Container Service for Kubernetes：ack-pod-identity-webhook

組件介紹

ack-pod-identity-webhook組件的架構圖如下所示。

使用樣本

本樣本部署的應用中，將使用RRSA特性扮演指定角色擷取當前帳號下叢集列表資訊。相關資訊如下。

• 命名空間：rrsa-demo

• 服務賬戶：demo-sa

• RAM角色：ack-pod-identity-webhook-demo

當您為Pod所在命名空間增加pod-identity.alibabacloud.com/injection: 'on'標籤後，ack-pod-identity-webhook組件將根據Pod使用的服務帳號的註解配置，自動為該Pod注入相關配置項。使用樣本的操作步驟如下。

1. 為叢集開啟RRSA功能。具體操作，請參見啟用RRSA功能。

   RRSA功能開啟後，請擷取叢集中OIDC供應商的URL和ARN資訊。

2. 安裝ack-pod-identity-webhook組件。

   1. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇營運管理 > 組件管理。

   2. 在組件管理頁面，單擊安全頁簽，找到ack-pod-identity-webhook組件，單擊組件右下方的安裝。

   3. 在提示對話方塊確認組件資訊後，單擊確定。

3. 建立一個名為ack-pod-identity-webhook-demo的RAM角色。

   1. 使用阿里雲帳號登入RAM控制台。

   2. 在左側導覽列，選擇身份管理 > 角色。

   3. 在角色頁面，單擊建立角色。

   4. 在建立角色面板，選擇可信實體類型為身份供應商，然後單擊下一步。

   5. 在配置角色配置項，配置如下角色資訊後，單擊完成。

      配置項	描述
      角色名稱	ack-pod-identity-webhook-demo
      身份供應商類型	OIDC
      選擇身份供應商	ack-rrsa-<cluster_id>。其中，<cluster_id>為您的叢集ID。
      限制條件	oidc:iss：預設即可。 oidc:aud：選擇sts.aliyuncs.com。 oidc:sub：條件判定方式選擇StringEquals，值的格式為system:serviceaccount:<namespace>:<serviceAccountName>。 <namespace>：應用所在的命名空間。 <serviceAccountName>：服務賬戶名稱。 根據測試應用的資訊，此處需要填入system:serviceaccount:rrsa-demo:demo-sa。

4. 為上一步建立的角色授予測試應用所需的AliyunCSReadOnlyAccess系統策略許可權。具體操作，請參見為RAM角色授權。

5. 部署測試應用。

   1. 使用以下內容，建立demo.yaml檔案。

      如下YAML樣本中，為命名空間增加標籤pod-identity.alibabacloud.com/injection: 'on'，並為服務帳號增加註解pod-identity.alibabacloud.com/role-name: ack-pod-identity-webhook-demo，啟用ack-pod-identity-webhook組件的自動設定注入功能。關於RRSA Demo調用實現，請參見代碼。

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
        labels:
          pod-identity.alibabacloud.com/injection: 'on'
      
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
        annotations:
          pod-identity.alibabacloud.com/role-name: ack-pod-identity-webhook-demo
      
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        serviceAccountName: demo-sa
        containers:
          - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
            imagePullPolicy: "Always"
            args:
              - rrsa
              - demo
            name: demo
        restartPolicy: OnFailure

   2. 執行以下命令，部署測試應用。

      kubectl apply -f demo.yaml

6. 執行以下命令，查看測試應用Pod，確認ack-pod-identity-webhook組件已為Pod自動注入所需的配置。

   kubectl -n rrsa-demo get pod demo -o yaml

   展開查看預期輸出

   apiVersion: v1
   kind: Pod
   metadata:
     name: demo
     namespace: rrsa-demo
   spec:
     containers:
     - args:
       - rrsa
       - demo
       env:
       - name: ALIBABA_CLOUD_ROLE_ARN
         value: acs:ram::1***:role/ack-pod-identity-webhook-demo
       - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
         value: acs:ram::1***:oidc-provider/ack-rrsa-c***
       - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
         value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
       image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
       imagePullPolicy: Always
       name: demo
       volumeMounts:
       - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
         name: kube-api-access-4bwdg
         readOnly: true
       - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
         name: rrsa-oidc-token
         readOnly: true
     restartPolicy: OnFailure
     serviceAccount: demo-sa
     serviceAccountName: demo-sa
     volumes:
     - name: kube-api-access-4bwdg
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             expirationSeconds: 3607
             path: token
         - configMap:
             items:
             - key: ca.crt
               path: ca.crt
             name: kube-root-ca.crt
         - downwardAPI:
             items:
             - fieldRef:
                 apiVersion: v1
                 fieldPath: metadata.namespace
               path: namespace
     - name: rrsa-oidc-token
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             audience: sts.aliyuncs.com
             expirationSeconds: 3600
             path: token

   預期輸出表明，ack-pod-identity-webhook組件已為Pod自動注入了如下配置。

   類別	配置項名稱	配置項說明
   環境變數	ALIBABA_CLOUD_ROLE_ARN	需要扮演的RAM角色ARN。
   	ALIBABA_CLOUD_OIDC_PROVIDER_ARN	OIDC身份供應商的ARN。
   	ALIBABA_CLOUD_OIDC_TOKEN_FILE	包含OIDC Token的檔案路徑。
   VolumeMount	rrsa-oidc-token	掛載OIDC Token的配置。
   Volume	rrsa-oidc-token	掛載OIDC Token的配置。

7. 執行以下命令，查看測試應用日誌。

   kubectl -n rrsa-demo logs demo

   預期輸出：

   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*

自訂配置

ack-pod-identity-webhook組件的自訂配置包括命名空間配置、服務賬戶配置以及Pod配置。

命名空間配置

apiVersion: v1
kind: Namespace
metadata:
  name: test
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

服務賬戶配置

apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/role-name: test-role

apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

Pod配置

apiVersion: v1
kind: Pod
metadata:
  name: test
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/only-containers: 'controller,test'

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/skip-containers: 'controller,test'

RRSA SDK參考代碼

目前，阿里雲V2.0 SDK已經內建了支援使用RRSA OIDC Token進行OpenAPI認證的功能，所有基於V2.0 SDK產生並且支援STS Token認證的雲產品SDK都將預設支援RRSA OIDC Token認證。支援此功能的SDK版本資訊和參考代碼如下。

變更記錄

2024年12月

2023年06月

2023年02月

相關文檔

通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離