Container Service for Kubernetes:RRSA を使用した、異なる Pod から異なるクラウドサービスへのアクセスの認可

背景情報

Elastic Container Instance は Elastic Compute Service (ECS) インスタンス上で実行されます。ECS インスタンスメタデータには、Alibaba Cloud 内の ECS インスタンスに関する情報が含まれています。実行中のインスタンス内からこのメタデータにアクセスして、インスタンスを設定または管理できます。ACK クラスターにデプロイされたアプリケーションは、ECS インスタンスメタデータを使用して、さまざまな Resource Access Management (RAM) ロールを引き受けるために使用される Security Token Service (STS) トークンを取得できます。これにより、アプリケーションはさまざまなクラウドサービスの API を呼び出すことができます。詳細については、「インスタンスメタデータ」をご参照ください。

セキュリティ上の理由から、クラスター内の異なるアプリケーションに対して RAM 権限を制限する必要がある場合、ECS または Elastic Container Instance のメタデータを介してインスタンスロールに関連付けられた STS トークンを取得する機能を無効にするか、インスタンスに関連付けられたロールに RAM ポリシーを割り当てないようにする必要があります。しかし、これらのアプリケーションは依然として、クラウドリソースにアクセスするための STS トークンを安全に取得する方法を必要とします。これらの問題に対処するため、ACK は RAM に基づいて開発された RRSA 機能をリリースしました。

RRSA 機能を使用すると、ACK クラスター内の異なるアプリケーションが異なる RAM ロールを引き受けることを許可できます。アプリケーションは STS トークンを取得し、そのトークンを使用して特定の RAM ロールを引き受け、関連するクラウドサービスにアクセスできます。これにより、最小権限の原則が徹底され、アプリケーションは AccessKey ペアを使用せずに API 操作を呼び出すことができるため、AccessKey ペアの漏洩を防ぐことができます。

制限事項

RRSA 機能は、Kubernetes 1.22 以降を実行する ACK クラスターのみをサポートします。RRSA 機能をサポートする ACK クラスターには、ACK Basic クラスター、ACK Pro クラスター、ACK Serverless Basic クラスター、ACK Serverless Pro クラスター、およびACK Edge Pro クラスターが含まれます。

RRSA の有効化

既存のクラスターがない場合は、ACK マネージドクラスターまたはACK Edge クラスターを作成するときに RRSA を有効にします。それ以外の場合は、クラスター詳細ページの セキュリティと監査 セクションで有効にします。

ACK Serverless クラスターの場合、この機能は作成後にクラスター詳細ページの セキュリティと監査 セクションから有効にする必要があります。

RRSA が有効になると、ACK はバックグラウンドで次の操作を実行します。

• クラスター専用の OIDC 発行者を自動的に作成します。OIDC 発行者は ACK によって管理されます。詳細については、「OIDC Issuer」をご参照ください。

• クラスターの ServiceAccount トークンボリュームプロジェクションを有効にし、OIDC 発行者の設定をクラスターの既存の service-account-issuer パラメーターの値とマージします。詳細については、「ServiceAccount トークンボリュームプロジェクションの使用」をご参照ください。

• アカウント内に RAM ロール ID プロバイダーを作成します。ID プロバイダーは、シングルサインオン (SSO) に OIDC 発行者を使用します。ID プロバイダーの名前は ack-rrsa-<cluster_id> です。<cluster_id> はクラスターの ID を示します。詳細については、「OIDC IdP の管理」をご参照ください。

RRSA の操作

クラスターで RRSA を有効にした後、次の手順を実行して、クラスター内のアプリケーションが RRSA を介して STS トークンを取得できるようにします。STS トークンは、特定のクラウドサービスの API を呼び出すために使用されます。

例

この例では、アプリケーションを作成し、クラスターで RRSA を有効にして、アプリケーションが次の操作を実行できるようにします：指定された RAM ロールを引き受け、API 操作を呼び出して現在の Alibaba Cloud アカウントに属するクラスターをクエリする。

設定例

• 名前空間：rrsa-demo

• サービスアカウント：demo-sa

• RAM ロール：demo-role-for-rrsa

手順

• ack-pod-identity-webhook コンポーネントをインストールせずに RRSA を有効にしたい場合は、アプリケーションテンプレートで必要な OIDC トークンファイルを手動で環境変数として指定できます。詳細については、「アプリケーションテンプレートを手動で変更して RRSA を有効にする」をご参照ください。

• 既存の RAM ロールを使用したい場合は、その RAM ロールに必要な権限を付与する必要があります。詳細については、「既存の RAM ロールを使用し、必要な権限を付与する」をご参照ください。

