Kubernetes クライアントは、次のリソースを GET/LIST/WATCH しようとします。管理キー/証明書または管理サービスアカウントを構成しないことを強くお勧めします。
指定する Kubernetes 認証の資格情報には、次のリソースに対する最小限の権限セットが必要です。
|
リソース
|
Kubernetes の動詞
|
|
endpoints
|
[get list watch]
|
|
namespaces
|
[get list watch]
|
|
nodes
|
[get list watch]
|
|
pods
|
[get list watch]
|
|
services
|
[get list watch]
|
|
ingresses
|
[get list watch]
|
|
replicationcontrollers
|
[get list watch]
|
|
replicasets
|
[get list watch]
|
|
deployments
|
[get list watch]
|
|
daemonsets
|
[get list watch]
|
|
statefulsets
|
[get list watch]
|
|
jobs
|
[get list watch]
|
|
cronjobs
|
[get list watch]
|
基本的に、これらの最小限の権限を使用して、Kubernetes サーバーに特別なサービスアカウントを作成できます。このサービスアカウントの作成を容易にする kubectl コマンドのシーケンスの例を以下に示します。clusterrole（role
ではない）と clusterrolebindings（rolebindings ではない）を使用することに注意してください。これらはクラスタ全体のロールであり、名前空間ごとのロールではありません。role/rolebinding の使用は、機能しません。これは、Secure Workload がすべての名前空間からのデータ取得を試行するためです。
$ kubectl create serviceaccount csw.read.only
clusterrole を作成します。
最小限の権限を持つ clusterrole.yaml の例を以下に示します。
kind: ClusterRole
apiVersion: rbac.authorization.k8s.io/v1
metadata:
name: csw.read.only
rules:
- apiGroups:
- ""
resources:
- nodes
- services
- endpoints
- namespaces
- pods
- replicationcontrollers
- ingresses
verbs:
- get
- list
- watch
- apiGroups:
- extensions
- networking.k8s.io
resources:
- ingresses
verbs:
- get
- list
- watch
- apiGroups:
- apps
resources:
- replicasets
- deployments
- statefulsets
- daemonsets
verbs:
- get
- list
- watch
- apiGroups:
- batch
resources:
- jobs
- cronjobs
verbs:
- get
- list
- watch
$ kubectl create -f clusterrole.yaml
（注）
|
これらのさまざまなリソースの API グループは、Kubernetes のバージョン間の変更の影響を受ける場合があります。上記のサンプルは Kubernetes バージョン 1.20 ～ 1.24 で動作しますが、他のバージョンではいくつかの調整が必要になる場合があります。
|
クラスタロールバインドの作成
$ kubectl create clusterrolebinding csw.read.only --clusterrole=csw.read.
˓→only --serviceaccount=default:csw.read.only
serviceaccount から認証トークンシークレットを取得し（GUI の [認証トークン（Auth Token）] フィールドで使用）、base64 からデコードするために、yaml 出力で serviceaccount をリストして、シークレットの名前を取得できます。
$ kubectl get serviceaccount -o yaml csw.read.only
apiVersion: v1
kind: ServiceAccount
metadata:
creationTimestamp: 2020-xx-xxT19:59:57Z
name: csw.read.only
namespace: default
resourceVersion: "991"
selfLink: /api/v1/namespaces/default/serviceaccounts/e2e.minimal
uid: ce23da52-a11d-11ea-a990-525400d58002
secrets:
- name: csw.read.only-token-vmvmz
yaml 出力モードでシークレットをリストすると、トークンが生成されますが、Base64 形式となります（シークレットデータに対する標準の Kubernetes 手順）。Secure Workload は、この形式のトークンを受け入れないため、Base64 からデコードする必要があります。
$ kubectl get secret -o yaml csw.read.only-token-vmvmz
apiVersion: v1
data:
ca.crt: ...
namespace: ZGVmYXVsdA==
token: ZXlKaGJHY2lPaUpTVX....HRfZ2JwMVZR
kind: Secret
metadata:
annotations:
kubernetes.io/service-account.name: csw.read.only
kubernetes.io/service-account.uid: ce23da52-a11d-11ea-a990-525400d58002
creationTimestamp: 2020-05-28T19:59:57Z
name: csw.read.only-token-vmvmz
namespace: default
resourceVersion: "990"
selfLink: /api/v1/namespaces/default/secrets/csw.read.only-token-vmvmz
uid: ce24f40c-a11d-11ea-a990-525400d58002
type: kubernetes.io/service-account-token
シークレットをリストし、.data.token フィールドのみを出力し、1 つのコマンドで Base 64 エンコーディングからデコードするには、--template オプションを使用する次のコマンドが役立ちます。 $ kubectl get secret csw.read.only-token-vmvmz --template "{{ .data.token }}" | base64 -d
この認証トークンは、Secure Workload UI で Kubernetes オーケストレータを構成するために、ユーザー名/パスワードまたはキー/証明書の代わりに使用できます。
「EKS 固有の RBAC 考慮事項」を参照してください。
![設定オプション [適用の有効化（Enable Enforcement）]](/c/dam/en/us/td/i/400001-500000/460001-470000/467001-468000/467230.jpg)
フィードバック