通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离

启用RRSA功能

方式一：通过容器服务控制台开启

1. 登录容器服务管理控制台。
2. 在控制台左侧导航栏中，单击集群。
3. 在集群列表页面中，单击目标集群名称或者目标集群右侧操作列下的详情。
4. 在集群详情页面，单击基本信息页签，单击RRSA OIDC提供商URL右侧的启用RRSA。
5. 在弹出的启用RRSA对话框中，单击确定。
   当集群状态由更新中变为运行中时，说明该集群的RRSA特性已变更完成，RRSA OIDC提供商URL右侧会显示OIDC提供商的URL链接。

方式二：通过命令行工具ack-ram-tool开启

您也可以使用命令行工具ack-ram-tool来启用RRSA功能，更多信息，请参见ack-ram-tool。

当您为集群开启RRSA功能时，ACK将在后台执行如下操作：

1. 自动创建一个集群专用的OIDC Issuer服务（这个服务托管在ACK侧，不需要您来运维）。更多信息，请参见OIDC Issuer。
2. 为您的集群开启服务账户令牌卷投影功能（如果您的集群在之前已开启服务账户令牌卷投影功能，此操作将使用上一步创建的OIDC Issuer配置覆盖您之前设置的service-account-issuer参数的值）。更多信息，请参见部署服务账户令牌卷投影。
3. 同时会在您的账号下创建一个使用该OIDC Issuer的RAM角色SSO身份提供商（名称为ack-rrsa-<cluster_id>，其中 <cluster_id>是您的集群ID）。更多信息，请参见管理OIDC身份提供商。

使用RRSA功能

集群开启RRSA功能后，按照以下步骤来赋予集群内应用通过RRSA功能获取访问云资源OpenAPI的临时凭证的能力。

1. 创建RAM角色。

   您需要为应用所使用的服务账户（Service Account）创建一个RAM角色。后续应用将获取一个扮演这个RAM角色的临时凭证。更多信息，请参见创建可信实体为阿里云账号的RAM角色。

2. 修改RAM角色信任策略。

   您需要修改RAM角色的信任策略，确保使用指定的服务账户的应用有权限获取一个扮演这个RAM角色的临时凭证。更多信息，请参见修改RAM角色的信任策略。

   RAM角色信任策略内容示例如下，您也可以使用命令行工具ack-ram-tool通过自动化的方式配置这个策略。

   注意 需要替换如下字段：

   • <oidc_issuer_url>替换为当前集群的OIDC提供商URL，该URL可以在集群详情的基本信息页签获取。
   • <namespace>替换为应用所在的命名空间。
   • <service_account>替换为应用使用的服务账户。
   • <account_uid>替换为阿里云主账号UID。
   • <cluster_id>替换为ACK集群ID。

   {
     "Statement": [
       {
         "Action": "sts:AssumeRole",
         "Condition": {
           "StringEquals": {
             "oidc:aud": "sts.aliyuncs.com",
             "oidc:iss": "<oidc_issuer_url>",
             "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
           }
         },
         "Effect": "Allow",
         "Principal": {
           "Federated": [
             "acs:ram::<account_uid>:oidc-provider/ack-rrsa-<cluster_id>"
           ]
         }
       }
     ],
     "Version": "1"
   }

3. 为RAM角色授权。

   您可以通过为这个RAM角色授权的方式，指定这个RAM角色可以访问的云资源。更多信息，请参见为RAM角色授权。

4. 部署应用。

   部署应用时，需要修改应用的模板内容，自动生成OIDC Token。具体操作，请参见部署服务账户令牌卷投影。

   注意

   • audience字段的值必须是 sts.aliyuncs.com。
   • expirationSeconds 的值必须小于43200（12小时），如果设置的值比该值大，实际的OIDC Token会使用12小时作为过期时间。

   应用模板示例：

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-rrsa
   spec:
     containers:
     - image: alpine:3.14
       command:
       - sh
       - -c
       - 'sleep inf'
       name: test
       volumeMounts:
       - mountPath: /var/run/secrets/tokens
         name: oidc-token
     serviceAccountName: build-robot
     volumes:
     - name: oidc-token     # 新增的配置项。
       projected:
         sources:
         - serviceAccountToken:
             path: oidc-token
             expirationSeconds: 7200    # oidc token过期时间（单位：秒）。
             audience: "sts.aliyuncs.com"

   此时，您的应用就可以使用容器内挂载的OIDC Token（上面示例中的/var/run/secrets/tokens/oidc-token文件内容）调用STS的AssumeRoleWithOIDC接口来获取一个扮演前面创建的RAM角色的STS临时凭证，然后使用临时凭证访问云资源OpenAPI。更多信息，请参见AssumeRoleWithOIDC。

支持使用RRSA OIDC Token认证的阿里云官方SDK

目前部分阿里云官方SDK已经内置了对于使用RRSA OIDC Token进行OpenAPI认证的支持，支持此功能的SDK版本信息如下：