容器服务 Kubernetes 版 ACK：使用ack-secret-manager导入阿里云KMS服务凭据

使用ServiceAccount维度的细粒度RRSA授权

基于Namespace维度下不同ServiceAccount的RRSA授权实现多租场景下的KMS凭据管家访问权限隔离。相比其他授权方式，RRSA授权方式可以实现Pod维度的权限隔离，还可以避免直接使用AK、SK引起的凭据泄露风险。

1. 在容器服务管理控制台开启集群的RRSA功能，用于创建集群的身份提供商信息。具体操作，请参见启用RRSA功能。

   说明

   安装ack-secret-manager时，需要将参数rrsa.enable设置为true，以启用RRSA功能。

2. 为不同的ServiceAccount创建可信实体为身份提供商的RAM角色。

   选择信任主体类型为身份提供商，添加主体时主要参数设置如下，具体操作，请参见创建OIDC身份提供商的RAM角色。

   配置项	描述
   身份提供商类型	OIDC。
   身份提供商	选择ack-rrsa-<CLUSTER_ID>。其中，<CLUSTER_ID>为集群ID。
   条件	oidc:iss：保持默认。 oidc:aud：保持默认。 oidc:sub：需手动添加该条件。 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：输入system:serviceaccount:<NAMESPACE>:<SERVICEACCOUNT_NAME>。其中<NAMESPACE>为指定ServiceAccount的命名空间，<SERVICEACCOUNT_NAME>为服务账户ServiceAccount的名称。 说明 其中<NAMESPACE>和<SERVICEACCOUNT_NAME>需要与4. 在指定命名空间下创建访问指定KMS凭据管家的独立ServiceAccount中的配置保持一致。

3. 创建自定义权限策略并为上一步创建的RAM角色授权。

   1. 创建指定导入KMS凭据时所需的权限策略。具体操作，请参见创建自定义权限策略。

      {
        "Version": "1",
        "Statement": [
          {
            "Action": [
              "kms:GetSecretValue",
              "kms:Decrypt"
            ],
            "Resource": "acs:kms:<REGION_ID>:<ACCOUNT_ID>:secret/xxxx",  // 指定的KMS凭据ARN
            "Effect": "Allow"
          }
        ]
      }

   2. 为上一步创建的RAM角色授权。具体操作，请参见为RAM角色授权。

4. 在指定命名空间下创建访问指定KMS凭据管家的独立ServiceAccount。注意ServiceAccount需要添加键值为ack.alibabacloud.com/role-arn的指定annotation，值为该ServiceAccount绑定的目标RAM角色ARN。

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     annotations:
       ack.alibabacloud.com/role-arn: acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME> # RAM角色的ARN
     name: <SERVICEACCOUNT_NAME>     # 需与RAM角色配置的oidc:sub条件值<SERVICEACCOUNT_NAME>保持一致
     namespace: <NAMESPACE>         # 需与RAM角色配置的oidc:sub条件值<NAMESPACE>保持一致

5. 使用serviceAccountRef认证方式部署自定义资源SecretStore。

   1. 基于以下内容，替换相关字段后，创建secretstore-rrsa.yaml文件。

      1. <NAME>：替换为指定的SecretStore实例名称。

      2. <NAMESPACE>：替换为指定的集群命名空间名称。

      3. <SERVICEACCOUNT_NAME>：替换为上一步中创建的ServiceAccount实例名称。

         apiVersion: alibabacloud.com/v1alpha1
         kind: SecretStore
         metadata:
           name: <NAME>
           namespace: <NAMESPACE>
         spec:
           KMS:
             KMSAuth:
               serviceAccountRef:
                 name: <SERVICEACCOUNT_NAME>

   2. 执行以下命令，部署SecretStore。

      kubectl apply -f secretstore-rrsa.yaml

使用ack-secret-manager的ServiceAccount无AK授权

相比其他授权方式，RRSA授权方式可以实现Pod维度的权限隔离，还可以避免直接使用AK、SK引起的凭据泄露风险。

1. 在容器服务管理控制台开启集群的RRSA功能，用于创建集群的身份提供商信息。具体操作，请参见启用RRSA功能。

   说明

   安装ack-secret-manager时，需要将参数rrsa.enable设置为true，以启用RRSA功能。

2. 创建可信实体为身份提供商的RAM角色，以供ack-secret-manager使用。

   选择信任主体类型为身份提供商，添加主体时主要参数设置如下，具体操作，请参见创建OIDC身份提供商的RAM角色。

   配置项	描述
   身份提供商类型	OIDC。
   身份提供商	选择ack-rrsa-<CLUSTER_ID>。其中，<CLUSTER_ID>为集群ID。
   条件	oidc:iss：保持默认。 oidc:aud：保持默认。 oidc:sub：需手动添加该条件。 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：输入system:serviceaccount:<NAMESPACE>:<SERVICEACCOUNT_NAME>。其中，<NAMESPACE>为应用所在的命名空间。<SERVICEACCOUNT_NAME>为服务账户名称。根据本文测试应用的信息，此处需填入system:serviceaccount:kube-system:ack-secret-manager。 说明 如果将ack-secret-manager安装在其他的命名空间，请将kube-system替换为对应命名空间的名称。

