容器服务 Kubernetes 版 ACK：ack-pod-identity-webhook

组件介绍

ack-pod-identity-webhook组件的架构图如下所示。

使用示例

本示例部署的应用中，将使用RRSA特性扮演指定角色获取当前账号下集群列表信息。相关信息如下。

• 命名空间：rrsa-demo

• 服务账户：demo-sa

• RAM角色：ack-pod-identity-webhook-demo

当您为Pod所在命名空间增加pod-identity.alibabacloud.com/injection: 'on'标签后，ack-pod-identity-webhook组件将根据Pod使用的服务账号的注解配置，自动为该Pod注入相关配置项。使用示例的操作步骤如下。

1. 为集群开启RRSA功能。具体操作，请参见启用RRSA功能。

   RRSA功能开启后，请获取集群中OIDC提供商的URL和ARN信息。

2. 安装ack-pod-identity-webhook组件。

   1. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择运维管理 > 组件管理。

   2. 在组件管理页面，单击安全页签，找到ack-pod-identity-webhook组件，单击组件右下方的安装。

   3. 在提示对话框确认组件信息后，单击确定。

3. 创建一个名为ack-pod-identity-webhook-demo的RAM角色。

   1. 使用阿里云账号登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 角色。

   3. 在角色页面，单击创建角色。

   4. 在创建角色面板，选择可信实体类型为身份提供商，然后单击下一步。

   5. 在配置角色配置项，配置如下角色信息后，单击完成。

      配置项	描述
      角色名称	ack-pod-identity-webhook-demo
      身份提供商类型	OIDC
      选择身份提供商	ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
      限制条件	oidc:iss：默认即可。 oidc:aud：选择sts.aliyuncs.com。 oidc:sub：条件判定方式选择StringEquals，值的格式为system:serviceaccount:<namespace>:<serviceAccountName>。 <namespace>：应用所在的命名空间。 <serviceAccountName>：服务账户名称。 根据测试应用的信息，此处需要填入system:serviceaccount:rrsa-demo:demo-sa。

4. 为上一步创建的角色授予测试应用所需的AliyunCSReadOnlyAccess系统策略权限。具体操作，请参见为RAM角色授权。

5. 部署测试应用。

   1. 使用以下内容，创建demo.yaml文件。

      如下YAML示例中，为命名空间增加标签pod-identity.alibabacloud.com/injection: 'on'，并为服务账号增加注解pod-identity.alibabacloud.com/role-name: ack-pod-identity-webhook-demo，启用ack-pod-identity-webhook组件的自动配置注入功能。关于RRSA Demo调用实现，请参见代码。

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
        labels:
          pod-identity.alibabacloud.com/injection: 'on'
      
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
        annotations:
          pod-identity.alibabacloud.com/role-name: ack-pod-identity-webhook-demo
      
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        serviceAccountName: demo-sa
        containers:
          - image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
            imagePullPolicy: "Always"
            args:
              - rrsa
              - demo
            name: demo
        restartPolicy: OnFailure

   2. 执行以下命令，部署测试应用。

      kubectl apply -f demo.yaml

6. 执行以下命令，查看测试应用Pod，确认ack-pod-identity-webhook组件已为Pod自动注入所需的配置。

   kubectl -n rrsa-demo get pod demo -o yaml

   展开查看预期输出

   apiVersion: v1
   kind: Pod
   metadata:
     name: demo
     namespace: rrsa-demo
   spec:
     containers:
     - args:
       - rrsa
       - demo
       env:
       - name: ALIBABA_CLOUD_ROLE_ARN
         value: acs:ram::1***:role/ack-pod-identity-webhook-demo
       - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
         value: acs:ram::1***:oidc-provider/ack-rrsa-c***
       - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
         value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
       image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
       imagePullPolicy: Always
       name: demo
       volumeMounts:
       - mountPath: /var/run/secrets/kubernetes.io/serviceaccount
         name: kube-api-access-4bwdg
         readOnly: true
       - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
         name: rrsa-oidc-token
         readOnly: true
     restartPolicy: OnFailure
     serviceAccount: demo-sa
     serviceAccountName: demo-sa
     volumes:
     - name: kube-api-access-4bwdg
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             expirationSeconds: 3607
             path: token
         - configMap:
             items:
             - key: ca.crt
               path: ca.crt
             name: kube-root-ca.crt
         - downwardAPI:
             items:
             - fieldRef:
                 apiVersion: v1
                 fieldPath: metadata.namespace
               path: namespace
     - name: rrsa-oidc-token
       projected:
         defaultMode: 420
         sources:
         - serviceAccountToken:
             audience: sts.aliyuncs.com
             expirationSeconds: 3600
             path: token

   预期输出表明，ack-pod-identity-webhook组件已为Pod自动注入了如下配置。

   类别	配置项名称	配置项说明
   环境变量	ALIBABA_CLOUD_ROLE_ARN	需要扮演的RAM角色ARN。
   	ALIBABA_CLOUD_OIDC_PROVIDER_ARN	OIDC身份提供商的ARN。
   	ALIBABA_CLOUD_OIDC_TOKEN_FILE	包含OIDC Token的文件路径。
   VolumeMount	rrsa-oidc-token	挂载OIDC Token的配置。
   Volume	rrsa-oidc-token	挂载OIDC Token的配置。

7. 执行以下命令，查看测试应用日志。

   kubectl -n rrsa-demo logs demo

   预期输出：

   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*

自定义配置

ack-pod-identity-webhook组件的自定义配置包括命名空间配置、服务账户配置以及Pod配置。

命名空间配置

apiVersion: v1
kind: Namespace
metadata:
  name: test
  labels:
    pod-identity.alibabacloud.com/injection: 'on'

服务账户配置

apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/role-name: test-role

apiVersion: v1
kind: ServiceAccount
metadata:
  name: test-sa
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

Pod配置

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/service-account-token-expiration: '3600'

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/only-containers: 'controller,test'

apiVersion: v1
kind: Pod
metadata:
  name: test-pod
  namespace: test
  annotations:
    pod-identity.alibabacloud.com/skip-containers: 'controller,test'

RRSA SDK参考代码

变更记录

2023年06月

2023年02月

相关文档

通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离