1. ack-pod-identity-webhook コンポーネントをインストールします。

   1. クラスター ページで、クラスターの名前をクリックします。左側のナビゲーションウィンドウで、操作 > アドオン を選択します。

   2. アドオン ページで、セキュリティ タブをクリックし、ack-pod-identity-webhook を見つけて、カードの右下部分にある インストール をクリックします。

   3. 表示されるメッセージで情報を確認し、OK をクリックします。

2. demo-role-for-rrsa という名前の RAM ロールを作成します。次の表にパラメーターを示します。詳細な手順については、「OIDC IdP の RAM ロールを作成する」をご参照ください。

   パラメーター	説明
   ID プロバイダータイプ	OIDC を選択します。
   ID プロバイダー	IdP を選択します。IdP は ack-rrsa-<cluster_id> の形式で命名されます。<cluster_id> はクラスターの ID を示します。
   条件	oidc:iss：デフォルト値を使用します。 oidc:aud：デフォルト値を使用します。 oidc:sub：この条件を手動で追加します。 キー：oidc:sub を選択します。 演算子：StringEquals を選択します。 値：system:serviceaccount:<namespace>:<serviceAccountName> を入力します。 <namespace>：アプリケーションの名前空間を指定します。 <serviceAccountName>：サービスアカウントの名前を指定します。この例では、system:serviceaccount:rrsa-demo:demo-sa を入力します。
   RAM ロール名	値を demo-role-for-rrsa に設定します。

3. ステップ 2 で作成した RAM ロールに AliyunCSReadOnlyAccess ポリシーをアタッチして、アプリケーションに必要な権限を付与します。詳細については、「RAM ロールに権限を付与する」をご参照ください。

4. アプリケーションをデプロイします。SDK デモの詳細については、「RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ」をご参照ください。

   1. 次の要件に基づいて demo.yaml という名前のファイルを作成します。

      以下の YAML テンプレート例では、pod-identity.alibabacloud.com/injection: 'on' ラベルが名前空間に追加され、pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa アノテーションがサービスアカウントに追加され、ack-pod-identity-webhook の自動インジェクション機能が有効になります。ack-pod-identity-webhook の設定方法の詳細については、「ack-pod-identity-webhook」をご参照ください。

      サンプルコードの表示

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
        labels:
          pod-identity.alibabacloud.com/injection: 'on'
      
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
        annotations:
          pod-identity.alibabacloud.com/role-name: demo-role-for-rrsa
      
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        serviceAccountName: demo-sa
        containers:
          - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
            args:
              - rrsa
              - demo
            name: demo
        restartPolicy: OnFailure

   2. 次のコマンドを実行してアプリケーションをデプロイします。

      kubectl apply -f demo.yaml

5. 次のコマンドを実行して、ack-pod-identity-webhook がアプリケーション用に作成された Pod に必要な設定をインジェクトしたかどうかを確認します。

   kubectl -n rrsa-demo get pod demo -o yaml

   期待される出力

   apiVersion: v1
   kind: Pod
   metadata:
     name: demo
     namespace: rrsa-demo
   spec:
     containers:
     - args:
       - rrsa
       - demo
       env:
       - name: ALIBABA_CLOUD_ROLE_ARN
         value: acs:ram::1***:role/demo-role-for-rrsa
       - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
         value: acs:ram::1***:oidc-provider/ack-rrsa-c***
       - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
         value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
       - name: ALIBABA_CLOUD_STS_ENDPOINT
         value: sts-vpc.cn-hangzhou.aliyuncs.com
       - name: ALIBABA_CLOUD_STS_REGION
         value: cn-hangzhou
       - name: ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED
         value: "true"
       image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
       name: demo
       volumeMounts:
       - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
         name: kube-api-access-4bwdg
         readOnly: true
       - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
         name: rrsa-oidc-token
         readOnly: true
     restartPolicy: OnFailure
     serviceAccount: demo-sa
     serviceAccountName: demo-sa
     volumes:
     - name: kube-api-access-4bwdg
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             expirationSeconds: 3607
             path: token
         - configMap:
             items:
             - key: ca.crt
               path: ca.crt
             name: kube-root-ca.crt
         - downwardAPI:
             items:
             - fieldRef:
                 apiVersion: v1
                 fieldPath: metadata.namespace
               path: namespace
     - name: rrsa-oidc-token
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             audience: sts.aliyuncs.com
             expirationSeconds: 3600
             path: token

