てる」をご参照ください。

ステップ1: 権限制限が必要かどうかの確認

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 クラスターの詳細ページで、[基本情報] タブをクリックします。 Worker RAMロールの右側にあるハイパーリンクをクリックして、RAMコンソールに移動します。

3. [ロールの詳細] ページの [権限] タブで、ポリシーが表示されているかどうかを確認します。

   • ポリシーが表示されない場合は、ワーカーRAMロールの権限を制限する必要はありません。

   • k8sWorkerRolePolicy-db8ad5c7 *** などのポリシーが表示されている場合は、ワーカーRAMロールの権限を制限する必要があります。 この場合、要件と最小権限の原則に基づいて、ワーカーRAMロールの権限を制限することをお勧めします。

ステップ2: システムコンポーネントの更新

ACK管理クラスターの主要なシステムコンポーネントを、必要最小限のバージョンまたは最新バージョンに更新します。 詳細については、「システムコンポーネントの管理」をご参照ください。

コンポーネントは、ACKコンソールの [アドオン] ページから、またはノードプールを使用してインストールできます。 次の表に、上記の方法でインストールされたコンポーネントを更新する方法を示します。

kubectl -n kube-system rollout restart deployment/metrics-server

kubectl -n kube-system rollout restart deployment/alicloud-monitor-controller

kubectl -n kube-system rollout restart daemonset/logtail-ds
kubectl -n kube-system rollout restart deployment/alibaba-log-controller

kubectl -n kube-system rollout restart daemonset/terway

kubectl -n kube-system rollout restart daemonset/terway-eni

kubectl -n kube-system rollout restart daemonset/terway-eniip

kubectl -n kube-system rollout restart deployment/terway-controlplane

kubectl -n kube-system rollout restart daemonset/flexvolume

kubectl -n kube-system rollout restart daemonset/csi-plugin

kubectl -n kube-system rollout restart deployment/csi-provisioner

kubectl -n kube-system rollout restart deployment/storage-auto-expander
kubectl -n kube-system rollout restart deployment/storage-cnfs
kubectl -n kube-system rollout restart deployment/storage-monitor
kubectl -n kube-system rollout restart deployment/storage-snapshot-manager
kubectl -n kube-system rollout restart deployment/storage-operator

kubectl -n kube-system rollout restart deployment/alicloud-disk-controller

kubectl -n kube-system rollout restart deployment/ack-node-problem-detector-eventer

kubectl -n kube-system rollout restart deployment/aliyun-acr-credential-helper

kubectl -n kube-system rollout restart deployment/ack-cost-exporter

kubectl -n mse-ingress-controller rollout restart deployment/ack-mse-ingress-controller

kubectl -n arms-prom rollout restart deployment/arms-prometheus-ack-arms-prometheus

kubectl -n ack-onepilot rollout restart deployment/ack-onepilot-ack-onepilot

kubectl -n kube-systemロールアウトの再起動デプロイメント /cluster-autoscaler

Terwayの設定を確認する

terway、terway-eni、またはterway-eniipがクラスターにインストールされている場合、kube-system名前空間のeni_conf ConfigMapであるTerwayの設定ファイルを手動で確認する必要があります。

1. 次のコマンドを実行して、eni_conf ConfigMapを表示および変更します。

   kubectl edit cm eni-config -n kube-system

   • "credential_path": "/var/addon/token-config" 、設定がeni-conf ConfigMapに含まれている場合、追加のアクションは必要ありません。

   • "credential_path": "/var/addon/token-config" の設定がeni_conf ConfigMapに含まれていない場合、min_pool_sizeパラメーターの下に新しい行を追加し、行に "credential_path": "/var/addon/token-config" を指定する必要があります。

     "credential_path": "/var/addon/token-config",

2. 前の表の対応するコマンドを実行して、Terwayを再デプロイします。

手順3: ActionTrailを使用してクラスターログを収集

ActionTrailを使用してAPI監査ログを収集し、クラスターで実行されたAPI操作を分析します。 これにより、クラスターのワーカーRAMロールにアタッチされたRAMポリシーに依存するアプリケーションを特定できます。 ActionTrailで動作するAlibaba Cloudサービスの詳細については、「ActionTrailで動作するサービス」をご参照ください。

ActionTrailコンソールに移動し、クラスターが存在するリージョンに単一アカウントのトレイルを作成します。 シングルアカウントトレイルを作成するときは、[Simple Log Serviceへの配信] を選択します。 詳細については、「シングルアカウント証跡の作成」をご参照ください。

ステップ4: クラスターで機能テストを実行する

上記の手順が完了したら、クラスターで機能テストを実行して、クラスターが期待どおりに機能するかどうかを確認します。

ステップ5: ActionTrailによって収集されたログを分析する

1. にログインします。Simple Log Serviceコンソール.

2. [プロジェクト] セクションで、管理するプロジェクトをクリックします。

   

3. プロジェクトの詳細ページで、[ログストレージ] > [ログストア] を選択し、[ログストア] タブで管理するログストアをクリックします。

   手順3でActionTrailによって収集されたログを保存するために使用するLogstoreの名前は、actiontrail_<trail name> 形式です。

4. 次のクエリ文を使用して、STSトークンを使用してクラスターのワーカーRAMロールが実行するAPI操作を取得します。

   <worker_role_name> をクラスターのワーカーRAMロールの名前に置き換えます。

   * and event.userIdentity.userName: <worker_role_name> | select "event.serviceName", "event.eventName", count(*) as total GROUP BY "event.eventName", "event.serviceName"

ステップ6: ワーカーRAMロールの権限を制限する

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 クラスターの詳細ページで、[基本情報] タブをクリックします。 Worker RAMロールの右側にあるハイパーリンクをクリックして、RAMコンソールに移動します。

3. [ロールの詳細] ページの [権限] タブで、管理するRAMポリシーをクリックします。 [ポリシーコンテンツ] タブで、[ポリシードキュメントの変更] をクリックします。

   重要

   ポリシーを変更する前に、ポリシーをロールバックする必要がある場合に備えて、元のポリシーコンテンツのコピーを作成します。

   ビジネス要件とステップ5で生成された分析結果に基づいて、ポリシーから権限を削除します。 たとえば、ポリシーコンテンツの [操作] セクションから、分析結果に含まれていないAPI操作を削除できます。 ポリシーコンテンツのすべてのAPI操作が不要であることを確認した場合は、RAMポリシーをワーカーRAMロールからデタッチできます。

4. システムコンポーネントを再デプロイします。 詳細については、「手順2」のredeployコマンドをご参照ください。

5. ワーカーRAMロールがクラスター内のコンポーネントとアプリケーションに必要な最小限の権限のみを提供するまで、手順4、手順5、および手順6を繰り返します。

関連ドキュメント

ACKの認証システムの詳細については、「認証のベストプラクティス」をご参照ください。