3. 创建自定义权限策略并为上一步创建的RAM角色授权。

   1. 创建ack-secret-manager导入KMS凭据时所需的权限策略。策略内容如下。具体操作，请参见创建自定义权限策略。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:GetSecretValue",
                      "kms:Decrypt"
                  ],
                  "Resource": [
                      "*"
                  ],
                  "Effect": "Allow"
              }
          ]
      }

   2. 为上一步创建的RAM角色授权。具体操作，请参见为RAM角色授权。

4. 创建自定义资源SecretStore关联对应的认证方式并部署。

   1. 使用以下内容，替换相关字段后，创建secretstore-rrsa.yaml文件。

      • <ACCOUNT_ID>：替换为同步KMS凭据的阿里云账号ID。

      • <CLUSTER_ID>：替换为集群ID。

      • <ROLE_NAME>：替换为步骤2中创建的RAM角色名称。

        apiVersion: alibabacloud.com/v1alpha1
        kind: SecretStore
        metadata:
          name: scdemo-rrsa
        spec:
          KMS:
            KMSAuth:
              oidcProviderARN: "acs:ram::<ACCOUNT_ID>:oidc-provider/ack-rrsa-<CLUSTER_ID>"
              ramRoleARN: "acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME>"	                     

   2. 执行以下命令，部署SecretStore。

      kubectl apply -f secretstore-rrsa.yaml

为集群对应的Worker RAM角色添加权限

1. 创建如下自定义权限策略。具体操作，请参见创建自定义权限策略。

   {
       "Version": "1",
       "Statement": [
           {
               "Action": [
                   "kms:GetSecretValue",
                   "kms:Decrypt"
               ],
               "Resource": [
                   "*"
               ],
               "Effect": "Allow"
           }
       ]
   }

2. 为集群的Worker RAM角色添加上一步创建的自定义权限。具体操作，请参见为集群的Worker RAM角色授权。

通过设置AK扮演指定RAM角色

1. 创建可信实体为阿里云账号的RAM角色，以供ack-secret-manager组件使用。具体操作，请参见创建可信实体为阿里云账号的RAM角色。

   说明

   在选择信任主体类型时，请选择当前云账号。

2. 创建自定义权限策略并为上一步已创建的RAM角色授权。

   1. 创建访问KMS服务凭据所需的权限策略。策略内容如下。具体操作，请参见创建自定义权限策略。

      {
          "Version": "1",
          "Statement": [
              {
                  "Action": [
                      "kms:GetSecretValue",
                      "kms:Decrypt"
                  ],
                  "Resource": [
                      "*"
                  ],
                  "Effect": "Allow"
              }
          ]
      }

   2. 为上一步已创建的RAM角色授权。具体操作，请参见为RAM角色授权。

3. 创建自定义权限策略，并为指定的RAM用户授权。

   1. 创建扮演上述角色的自定义权限策略。策略内容如下。具体操作，请参见创建自定义权限策略。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Resource": "acs:ram:*:<ACCOUNT_ID>:role/<ROLE_NAME>"  
              }
          ],
          "Version": "1"
      }

      上述自定义策略中的Resource为角色ARN，其中，<ACCOUNT_ID>为阿里云账号ID，<ROLE_NAME>为RAM角色名称。关于如何查看角色ARN，请参见如何查看RAM角色的ARN？。

   2. 将上述自定义策略授权给RAM用户，便可以指定具体可以扮演的RAM角色。关于如何为RAM用户授权，请参见为RAM用户授权。

4. 创建Secret用于存放指定RAM用户的访问凭证信息。

   1. 使用以下内容，替换您的AccessKey ID和AccessKey Secret的Base64编码信息后，创建ramuser.yaml文件。

      apiVersion: v1
      data:
        accessKey: <AccessKey ID的Base64编码>
        accessKeySecret: <AccessKey Secret的Base64编码>
      kind: Secret
      metadata:
        name: ramuser
        namespace: kube-system
      type: Opaque

   2. 执行以下命令，创建名为ramuser的Secret。

      kubectl apply -f ramuser.yaml

5. 创建自定义资源SecretStore关联对应的认证方式并部署。

   1. 使用以下内容，替换相关字段后，创建secretstore-ramrole.yaml文件。

      • <ACCOUNT_ID>：替换为同步KMS凭据的阿里云账号ID。

      • <ROLE_NAME>：替换为步骤1中创建的RAM角色名称。

      • <SECRET_NAME> ：替换为存储AK、SK的Secret名称。

      • <SECRET_NAMESPACE> ：替换为存储AK、SK的Secret的命名空间。

      • <SECRET_KEY_AK>和<SECRET_KEY_SK> ：替换为存储AK、SK的Secret中data字段下的键名（key）。

      • <ROLE_SESSION_NAME> ：替换为角色会话名称（自定义字符串）。

      apiVersion: alibabacloud.com/v1alpha1
      kind: SecretStore
      metadata:
        name: scdemo-ramrole
      spec:
        KMS:
          KMSAuth:
            accessKey:
              name: <SECRET_NAME>
              namespace: <SECRET_NAMESPACE>
              key: <SECRET_KEY_AK>
            accessKeySecret:
              name: <SECRET_NAME>
              namespace: <SECRET_NAMESPACE>
              key: <SECRET_KEY_SK>
            ramRoleARN: "acs:ram::<ACCOUNT_ID>:role/<ROLE_NAME>"  
            ramRoleSessionName: <ROLE_SESSION_NAME>

   2. 执行以下命令，部署SecretStore。

      kubectl apply -f secretstore-ramrole.yaml