   この出力は、ack-pod-identity-webhook が Pod に次の設定をインジェクトしたことを示しています。

   カテゴリ	設定項目	説明
   環境変数	ALIBABA_CLOUD_ROLE_ARN	引き受ける RAM ロールの ARN。
   	ALIBABA_CLOUD_OIDC_PROVIDER_ARN	OIDC IdP の ARN。
   	ALIBABA_CLOUD_STS_ENDPOINT	現在のリージョンにおける STS の VPC エンドポイント。
   	ALIBABA_CLOUD_STS_REGION	STS のリージョン ID。
   	ALIBABA_CLOUD_VPC_ENDPOINT_ENABLED	プライベート VPC エンドポイント経由での STS へのアクセスを有効または無効にするフラグ。VPC エンドポイントを使用するには true に設定します。
   	ALIBABA_CLOUD_OIDC_TOKEN_FILE	OIDC トークンファイルのパス。
   VolumeMount	rrsa-oidc-token	OIDC トークンをマウントするための設定。
   Volume	rrsa-oidc-token	OIDC トークンをマウントするための設定。

6. 次のコマンドを実行して、アプリケーションのログを出力します。

   kubectl -n rrsa-demo logs demo

   出力にクラスターのリストが表示されます：

   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*

7. (任意) RAM ロールから AliyunCSReadOnlyAccess システムポリシーをデタッチします。詳細については、「RAM ロールから権限を削除する」をご参照ください。

   30 秒待ってから、次のコマンドを再度実行してアプリケーションのログを出力します。

   kubectl -n rrsa-demo logs demo

   次のエラーメッセージは、アプリケーションに必要な権限がないことを示しています：

      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClustersForRegion request id: E78A2E2D-***
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClustersForRegion","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"11***","AuthPrincipalType":"AssumedRoleUser","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClustersForRegion","requestId":"E78A2E2D-***","status":403,"statusCode":403}

アプリケーションテンプレートを手動で変更して RRSA を有効にする

アプリケーションテンプレートで必要な OIDC トークンファイルを手動で環境変数として指定できます。これにより、ack-pod-identity-webhook をインストールせずに RRSA を有効にできます。

次のテンプレートに例を示します。

apiVersion: v1
kind: Pod
metadata:
  name: demo
  namespace: rrsa-demo
spec:
  containers:
  - args:
    - rrsa
    - demo
    env:
    - name: ALIBABA_CLOUD_ROLE_ARN
      value: <role_arn>
    - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
      value: <oid_provider_arn>
    - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
      value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
    image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.3.0
    imagePullPolicy: Always
    name: demo
    volumeMounts:
    - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
      name: rrsa-oidc-token
      readOnly: true
  restartPolicy: OnFailure
  serviceAccount: demo-sa
  serviceAccountName: demo-sa
  volumes:
  - name: rrsa-oidc-token
    projected:
      defaultMode: 420
      sources:
      - serviceAccountToken:
          audience: sts.aliyuncs.com
          expirationSeconds: 3600
          path: token

変更したテンプレートに基づいてアプリケーションを再デプロイすると、アプリケーションはテンプレートで指定した OIDC トークンファイル、RAM ロール ARN、および OIDC プロバイダー ARN を使用して、STS の AssumeRoleWithOIDC 操作を呼び出し、特定の RAM ロールを引き受けるための STS トークンを取得できます。これにより、アプリケーションはさまざまなクラウドサービスの API 操作を呼び出すことができます。OIDC トークンファイルは ALIBABA_CLOUD_OIDC_TOKEN_FILE 環境変数で、RAM ロール ARN は ALIBABA_CLOUD_ROLE_ARN 環境変数で、OIDC プロバイダー ARN は ALIBABA_CLOUD_OIDC_PROVIDER_ARN 環境変数で指定されます。アプリケーションは、ファイルを使用する際に OIDC トークンファイルから最新の OIDC トークンを読み取ります。SDK デモの詳細については、「RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ」をご参照ください。詳細については、「AssumeRoleWithOIDC」をご参照ください。

既存の RAM ロールを使用し、必要な権限を付与する

アプリケーションに既存の RAM ロールを使用させたい場合は、次のテンプレートに基づいて RAM ロールの信頼ポリシーを変更する必要があります。これにより、アプリケーションはサービスアカウントを使用して RAM ロールを引き受け、STS トークンを取得できます。詳細については、「RAM ロールの信頼ポリシーを編集する」をご参照ください。

Statement 設定の例：

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}

ack-ram-tool ツールを使用して、信頼ポリシーの変更を自動化することもできます。コマンド例：

ack-ram-tool rrsa associate-role --cluster-id <cluster_id> \
    --namespace <namespace> --service-account <service_account> \
    --role-name <role_name> --create-role-if-not-exist

RRSA の OIDC トークン認証をサポートする Alibaba Cloud SDK のデモ

SDK デモ

Alibaba Cloud SDK V2.0 は、RRSA の OIDC トークン認証をサポートしています。デフォルトでは、STS トークン認証をサポートし、Alibaba Cloud SDK V2.0 に基づいて開発されたすべてのクラウドサービス SDK は、RRSA OIDC トークン認証をサポートしています。次の表に、サポートされている SDK のバージョンとデモを示します。

