Bantu meningkatkan halaman ini

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk berkontribusi pada panduan pengguna ini, pilih GitHub tautan Edit halaman ini di yang terletak di panel kanan setiap halaman.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Konfigurasikan izin CD Argo

Kemampuan terkelola CD Argo terintegrasi dengan AWS Identity Center untuk otentikasi dan menggunakan peran RBAC bawaan untuk otorisasi. Topik ini menjelaskan cara mengonfigurasi izin untuk pengguna dan tim.

Cara kerja izin dengan Argo CD

Kemampuan CD Argo menggunakan AWS Identity Center untuk otentikasi dan menyediakan tiga peran RBAC bawaan untuk otorisasi.

Saat pengguna mengakses CD Argo:

Built-in Peran RBAC

Kemampuan CD Argo menyediakan tiga peran bawaan yang Anda petakan ke pengguna dan grup AWS Identity Center. Ini adalah peran cakupan global yang mengontrol akses ke sumber daya Argo CD seperti proyek, cluster, dan repositori.

ADMIN

Akses penuh ke semua sumber daya dan pengaturan CD Argo:

EDITOR

Dapat memperbarui proyek dan mengkonfigurasi peran proyek, tetapi tidak dapat mengubah pengaturan CD Argo global:

PENAMPIL

Read-only akses ke sumber daya CD Argo:

Peran proyek dan akses cakupan proyek

Peran global (ADMIN, EDITOR, VIEWER) mengontrol akses ke Argo CD itu sendiri. Peran proyek mengontrol akses ke sumber daya dan kemampuan dalam proyek tertentu, termasuk:

Memahami model izin dua tingkat:

Ini berarti:

Contoh alur kerja:

Untuk detail tentang mengonfigurasi peran proyek, lihatProject-based kontrol akses.

Konfigurasikan pemetaan peran

Pet AWS akan pengguna dan grup Identity Center ke peran CD Argo saat membuat atau memperbarui kemampuan.

Contoh pemetaan peran:

{
  "rbacRoleMappings": {
    "ADMIN": ["AdminGroup", "alice@example.com"],
    "EDITOR": ["DeveloperGroup", "DevOpsTeam"],
    "VIEWER": ["ReadOnlyGroup", "bob@example.com"]
  }
}

Perbarui pemetaan peran:

aws eks update-capability \
  --region us-east-1 \
  --cluster-name cluster \
  --capability-name capname \
  --role-arn "arn:aws:iam::111122223333:role/EKSCapabilityRole" \
  --configuration '{
    "argoCd": {
      "rbacRoleMappings": {
        "addOrUpdateRoleMappings": [
          {
            "role": "ADMIN",
            "identities": [
              { "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
            ]
          }
        ]
      }
    }
  }'

Penggunaan akun admin

Akun admin dirancang untuk pengaturan awal dan tugas administratif seperti mendaftarkan cluster dan mengonfigurasi repositori.

Ketika akun admin sesuai:

Praktik terbaik untuk akun admin:

Kapan menggunakan akses berbasis proyek sebagai gantinya:

Untuk lingkungan produksi dan skenario multi-pengguna, gunakan kontrol akses berbasis proyek dengan peran RBAC khusus yang dipetakan ke grup Pusat Identitas. AWS

Project-based kontrol akses

Gunakan Argo CD Projects (AppProject) untuk menyediakan kontrol akses yang halus dan isolasi sumber daya untuk tim.

Proyek menyediakan:

Contoh proyek untuk isolasi tim:

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  description: Team A applications

  # Required: Specify which namespaces this project watches for Applications
  sourceNamespaces:
  - argocd

  # Source restrictions
  sourceRepos:
  - https://github.com/myorg/team-a-apps

  # Destination restrictions
  destinations:
  - namespace: team-a-*
    server: arn:aws:eks:us-west-2:111122223333:cluster/production

  # Resource restrictions
  clusterResourceWhitelist:
  - group: ''
    kind: Namespace
  namespaceResourceWhitelist:
  - group: 'apps'
    kind: Deployment
  - group: ''
    kind: Service
  - group: ''
    kind: ConfigMap

Ruang nama sumber

Saat menggunakan kemampuan EKS Argo CD, spec.sourceNamespaces bidang tersebut diperlukan dalam AppProject definisi. Bidang ini menentukan namespace mana yang dapat berisi Aplikasi atau ApplicationSets yang mereferensikan proyek ini.

