Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten unter, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Argo-CD-Berechtigungen konfigurieren

Die von Argo CD verwaltete Funktion ist zur Authentifizierung in AWS Identity Center integriert und verwendet integrierte RBAC-Rollen für die Autorisierung. In diesem Thema wird erklärt, wie Berechtigungen für Benutzer und Teams konfiguriert werden.

Wie funktionieren Berechtigungen mit Argo CD

Die Argo CD-Funktion verwendet AWS Identity Center für die Authentifizierung und bietet drei integrierte RBAC-Rollen für die Autorisierung.

Wenn ein Benutzer auf Argo CD zugreift:

Built-in RBAC-Rollen

Die Argo-CD-Funktion bietet drei integrierte Rollen, die Sie AWS Identity Center-Benutzern und -Gruppen zuordnen können. Dabei handelt es sich um global angelegte Rollen, die den Zugriff auf Argo-CD-Ressourcen wie Projekte, Cluster und Repositorys steuern.

ADMIN

Voller Zugriff auf alle Ressourcen und Einstellungen der Argo-CD:

HERAUSGEBER

Kann Projekte aktualisieren und Projektrollen konfigurieren, kann aber die globalen Argo-CD-Einstellungen nicht ändern:

BETRACHTER

Read-only Zugriff auf Argo CD-Ressourcen:

Projektrollen und projektbezogener Zugriff

Globale Rollen (ADMIN, EDITOR, VIEWER) steuern den Zugriff auf Argo CD selbst. Projektrollen steuern den Zugriff auf Ressourcen und Funktionen innerhalb eines bestimmten Projekts, einschließlich:

Grundlegendes zum zweistufigen Berechtigungsmodell:

Das bedeutet Folgendes:

Beispiel für einen Arbeitsablauf:

Einzelheiten zur Konfiguration von Projektrollen finden Sie unterProject-based Zugriffskontrolle.

Konfigurieren Sie Rollenzuordnungen

Ordnen Sie AWS Identity Center-Benutzer und -Gruppen den Argo-CD-Rollen zu, wenn Sie die Funktion erstellen oder aktualisieren.

Beispiel für eine Rollenzuordnung:

{
  "rbacRoleMappings": {
    "ADMIN": ["AdminGroup", "alice@example.com"],
    "EDITOR": ["DeveloperGroup", "DevOpsTeam"],
    "VIEWER": ["ReadOnlyGroup", "bob@example.com"]
  }
}

Rollenzuordnungen aktualisieren:

aws eks update-capability \
  --region us-east-1 \
  --cluster-name cluster \
  --capability-name capname \
  --role-arn "arn:aws:iam::111122223333:role/EKSCapabilityRole" \
  --configuration '{
    "argoCd": {
      "rbacRoleMappings": {
        "addOrUpdateRoleMappings": [
          {
            "role": "ADMIN",
            "identities": [
              { "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
            ]
          }
        ]
      }
    }
  }'

Nutzung des Administratorkontos

Das Admin-Konto ist für die Ersteinrichtung und administrative Aufgaben wie das Registrieren von Clustern und das Konfigurieren von Repositorys konzipiert.

Wenn das Administratorkonto angemessen ist:

Bewährte Methoden für das Administratorkonto:

Wann sollte stattdessen der projektbasierte Zugriff verwendet werden:

Verwenden Sie für Produktionsumgebungen und Mehrbenutzerszenarien eine projektbasierte Zugriffskontrolle mit dedizierten RBAC-Rollen, die Identity Center-Gruppen zugeordnet sind. AWS

Project-based Zugriffskontrolle

Verwenden Sie Argo CD Projects (AppProject), um Teams eine detaillierte Zugriffskontrolle und Ressourcenisolierung zu bieten.

Projekte bieten:

Beispielprojekt zur Teamisolierung:

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  description: Team A applications

  # Required: Specify which namespaces this project watches for Applications
  sourceNamespaces:
  - argocd

  # Source restrictions
  sourceRepos:
  - https://github.com/myorg/team-a-apps

  # Destination restrictions
  destinations:
  - namespace: team-a-*
    server: arn:aws:eks:us-west-2:111122223333:cluster/production

  # Resource restrictions
  clusterResourceWhitelist:
  - group: ''
    kind: Namespace
  namespaceResourceWhitelist:
  - group: 'apps'
    kind: Deployment
  - group: ''
    kind: Service
  - group: ''
    kind: ConfigMap

Quell-Namespaces

Bei Verwendung der EKS-Argo-CD-Funktion ist das spec.sourceNamespaces Feld in Definitionen erforderlich. AppProject Dieses Feld gibt an, welcher Namespace Anwendungen enthalten kann oder ApplicationSets die auf dieses Projekt verweisen.

