ACK通过ack-kms-agent-webhook-injector组件快速集成KMS Agent

启用ACK RRSA功能。

打开集群详情页，在基本信息页签的安全与审计区域，将鼠标悬浮至RRSA OIDC右侧已开启上面，查看提供商的URL链接和ARN信息。

为app1创建一个可信实体为身份提供商的RAM角色，并授权其可以访问标签为secret: app1的凭据。具体操作，请参见创建可信实体为身份提供商的RAM角色。

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色，然后在角色页面，单击创建角色。

3. 在创建角色面板，选择可信实体类型为身份提供商，并单击切换编辑器。

4. 在创建角色页面的可视化编辑，配置如下角色信息后，单击确定。

   配置项	描述
   效果	选择允许。
   主体	选择身份提供商。 身份提供商类型：选择OIDC。 身份提供商：开启RRSA后，ACK集群会默认创建身份提供商，命名格式为ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
   操作	保持默认。即勾选sts:AssumeRole。
   条件	在默认的oidc:iss和oidc:aud限制条件基础上，新增一个限制条件： 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：system:serviceaccount:<namespace>:<serviceAccountName>。本文示例为system:serviceaccount:app1-dev:app1-service。 <namespace>：希望注入KMS Agent的应用所在的命名空间。 <serviceAccountName>：希望注入KMS Agent的应用所使用的服务账户名称。服务账户名称为Pod提供身份标识，可以通过RRSA机制与RAM角色动态绑定。 说明 若您需要为多个不同命名空间中的不同服务账户配置，您可以配置多个值。

5. 在创建角色对话框中，设置角色名称，然后单击确定。本文角色名称以app1-rrsa为例。

6. （可选）查看app1-rrsa这个RAM角色的信任策略。

   信任策略表示允许服务账户app1-service通过阿里云RRSA（RAM Roles for Service Accounts） ，在满足OIDC身份验证条件后，担任某个RAM角色。

7. 创建权限策略。

   权限策略名称以app1-rrsa-kms-policy为例，策略内容为访问标签为secret: app1的凭据。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "kms:GetSecretValue"
               ],
               "Resource": "*",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/secret": [
                           "app1"
                       ]
                   }
               }
           }
       ]
   }

8. 将app1-rrsa-kms-policy权限策略，授权给app1-rrsa角色。具体操作，请参见为RAM角色授权。

为app2创建一个可信实体为身份提供商的RAM角色，并授权其可以访问标签为secret: app1的凭据。具体操作，请参见创建可信实体为身份提供商的RAM角色。

1. 登录RAM控制台。

2. 在左侧导航栏，选择身份管理 > 角色，然后在角色页面，单击创建角色。

3. 在创建角色面板，选择可信实体类型为身份提供商，并单击切换编辑器。

4. 在创建角色页面的可视化编辑，配置如下角色信息后，单击确定。

   配置项	描述
   效果	选择允许。
   主体	选择身份提供商。 身份提供商类型：选择OIDC。 身份提供商：开启RRSA后，ACK集群会默认创建身份提供商，命名格式为ack-rrsa-<cluster_id>。其中，<cluster_id>为您的集群ID。
   操作	保持默认。即勾选sts:AssumeRole。
   条件	在默认的oidc:iss和oidc:aud限制条件基础上，新增一个限制条件： 条件键：选择oidc:sub。 运算符：选择StringEquals。 条件值：system:serviceaccount:<namespace>:<serviceAccountName>。本文示例为system:serviceaccount:app2-dev:app2-service。 <namespace>：希望注入KMS Agent的应用所在的命名空间。 <serviceAccountName>：希望注入KMS Agent的应用所使用的服务账户名称。服务账户名称为Pod提供身份标识，可以通过RRSA机制与RAM角色动态绑定。 说明 若您需要为多个不同命名空间中的不同服务账户配置，您可以配置多个值。

5. 在创建角色对话框中，设置角色名称，然后单击确定。本文角色名称以app2-rrsa为例。

6. （可选）查看app2-rrsa这个RAM角色的信任策略。

   信任策略表示允许服务账户app2-service通过阿里云RRSA（RAM Roles for Service Accounts） ，在满足OIDC身份验证条件后，担任某个RAM角色。

7. 创建权限策略。

   权限策略名称以app2-rrsa-kms-policy为例，策略内容为访问标签为secret: app2的凭据。

   {
       "Version": "1",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "kms:Decrypt",
                   "kms:GetSecretValue"
               ],
               "Resource": "*",
               "Condition": {
                   "StringEqualsIgnoreCase": {
                       "kms:tag/secret": [
                           "app2"
                       ]
                   }
               }
           }
       ]
   }

8. 将app2-rrsa-kms-policy权限策略，授权给app2-rrsa角色。具体操作，请参见为RAM角色授权。

创建普通服务角色。角色名称以ack-secret-manager为例。

1. 登录RAM控制台，在左侧导航栏，选择身份管理 > 角色。

2. 在角色页面，单击创建角色。

3. 在创建角色页面，选择信任主体类型为云服务，信任主体名称请选择容器服务Kubernetes版，最后单击确定。

4. 在创建角色对话框，输入角色名称，单击确定。

创建如下自定义权限策略。策略名称以ack-secret-manager-policy为例。具体操作，请参见创建自定义权限策略。

{
  "Version": "1",
  "Statement": [
    {
      "Action": [
        "kms:GetSecretValue",
        "kms:Decrypt"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    }
  ]
}

将自定义权限策略ack-secret-manager-policy，授权给自定义角色ack-secret-manager。

创建节点池时，为节点池指定Worker RAM角色。

Worker RAM角色选择自定义，然后选择ack-secret-manager。

创建集群时同步创建节点池，详细介绍，请参见创建ACK托管集群、创建ACK Serverless集群。为已有集群创建节点池，请参见创建和管理节点池。