AppProject konfigurasi

Semua AppProjects harus menyertakan namespace kemampuan yang dikonfigurasi di: sourceNamespaces

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a-project
  namespace: argocd
spec:
  description: Applications for Team A

  # Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
  sourceNamespaces:
    - argocd  # Must match your capability's namespace configuration

  # Source repositories this project can deploy from
  sourceRepos:
    - 'https://github.com/my-org/team-a-*'

  # Destination restrictions
  destinations:
    - namespace: 'team-a-*'
      server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster

Menetapkan pengguna ke proyek:

Peran proyek memberi pengguna EDITOR dan VIEWER akses ke sumber daya proyek (Aplikasi, ApplicationSets, repositori dan kredentif cluster) dan kemampuan (log, exec). Tanpa peran proyek, pengguna ini tidak dapat mengakses sumber daya ini meskipun mereka memiliki akses peran global.

Pengguna ADMIN memiliki akses ke semua Aplikasi tanpa memerlukan peran proyek.

Contoh: Memberikan akses Aplikasi kepada anggota tim

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  # ... project configuration ...

  sourceNamespaces:
  - argocd

  # Project roles grant Application-level access
  roles:
  - name: developer
    description: Team A developers - can manage Applications
    policies:
    - p, proj:team-a:developer, applications, *, team-a/*, allow
    - p, proj:team-a:developer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 686103e0-f051-7068-b225-e6392b959d9e  # Identity Center group ID

  - name: viewer
    description: Team A viewers - read-only Application access
    policies:
    - p, proj:team-a:viewer, applications, get, team-a/*, allow
    - p, proj:team-a:viewer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 786203e0-f051-7068-b225-e6392b959d9f  # Identity Center group ID

Memahami kebijakan peran proyek:

Format kebijakan adalah: p, proj:<project>:<role>, <resource>, <action>, <object>, <allow/deny>

Kebijakan sumber daya:

Kebijakan kemampuan:

Pola izin umum

Pola 1: Tim Admin dengan akses penuh

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam", "SRETeam"]
  }
}

Pengguna ADMIN dapat melihat dan mengelola semua sumber daya dengan cakupan proyek tanpa konfigurasi tambahan.

Pola 2: Pimpinan tim mengelola proyek, akses pengembang melalui peran proyek

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

Pola 3: Team-based akses dengan peran proyek

{
  "rbacRoleMappings": {
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

Praktik terbaik

Gunakan grup alih-alih pengguna individu: Petakan AWS grup Pusat Identitas ke peran CD Argo daripada pengguna individu untuk pengelolaan yang lebih mudah.

Mulailah dengan hak istimewa paling sedikit: Mulailah dengan akses VIEWER dan berikan EDITOR atau ADMIN sesuai kebutuhan.

Gunakan proyek untuk isolasi tim: Buat terpisah AppProjects untuk tim atau lingkungan yang berbeda untuk menegakkan batasan.

Memanfaatkan federasi Pusat AWS Identitas: Konfigurasikan Pusat Identitas untuk bergabung dengan penyedia identitas perusahaan Anda untuk manajemen pengguna terpusat.

Tinjauan akses regul er: Tinjau pemetaan peran dan penugasan proyek secara berkala untuk memastikan tingkat akses yang sesuai.

Batasi akses cluster: Ingat bahwa Argo CD RBAC mengontrol akses ke sumber daya dan operasi Argo CD, tetapi tidak sesuai dengan Kubernetes RBAC. Pengguna dengan akses Argo CD dapat menyebarkan aplikasi ke cluster yang dapat diakses oleh Argo CD. Batasi cluster mana Argo CD dapat mengakses dan menggunakan pembatasan tujuan proyek untuk mengontrol di mana aplikasi dapat digunakan.

AWS izin layanan

Untuk menggunakan AWS layanan secara langsung di sumber daya Aplikasi (tanpa membuat sumber daya Repositori), lampirkan izin IAM yang diperlukan ke Peran Kemampuan.

ECR untuk grafik Helm:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    }
  ]
}

CodeCommit repositori:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "arn:aws:codecommit:region:account-id:repository-name"
    }
  ]
}

CodeConnections (GitHub, GitLab, Bitbucket):

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codeconnections:UseConnection"
      ],
      "Resource": "arn:aws:codeconnections:region:account-id:connection/connection-id"
    }
  ]
}

Lihat Konfigurasikan akses repositori untuk detail tentang penggunaan integrasi ini.

Langkah selanjutnya