AppProject Konfiguration

Alle AppProjects müssen den konfigurierten Namespace der Funktion enthalten insourceNamespaces:

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a-project
  namespace: argocd
spec:
  description: Applications for Team A

  # Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
  sourceNamespaces:
    - argocd  # Must match your capability's namespace configuration

  # Source repositories this project can deploy from
  sourceRepos:
    - 'https://github.com/my-org/team-a-*'

  # Destination restrictions
  destinations:
    - namespace: 'team-a-*'
      server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster

Ordnen Sie Benutzern Projekten zu:

Projektrollen gewähren EDITOR- und VIEWER-Benutzern Zugriff auf Projektressourcen (Anwendungen ApplicationSets, Repository- und Cluster-Anmeldeinformationen) und Funktionen (Logs, Exec). Ohne Projektrollen können diese Benutzer nicht auf diese Ressourcen zugreifen, auch wenn sie globalen Rollenzugriff haben.

ADMIN-Benutzer haben Zugriff auf alle Anwendungen, ohne Projektrollen zu benötigen.

Beispiel: Teammitgliedern Zugriff auf Anwendungen gewähren

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  # ... project configuration ...

  sourceNamespaces:
  - argocd

  # Project roles grant Application-level access
  roles:
  - name: developer
    description: Team A developers - can manage Applications
    policies:
    - p, proj:team-a:developer, applications, *, team-a/*, allow
    - p, proj:team-a:developer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 686103e0-f051-7068-b225-e6392b959d9e  # Identity Center group ID

  - name: viewer
    description: Team A viewers - read-only Application access
    policies:
    - p, proj:team-a:viewer, applications, get, team-a/*, allow
    - p, proj:team-a:viewer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 786203e0-f051-7068-b225-e6392b959d9f  # Identity Center group ID

Grundlegendes zu den Richtlinien für Projektrollen:

Das Richtlinienformat lautet: p, proj:<project>:<role>, <resource>, <action>, <object>, <allow/deny>

Richtlinien für Ressourcen:

Richtlinien für Fähigkeiten:

Allgemeine Berechtigungsmuster

Muster 1: Admin-Team mit vollem Zugriff

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam", "SRETeam"]
  }
}

ADMIN-Benutzer können alle projektbezogenen Ressourcen ohne zusätzliche Konfiguration sehen und verwalten.

Muster 2: Teamleiter verwalten Projekte, Entwickler greifen über Projektrollen darauf zu

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

Muster 3: Team-based Zugriff mit Projektrollen

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

Bewährte Methoden

Verwenden Sie Gruppen statt einzelner Benutzer: Ordnen Sie AWS Identity Center-Gruppen Argo-CD-Rollen statt einzelnen Benutzern zu, um die Verwaltung zu vereinfachen.

Mit den geringsten Rechten beginnen: Beginnen Sie mit VIEWER-Zugriff und gewähren Sie je nach Bedarf EDITOR oder ADMIN.

Verwenden Sie Projekte zur Teamisolierung: Erstellen Sie separate Projekte AppProjects für verschiedene Teams oder Umgebungen, um Grenzen durchzusetzen.

Nutzen Sie den Identity Center-Verbund: Konfigurieren Sie AWS Identity Center so, dass es für eine zentrale Benutzerverwaltung einen Verbund mit Ihrem Unternehmensidentitätsanbieter eingeht.

Regelmäßige Zugriffsprüfungen: Überprüfen Sie regelmäßig die Rollenzuordnungen und Projektzuweisungen, um angemessene Zugriffsebenen sicherzustellen.

Cluster-Zugriff einschränken: Denken Sie daran, dass Argo CD RBAC den Zugriff auf Argo-CD-Ressourcen und -Operationen steuert, aber nicht Kubernetes RBAC entspricht. Benutzer mit Argo CD-Zugriff können Anwendungen auf Clustern bereitstellen, auf die Argo CD Zugriff hat. Beschränken Sie, auf welche Cluster Argo CD zugreifen kann, und steuern Sie mithilfe von Einschränkungen für das Projektziel, wo Anwendungen eingesetzt werden können.

AWS Berechtigungen für Dienste

Um AWS Dienste direkt in Anwendungsressourcen zu verwenden (ohne Repository-Ressourcen zu erstellen), fügen Sie der Capability-Rolle die erforderlichen IAM-Berechtigungen hinzu.

ECR für Helm-Diagramme:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    }
  ]
}

CodeCommit Repositorys:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "arn:aws:codecommit:region:account-id:repository-name"
    }
  ]
}

CodeConnections (GitHub, GitLab, Bitbucket):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codeconnections:UseConnection"
      ],
      "Resource": "arn:aws:codeconnections:region:account-id:connection/connection-id"
    }
  ]
}

Einzelheiten Repository-Zugriff konfigurieren zur Verwendung dieser Integrationen finden Sie unter.

Nächste Schritte