在CCE集群中使用身份认证的安全配置建议

使用工作负载身份认证访问云服务

使用工作负载身份认证访问云服务，允许集群中的工作负载模拟IAM用户来访问云服务，从而避免直接使用IAM账号的AK/SK等信息，降低安全风险。

详情请参见：

• 在CCE集群中使用容器组身份（Pod Identity）获取IAM凭证
• 在CCE集群中使用OIDC实现工作负载身份认证（旧版IAM）

确保IAM账号权限最小化

在IAM控制台中选择用户组，查看授权记录，并按照业务权限只选择必要的action，非必要场景禁止选择XXX FullAccess、XXX Administrator等高风险权限。

启用插件自定义委托，并禁用集群内静态存储的临时凭据

支持的最小集群版本：v1.28.15-r92、v1.29.15-r52、v1.30.14-r52、v1.31.14-r12、v1.32.9-r12、v1.33.7-r12、 v1.34.3-r2 。

基于最小权限原则，IAM用户至少拥有统一身份认证服务（IAM）的以下操作权限：

• iam:agencies:createAgency：创建委托
• iam:permissions:revokeRoleFromAgencyOnProject：移除委托的项目服务权限
• iam:permissions:grantRoleToAgencyOnProject：为委托授予项目服务权限
• iam:permissions:grantRoleToAgency：为委托授予指定权限
• iam:roles:createRole：创建自定义策略
• iam:roles:updateRole：修改自定义策略

• 集群使用自定义委托，可按需清理集群无需使用的委托权限，实现最小化授权。详情请参见集群自定义委托说明。
• 插件使用自定义委托，可清理插件无需使用的委托权限，详情请参见插件自定义委托说明。
• 禁用集群内静态存储的临时凭据，详情请参见禁用集群中静态存储的临时凭据说明。
• 收缩imagePullSecret权限：采用节点委托，来收缩SWR上传下载镜像的凭据的权限。节点委托请参考：系统委托说明。
• 启用集群审计日志，并上报到LTS服务。请在日志中心开启“Kubernetes审计日志”采集，详情请参见采集Kubernetes审计日志。