通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离

使用新创建的RAM角色并授权

本示例部署的应用将使用RRSA功能扮演指定角色，获取当前账号下集群列表信息，使用的主要资源如下。

• 命名空间：rrsa-demo。

• 服务账户：demo-sa。

• RAM角色：demo-role-for-rrsa。

1. 创建一个名为demo-role-for-rrsa的RAM角色。

   1. 使用阿里云账号登录RAM控制台。

   2. 在左侧导航栏，选择身份管理 > 角色，然后在角色页面，单击创建角色。

   3. 在创建角色面板，单击切换编辑器来创建角色。

   4. 以可视化编辑为例，参考如下角色信息进行配置，然后单击确定。

      配置项	描述
      效果	默认为允许。
      主体	选择身份提供者后，点击编辑。 选择身份提供者类型为OIDC，然后选择对应集群的身份提供者，如ack-rrsa-<cluster_id>。其中<cluster_id>为您的集群ID。
      操作	默认勾选sts:AssumeRole。
      条件	oidc:iss：选择身份提供者后自动添加，保持默认。 oidc:aud：选择身份提供者后自动添加，保持默认。 oidc:sub：需要手动添加条件。 条件键：oidc:sub 运算符：StringEquals 条件值：格式为system:serviceaccount:<namespace>:<serviceAccountName>。 <namespace>：应用所在的命名空间。 <serviceAccountName>：服务账户名称。 根据测试应用的信息，此处需要填入system:serviceaccount:rrsa-demo:demo-sa。

      

   5. 在弹窗页面中，输入角色名称demo-role-for-rrsa，单击确定。

2. 为创建的角色授予测试应用所需的AliyunCSReadOnlyAccess系统策略权限。具体操作，请参见为RAM角色授权。

   

3. 部署测试应用。

   1. 使用以下内容，创建demo.yaml文件。

      说明

      请替换应用模板示例代码中的如下字段。

      • <role_arn>需要替换为当前应用使用的RAM角色ARN。该ARN可在RAM控制台角色基本信息页面的ARN获取。

      • <oid_provider_arn>：替换为当前集群的OIDC提供商ARN。该ARN可在集群信息页面的基本信息页签，将鼠标移动到RRSA OIDC右侧的已开启上获取。

      展开查看示例代码

      ---
      apiVersion: v1
      kind: Namespace
      metadata:
        name: rrsa-demo
      ---
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: demo-sa
        namespace: rrsa-demo
      ---
      apiVersion: v1
      kind: Pod
      metadata:
        name: demo
        namespace: rrsa-demo
      spec:
        containers:
        - args:
          - rrsa
          - demo
          env:
          - name: ALIBABA_CLOUD_ROLE_ARN
            value: <role_arn>
          - name: ALIBABA_CLOUD_OIDC_PROVIDER_ARN
            value: <oid_provider_arn>
          - name: ALIBABA_CLOUD_OIDC_TOKEN_FILE
            value: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens/token
          image: registry.cn-hangzhou.aliyuncs.com/acs/ack-ram-tool:1.0.0
          imagePullPolicy: Always
          name: demo
          volumeMounts:
          - mountPath: /var/run/secrets/ack.alibabacloud.com/rrsa-tokens
            name: rrsa-oidc-token
            readOnly: true
        restartPolicy: OnFailure
        serviceAccount: demo-sa
        serviceAccountName: demo-sa
        volumes:
        - name: rrsa-oidc-token
          projected:
            defaultMode: 420
            sources:
            - serviceAccountToken:
                audience: sts.aliyuncs.com
                expirationSeconds: 3600  # 单位为秒，取值范围为[600, 43200]，即10分钟~12小时。
                path: token

   2. 执行以下命令，部署测试应用。

      kubectl apply -f demo.yaml

      部署应用后，应用内程序可以通过挂载的OIDC Token、RAM角色的ARN以及OIDC身份提供商的ARN，调用STS的AssumeRoleWithOIDC接口，以获取指定RAM角色的临时凭证。然后使用该临时凭证访问云资源OpenAPI。更多信息，请参见AssumeRoleWithOIDC。

4. 执行以下命令，查看测试应用日志。

   kubectl -n rrsa-demo logs demo

   预期输出ACK集群列表信息：

   20**/**/** 08:35:23 ======= [begin] list ACK clusters with RRSA =======
   clusters:
   cluster id: cf***, cluster name: foo*
   cluster id: c8***, cluster name: bar*
   cluster id: c4***, cluster name: foob*
   20**/**/** 08:35:24 ======= [end]   list ACK clusters with RRSA =======

5. 可选：移除角色被授予的AliyunCSReadOnlyAccess系统策略权限。具体操作，请参见为RAM角色移除权限。

   等待30秒左右，执行以下命令，再次查看测试应用日志。

   kubectl -n rrsa-demo logs demo

   预期输出无权限的错误日志：

   20**/**/** 10:09:33 ======= [begin] list ACK clusters with RRSA =======
   20**/**/** 10:09:33 SDKError:
      StatusCode: 403
      Code: StatusForbidden
      Message: code: 403, STSToken policy Forbidden for action cs:DescribeClusters request id: XXXX
      Data: {"accessDeniedDetail":{"AuthAction":"cs:DescribeClusters","AuthPrincipalDisplayName":"demo-role-for-rrsa:ack-ram-tool","AuthPrincipalOwnerId":"XXXX","AuthPrincipalType":"AssumedRoleUser","EncodedDiagnosticMessage":"XXXX","NoPermissionType":"ImplicitDeny","PolicyType":"ResourceGroupLevelIdentityBasedPolicy"},"code":"StatusForbidden","message":"STSToken policy Forbidden for action cs:DescribeClusters","requestId":"XXXX","status":403,"statusCode":403}

使用已存在的RAM角色并授权

如果您的应用需要使用已存在的RAM角色，而非创建新的单独RAM角色，您可以修改RAM角色的信任策略，新增一条允许使用指定的服务账户的应用有权限通过扮演此RAM角色获取临时凭证的信任策略。更多信息，请参见修改RAM角色的信任策略。

RAM角色信任策略中新增的Statement条目内容示例如下。

{
  "Action": "sts:AssumeRole",
  "Condition": {
    "StringEquals": {
      "oidc:aud": "sts.aliyuncs.com",
      "oidc:iss": "<oidc_issuer_url>",
      "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
    }
  },
  "Effect": "Allow",
  "Principal": {
    "Federated": [
      "<oidc_provider_arn>"
    ]
  }
}