OKEの保護: スーパー管理者と一般ユーザー (2024/04/19)

https://medium.com/oracledevs/safeguarding-oke-super-admin-vs-regular-users-3f3c380d194a

投稿者：Ivan Delić

Photo by Jon Tyson on Unsplash

OCI IAMポリシーは、OKEの内部およびセキュリティに大きく影響します。クラスタ・リソースのポリシー動詞(例: 管理または使用)に応じて、ユーザーはスーパー管理者と通常のユーザー・パスを区別します。スーパー管理者はすべての内部Kubernetesリソースに無制限にアクセスでき、通常のユーザーはRBACなどの認可評価に依存します。OKEでは、kubectlを使用する場合、スーパー管理者と通常のユーザーの2つの主要な認可パスが提供されます(次を参照)。

OKEスーパー管理者または通常のユーザー・パス

この図は、スーパー管理者パスに認可プロバイダがなく、RBAC認可モジュールの形式で通常のユーザー・パスに存在していることを示しています。どのように動作するかを理解しましょう。

スーパー管理者ユーザー

スーパー管理者ユーザーは、Kubernetes固有のsystem:mastersグループとの関連付けにより、すべてのKubernetesリソースに無制限にアクセスできます。kubectlアクセスにスーパー管理者権限を使用する場合は、クラスタ・リソースの管理動詞を使用して適切なポリシーを設定することで、これを実現できます。次の例を参照してください。

Allow group <group-name> to manage clusters in compartment <compartment-name>

このポリシーが設定され、kubeconfigが生成されると、APIサーバーの認証プロセスによって、ユーザー・アイデンティティ(system:masters、system:authenticatedおよびユーザーが属するすべてのOCI IAMグループ)に次のグループが関連付けられます。これは、追加の認可プロセスのユーザー・コンテキストになります。それでも、ユーザーがsystem:mastersグループに関連付けられている場合は、Kubernetesの究極のスーパー管理者権限が付与されます。system:masterグループは、KubernetesのハードコードされたBreak-Glassグループであり、Kubernetesクラスタ内のすべてのリソースを管理するための効果的な権限を持ち、RBACまたはその他の認可評価をスキップします。

無制限のアクセスには大きな責任があります。次の章で説明するように、スーパー管理者ユーザーを可能なかぎり使用しないようにすることが重要です。特に、通常のユーザーとして作成したいデプロイヤおよび開発者にとっては重要です。スーパー管理者を賢く使用してください。場合によっては、MFAが有効になっている単一の緊急アクセス・ユーザーとしてのみ使用してください。他のすべてのユーザーは、通常のユーザー・パスに分類されます。

通常ユーザー

通常のユーザーは、RBACを適用してkubectlに到達します。一般的な通常のユーザーを作成するには、クラスタ・リソースの使用動詞を使用して制約付きポリシーを設定する必要があります。次の例を参照してください。

Allow group <group-name> to use clusters in compartment <compartment-name>

使用ポリシーが設定されていて、kubeconfigが生成されると、認証プロセスはユーザーをsystem:authenticatedグループおよびユーザーが属するすべてのOCI IAMグループに関連付けます。通常のユーザーが行うすべてのkubectlリクエストは、RBACなどのいずれかの認可者によってさらに評価されます。RBAC認可プロバイダは、定義されたロールおよびロール・バインディングに基づいて通常のユーザー権限を評価します。すべての通常のユーザーが特定のKubernetesロールのメンバーであり、ポッド、デプロイメント、シークレットなどの選択したリソースへのアクセスを許可するため、信頼とセキュリティが向上します。この戦略を使用して、開発者、デプロイヤなど、様々なユーザー・グループに対してきめ細かいアクセス制御を活用します。RBAC認可プロバイダは、kubectlにアクセスするすべてのユーザーの詳細な制御における標準である必要があります。

まとめ

OKE関連のクラスタ・リソースを介してmanage動詞を使用するOCI IAMポリシーにより、ユーザーはKubernetesリソースへのバインドされていないアクセスでスーパー管理者権限を取得できます。スーパー管理者ユーザーは避け、クラスタ・リソースの使用動詞に基づいて通常のユーザーに焦点を当てる必要があります。通常のユーザーのRBAC評価は、きめ細かいセキュリティー層を提供します。デプロイヤ、開発者およびネームスペース管理者は、RBAC評価がアクティブ化されている通常のユーザーである必要があります。