帮助改进此页面

要帮助改进本用户指南，请选择位于每个页面右侧窗格中的在 GitHub 上编辑此页面链接。

配置 Argo CD 权限

Argo CD 托管功能与 AWS Identity Center 集成以进行身份验证，并使用内置的 RBAC 角色进行授权。本主题将介绍如何为用户和团队配置权限。

Argo CD 权限的工作原理

Argo CD 功能通过 AWS 进行身份验证，并提供三个内置的 RBAC 角色进行授权。

当用户访问 Argo CD 时：

内置 RBAC 角色

Argo CD 功能提供三个内置角色，您需要将其映射到 AWS Identity Center 的用户和组。这些角色是全局范围的角色，用于控制对项目、集群和存储库等 Argo CD 资源的访问权限。

ADMIN

对所有 Argo CD 资源和设置的完全访问权限：

EDITOR

可以更新项目和配置项目角色，但无法更改全局的 Argo CD 设置：

VIEWER

对 Argo CD 资源的只读访问权限：

项目角色和项目范围内的访问权限

全局角色（ADMIN、EDITOR、VIEWER）将控制对 Argo CD 本身的访问。项目角色控制对特定项目内的资源和功能的访问权限，包括：

了解两级权限模型：

这意味着：

工作流示例：

有关配置项目角色的详细信息，请参阅 基于项目的访问控制。

配置角色映射

创建或更新功能时，将 AWS Identity Center 用户和组映射到 Argo CD 角色。

示例角色映射：

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["AdminGroup", "alice@example.com"],
    "EDITOR": ["DeveloperGroup", "DevOpsTeam"],
    "VIEWER": ["ReadOnlyGroup", "bob@example.com"]
  }
}

更新角色映射：

aws eks update-capability \
  --region us-east-1 \
  --cluster-name cluster \
  --capability-name capname \
  --endpoint "https://eks.ap-northeast-2.amazonaws.com" \
  --role-arn "arn:aws:iam::[.replaceable]111122223333:role/[.replaceable]`EKSCapabilityRole`" \
  --configuration '{
    "argoCd": {
      "rbacRoleMappings": {
        "addOrUpdateRoleMappings": [
          {
            "role": "ADMIN",
            "identities": [
              { "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
            ]
          }
        ]
      }
    }
  }'

使用管理员账户

管理员账户专为初始设置和管理任务（例如注册集群和配置存储库）而设计。

何时适合使用管理员账户：

管理员账户最佳实践：

何时改用基于项目的访问：

对于生产环境和多用户场景，请使用基于项目的访问控制，并将专用 RBAC 角色映射到 AWS Identity Center 组。

基于项目的访问控制

使用 Argo CD 项目（AppProject）为团队提供精细的访问控制和资源隔离。

项目提供以下功能：

团队隔离示例项目：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  description: Team A applications

  # Required: Specify which namespaces this project watches for Applications
  sourceNamespaces:
  - argocd

  # Source restrictions
  sourceRepos:
  - https://github.com/myorg/team-a-apps

  # Destination restrictions
  destinations:
  - namespace: team-a-*
    server: arn:aws:eks:us-west-2:111122223333:cluster/production

  # Resource restrictions
  clusterResourceWhitelist:
  - group: ''
    kind: Namespace
  namespaceResourceWhitelist:
  - group: 'apps'
    kind: Deployment
  - group: ''
    kind: Service
  - group: ''
    kind: ConfigMap

源命名空间

使用 EKS Argo CD 功能时，AppProject 定义中必须包含 spec.sourceNamespaces 字段。此字段用于指定哪个命名空间可以包含引用此项目的应用程序或 ApplicationSets。

AppProject 配置

所有 AppProjects 都必须在 sourceNamespaces 中包含该功能配置的命名空间：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a-project
  namespace: argocd
spec:
  description: Applications for Team A

  # Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
  sourceNamespaces:
    - argocd  # Must match your capability's namespace configuration

  # Source repositories this project can deploy from
  sourceRepos:
    - 'https://github.com/my-org/team-a-*'

  # Destination restrictions
  destinations:
    - namespace: 'team-a-*'
      server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster

为用户分配项目：

项目角色授予 EDITOR 和 VIEWER 用户访问项目资源（应用程序、ApplicationSets、存储库和集群凭证）和功能（日志、exec）的权限。如果没有项目角色，即便这些用户拥有全局角色访问权限，他们也无法访问这些资源。

ADMIN 用户无需项目角色即可访问所有应用程序。

示例：向团队成员授予应用程序访问权限

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  # ... project configuration ...

  sourceNamespaces:
  - argocd

  # Project roles grant Application-level access
  roles:
  - name: developer
    description: Team A developers - can manage Applications
    policies:
    - p, proj:team-a:developer, applications, *, team-a/*, allow
    - p, proj:team-a:developer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 686103e0-f051-7068-b225-e6392b959d9e  # Identity Center group ID

  - name: viewer
    description: Team A viewers - read-only Application access
    policies:
    - p, proj:team-a:viewer, applications, get, team-a/*, allow
    - p, proj:team-a:viewer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 786203e0-f051-7068-b225-e6392b959d9f  # Identity Center group ID

了解项目角色策略：

策略格式为：p, proj:<project>:<role>, <resource>, <action>, <object>, <allow/deny>

资源策略：

功能策略：

常见权限模式

模式 1：拥有完整访问权限的管理员团队

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam", "SRETeam"]
  }
}

ADMIN 用户无需额外配置即可查看并管理所有的项目范围内资源。

模式 2：团队负责人管理项目，开发人员则通过项目角色进行访问

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

模式 3：通过项目角色进行基于团队的访问

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

最佳实践

优先使用用户组而非独立用户：将 AWS Identity Center 用户组映射到 Argo CD 角色，而不是单个用户，以便于管理。

从最低权限开始：从 VIEWER 访问权限开始，然后根据需要授予 EDITOR 或 ADMIN 权限。

使用项目实现团队隔离：为不同的团队或环境创建单独的 AppProjects 以强制实施边界。

利用 Identity Center 联合身份验证：配置 AWS Identity Center，以与企业身份提供者联合，从而实现集中式用户管理。

定期审查访问权限：定期审查角色映射和项目分配，以确保适当的访问级别。

限制集群访问权限：请记住，Argo CD RBAC 会控制 Argo CD 资源和操作的访问权限，这与 Kubernetes RBAC 无关。拥有 Argo CD 访问权限的用户可以将应用程序部署到 Argo CD 有权访问的集群。限制 Argo CD 可以访问的集群，并使用项目目标限制来控制应用程序的部署位置。

AWS 服务权限

要在 Application 资源中直接使用 AWS 服务（而无需创建存储库资源），请将所需的 IAM 权限附加到功能角色。

用于 Helm 图表的 ECR：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    }
  ]
}

CodeCommit 存储库：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "arn:aws:codecommit:region:account-id:repository-name"
    }
  ]
}

CodeConnections（GitHub、GitLab、Bitbucket）：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codeconnections:UseConnection"
      ],
      "Resource": "arn:aws:codeconnections:region:account-id:connection/connection-id"
    }
  ]
}

有关使用这些集成的详细信息，请参阅配置存储库访问权限。

后续步骤