2.8. 短期認証情報で Pod を認証する

前提条件

• GCP クラスターは OpenShift Container Platform バージョン 4.17.4 以降を実行しており、GCP Workload Identity を使用している。
• Identity and Access Management (IAM) とワークロードアイデンティティー設定を管理する権限を持つユーザーとして、Google Cloud コンソールにアクセスできる。
• アプリケーションで使用する Google Cloud プロジェクトが作成済みである。

前提条件

• GCP クラスターは OpenShift Container Platform バージョン 4.17.4 以降を実行しており、GCP Workload Identity を使用している。
• 連携 GCP サービスアカウントを作成した。
• cluster-admin ロールを持つユーザーとして OpenShift CLI (oc) にアクセスできる。
• Identity and Access Management (IAM) とワークロードアイデンティティー設定を管理する権限を持つユーザーとして、Google Cloud CLI (gcloud) にアクセスできる。

検証

• サービスアカウントの設定を検証するには、次のコマンドを実行して ServiceAccount マニフェストを調べます。

  $ oc get serviceaccount <service_account_name>

  次の例では、service-a/app-x OpenShift Container Platform サービスアカウントは、app-x という GCP サービスアカウントに成り代わることができます。

  apiVersion: v1
  kind: ServiceAccount
  metadata:
    name: app-x
    namespace: service-a
    annotations:
      cloud.google.com/workload-identity-provider: "projects/<project_number>/locations/global/workloadIdentityPools/<identity_pool>/providers/<identity_provider>" 1
      cloud.google.com/service-account-email: "app-x@project.iam.googleapis.com"
      cloud.google.com/audience: "sts.googleapis.com" 2
      cloud.google.com/token-expiration: "86400" 3
      cloud.google.com/gcloud-run-as-user: "1000"
      cloud.google.com/injection-mode: "direct" 4

  1

  クラスターのサービスアカウントのワークロードアイデンティティープロバイダー。

  2

  ワークロードアイデンティティープロバイダーの許可されたオーディエンス。

  3

  トークンの有効期限 (秒単位)。

  4

  direct 外部認証情報設定注入モード。

前提条件

• GCP クラスターは OpenShift Container Platform バージョン 4.17.4 以降を実行しており、GCP Workload Identity を使用している。
• 連携 GCP サービスアカウントを作成した。
• GCP 用の OpenShift Container Platform サービスアカウントを作成した。

検証

• Pod が短期認証を使用していることを確認するには、次のコマンドを実行します。

  $ oc get pods -o json | jq -r '.items[0].spec.containers[0].env[] | select(.name=="GOOGLE_APPLICATION_CREDENTIALS")'

  出力例

  {   "name": "GOOGLE_APPLICATION_CREDENTIALS",   "value": "/var/run/secrets/workload-identity/federation.json" }

  GOOGLE_APPLICATION_CREDENTIALS 環境変数が存在する場合、それは GCP Workload Identity で認証する Pod を示しています。

• 追加設定の詳細を確認するには、Pod 仕様を調べます。次の Pod 仕様の例は、Webhook によって変更される環境変数とボリュームフィールドを示しています。

  direct 注入モードの Pod 仕様例:

  apiVersion: v1
  kind: Pod
  metadata:
    name: app-x-pod
    namespace: service-a
  annotations:
    cloud.google.com/skip-containers: "init-first,sidecar"
    cloud.google.com/external-credentials-json: |- 1
      {
        "type": "external_account",
        "audience": "//iam.googleapis.com/projects/<project_number>/locations/global/workloadIdentityPools/on-prem-kubernetes/providers/<identity_provider>",
        "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
        "token_url": "https://sts.googleapis.com/v1/token",
        "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/app-x@project.iam.gserviceaccount.com:generateAccessToken",
        "credential_source": {
          "file": "/var/run/secrets/sts.googleapis.com/serviceaccount/token",
          "format": {
            "type": "text"
          }
        }
      }
  spec:
    serviceAccountName: app-x
    initContainers:
    - name: init-first
      image: container-image:version
    containers:
    - name: sidecar
      image: container-image:version
    - name: container-name
      image: container-image:version
      env: 2
      - name: GOOGLE_APPLICATION_CREDENTIALS
        value: /var/run/secrets/gcloud/config/federation.json
      - name: CLOUDSDK_COMPUTE_REGION
        value: asia-northeast1
      volumeMounts:
      - name: gcp-iam-token
        readOnly: true
        mountPath: /var/run/secrets/sts.googleapis.com/serviceaccount
      - mountPath: /var/run/secrets/gcloud/config
        name: external-credential-config
        readOnly: true
    volumes:
    - name: gcp-iam-token
      projected:
        sources:
        - serviceAccountToken:
            audience: sts.googleapis.com
            expirationSeconds: 86400
            path: token
    - downwardAPI:
        defaultMode: 288
        items:
        - fieldRef:
            apiVersion: v1
            fieldPath: metadata.annotations['cloud.google.com/external-credentials-json']
          path: federation.json
      name: external-credential-config

  1

  Webhook コントローラーによって生成された外部認証情報の設定。Kubernetes の downwardAPI ボリュームは、設定をコンテナーのファイルシステムにマウントします。

  2

  Webhook により注入される、トークンベースの認証用の環境変数。