一部のクラウドサービス SDK では、API 操作を呼び出す際に、上記の方法を参照して RRSA の OIDC トークンを認証に使用できます。次の表に SDK のデモを示します。

SDK エラーの解決策

次の表に、さまざまなエラーの解決策を示します。

{
 "Code": "AuthenticationFail.OIDCToken.Expired",
 "Message": "This JsonWebToken is expired."
}

{
 "Code": "Throttling.User",
 "Message": "Request was denied due to user flow control."
}

{
 "Code": "AuthenticationFail.OIDCToken.AudienceNotMatch",
 "Message": "Invalid audience."
}

{
 "Code": "AuthenticationFail.OIDCToken.IssuerConfigurationBroken",
 "Message": "Get public keys from OIDC Provider failed, the issuer is https://kubernetes.default.svc."
}

{
 "Code": "AuthenticationFail.OIDCToken.IssuerNotMatch",
 "Message": "The issuer in the OIDC Token doesn't match the OIDC Provider registered."
}

{
 "Code": "AuthenticationFail.NoPermission",
 "Message": "No such OIDC Provider registered."
}

{
 "Code": "EntityNotExist.Role",
 "Message": "The role not exists: acs:ram::19981***:role/***. "
}

{
  "Code": "AuthenticationFail.NoPermission",
  "Message": "There is no permission"
}

一般的に使用される CLI で RRSA の OIDC トークン認証をサポートする

ack-ram-tool を使用して、Pod 内で一般的に使用される CLI (Alibaba Cloud CLI、ossutil 2.0、Terraform など) で RRSA の OIDC トークン認証をサポートできます。次の表に、設定と例を示します。

{
  "current": "rrsa",
  "profiles": [
    {
      "name": "rrsa",
      "mode": "OIDC",
      "region_id": "cn-hangzhou",
      "ram_session_name": "test-rrsa"
    }
  ],
  "meta_path": ""
}

$ aliyun sts GetCallerIdentity
{
    "AccountId": "11380***",
    "Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
    "IdentityType": "AssumedRoleUser",
    "PrincipalId": "33300***:test-rrsa",
    "RequestId": "20F78881-F47E-5771-90D6-***",
    "RoleId": "33300***"
}

$ aliyun sts GetCallerIdentity --region cn-hangzhou --role-session-name=test-rrsa
{
	"AccountId": "11380***",
	"Arn": "acs:ram::1138***:assumed-role/test-rrsa-***/test-rrsa",
	"IdentityType": "AssumedRoleUser",
	"PrincipalId": "33300***:test-rrsa",
	"RequestId": "20F78881-F47E-5771-90D6-***",
	"RoleId": "33300***"
}

cat <<EOF > ~/.ossutilconfig
[default]
mode = oidcRoleArn
OIDCProviderArn = "${ALIBABA_CLOUD_OIDC_PROVIDER_ARN}"
OIDCTokenFilePath = "${ALIBABA_CLOUD_OIDC_TOKEN_FILE}"
roleArn = "${ALIBABA_CLOUD_ROLE_ARN}"
roleSessionName = test-rrsa
region = cn-hangzhou
EOF

$ ossutil api describe-regions
<RegionInfoList>
  <RegionInfo>
    <Region>oss-us-west-1</Region>
    <InternetEndpoint>oss-us-west-1.aliyuncs.com</InternetEndpoint>
    <InternalEndpoint>oss-us-west-1-internal.aliyuncs.com</InternalEndpoint>
    <AccelerateEndpoint>oss-accelerate.aliyuncs.com</AccelerateEndpoint>
  </RegionInfo>
  ...
</RegionInfoList>

$ ack-ram-tool export-credentials -f environment-variables -- aliyunlog log list_project --region-endpoint=cn-hangzhou.log.aliyuncs.com

{"count": 1, "projects": [
{"createTime": "1676282996", "description": "k8s log project, ***",
 "lastModifyTime": "1676282996", "owner": "", "projectName": "k8s-log-c0edc***", 
 "region": "cn-hangzhou", "resourceGroupId": "rg-***", "status": "Normal"}],
  "total": 24}

provider "alicloud" {
  assume_role_with_oidc {
    role_session_name = "terraform-with-rrsa-auth-example"
  }
  region = "cn-hangzhou"
}

関連ドキュメント

• ack-pod-identity-webhook

• ServiceAccount トークンボリュームプロジェクション

• OIDC の概要

• OIDC ベースの SSO の概要

• AssumeRoleWithOIDC - OIDC を使用した SSO 中に RAM ロールを引き受けるための STS トークンを取得する

• ack-ram-tool