为Pod动态配置阿里云产品白名单

安装ack-kubernetes-webhook-injector

1. 登录容器服务管理控制台，在左侧导航栏选择市场 > 应用市场。

2. 选择并单击ack-kubernetes-webhook-injector，然后单击右上角的一键部署。

3. 在面板中，选择安装组件的目标集群和命名空间，并设置发布名称，然后单击下一步。

4. 选择Chart 版本，然后在参数区域，填写openapi字段下的ak、sk为您的AK信息，然后在页面下方单击确定。

   关于如何获取AK信息，请参见获取AccessKey。

使用ack-kubernetes-webhook-injector动态添加RDS白名单示例

在Pod副本控制器的Pod Spec中，您可以使用Annotation指定Pod需加入的RDS实例ID和RDS白名单分组名称。Pod创建时，ack-kubernetes-webhook-injector会将Pod的IP地址加入到白名单中，并且在Pod删除时移除规则。

本文以自动添加RDS白名单规则为例，展示如何使用ack-kubernetes-webhook-injector为Pod动态添加安全规则。

1. 使用以下YAML示例创建一个Deployment，在其中的Pod定义中加入RDS实例ID和RDS白名单分组名称的Annotation。

   apiVersion: apps/v1
   kind: Deployment
   metadata:
     labels:
       app: inject-test
     name: inject-test
   spec:
     replicas: 1
     selector:
       matchLabels:
         app: inject-test
     template:
       metadata:
         annotations:
           ack.aliyun.com/rds_id: <rm-wz9nanjcud75b****>
           ack.aliyun.com/white_list_name: <rds_group>
         labels:
           app: inject-test
       spec:
         containers:
         - command:
           - sleep
           - "3600"
           image: alpine:latest
           name: inject-test

2. 执行以下命令，查看Pod的IP地址。

   kubectl --kubeconfig .kube/config_sts_test -n inject-test get pod -o wide

   预期输出：

   NAME                           READY           STATUS        RESTARTS    AGE    IP                NODE
   inject-test-68cc8f9bbf-gj86n    1/1            Running         0        22s   172.25.0.28    cn-hangzhou.xxx

   预期输出中，Pod的IP地址为172.25.0.28。

3. 登录RDS控制台，查看Annotation中RDS实例中的白名单。有关如何查看RDS的白名单，请参见高安全白名单模式IP白名单。

4. 将步骤1中的Deployment的副本数设置为0，再次查看RDS白名单。

   此时，控制台显示已创建的规则被自动删除。

配置访问云产品内网Endpoint

ack-kubernetes-webhook-injector默认使用云产品公网Endpoint。如果您的集群未开启公网访问能力，可以通过修改配置，选择访问云产品内网Endpoint。

1. 登录容器服务管理控制台，在左侧导航栏选择集群列表。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择工作负载 > 无状态。

3. 在页面顶部命名空间下拉列表中，选择kube-system命名空间，找到kubernetes-webhook-injector对应的Deployment，然后单击目标Deployment右侧操作列下的更多 > 查看Yaml。

4. 在spec.template.spec.containers.command下方增加- '--intranet-access'一行，然后单击更新。

更多安全策略配置规则

卸载ack-kubernetes-webhook-injector

kubectl -n kube-system delete secret kubernetes-webhook-injector-certs
kubectl delete mutatingwebhookconfigurations.admissionregistration.k8s.io kubernetes-webhook-injector