協助改進此頁面

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

若要為本使用者指南貢獻內容，請點選每個頁面右側面板中的在 GitHub 上編輯此頁面連結。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

設定 Argo CD 許可

Argo CD 受管功能與 AWS Identity Center 整合以進行身分驗證，並使用內建的 RBAC 角色進行授權。本主題說明如何設定使用者和團隊的許可。

許可如何使用 Argo CD

Argo CD 功能使用 AWS Identity Center 進行身分驗證，並提供三個內建 RBAC 角色進行授權。

當使用者存取 Argo CD 時：

內建 RBAC 角色

Argo CD 功能提供三個您映射到 AWS Identity Center 使用者和群組的內建角色。這些是全球範圍的角色，可控制對 Argo CD 資源的存取，例如專案、叢集和儲存庫。

ADMIN

完整存取所有 Argo CD 資源和設定：

EDITOR

可以更新專案並設定專案角色，但無法變更全域 Argo CD 設定：

檢視程式

對 Argo CD 資源的唯讀存取權：

專案角色和專案範圍存取

全域角色 (ADMIN、EDITOR、VIEWER) 控制對 Argo CD 本身的存取。專案角色控制對特定專案中資源和功能的存取，包括：

了解兩層許可模型：

這表示：

工作流程範例：

如需設定專案角色的詳細資訊，請參閱 專案型存取控制。

設定角色映射

在建立或更新功能時，將 AWS Identity Center 使用者和群組映射至 Argo CD 角色。

範例角色映射：

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["AdminGroup", "alice@example.com"],
    "EDITOR": ["DeveloperGroup", "DevOpsTeam"],
    "VIEWER": ["ReadOnlyGroup", "bob@example.com"]
  }
}

更新角色映射：

aws eks update-capability \
  --region us-east-1 \
  --cluster-name cluster \
  --capability-name capname \
  --endpoint "https://eks.ap-northeast-2.amazonaws.com" \
  --role-arn "arn:aws:iam::[.replaceable]111122223333:role/[.replaceable]`EKSCapabilityRole`" \
  --configuration '{
    "argoCd": {
      "rbacRoleMappings": {
        "addOrUpdateRoleMappings": [
          {
            "role": "ADMIN",
            "identities": [
              { "id": "686103e0-f051-7068-b225-e6392b959d9e", "type": "SSO_USER" }
            ]
          }
        ]
      }
    }
  }'

管理員帳戶用量

管理員帳戶專為初始設定和管理任務而設計，例如註冊叢集和設定儲存庫。

當管理員帳戶適當時：

管理員帳戶的最佳實務：

改用專案型存取的時機：

對於生產環境和多使用者案例，請使用專案型存取控制搭配映射至 AWS Identity Center 群組的專用 RBAC 角色。

專案型存取控制

使用 Argo CD Projects (AppProject) 為團隊提供精細的存取控制和資源隔離。

專案提供：

團隊隔離的範例專案：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  description: Team A applications

  # Required: Specify which namespaces this project watches for Applications
  sourceNamespaces:
  - argocd

  # Source restrictions
  sourceRepos:
  - https://github.com/myorg/team-a-apps

  # Destination restrictions
  destinations:
  - namespace: team-a-*
    server: arn:aws:eks:us-west-2:111122223333:cluster/production

  # Resource restrictions
  clusterResourceWhitelist:
  - group: ''
    kind: Namespace
  namespaceResourceWhitelist:
  - group: 'apps'
    kind: Deployment
  - group: ''
    kind: Service
  - group: ''
    kind: ConfigMap

來源命名空間

使用 EKS Argo CD 功能時，AppProject 定義中需要 spec.sourceNamespaces 欄位。此欄位指定哪些命名空間可以包含參考此專案的應用程式或 ApplicationSets。

AppProject 組態

所有 AppProjects 都必須在 中包含 功能的已設定命名空間sourceNamespaces：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a-project
  namespace: argocd
spec:
  description: Applications for Team A

  # Required: Specify the capability's configured namespace (configuration.argoCd.namespace)
  sourceNamespaces:
    - argocd  # Must match your capability's namespace configuration

  # Source repositories this project can deploy from
  sourceRepos:
    - 'https://github.com/my-org/team-a-*'

  # Destination restrictions
  destinations:
    - namespace: 'team-a-*'
      server: arn:aws:eks:us-west-2:111122223333:cluster/my-cluster

將使用者指派給專案：

專案角色授予 EDITOR 和 VIEWER 使用者對專案資源 （應用程式、ApplicationSets、儲存庫和叢集登入資料） 和 功能 （日誌、Exec) 的存取權。如果沒有專案角色，這些使用者就無法存取這些資源，即使他們具有全域角色存取權。

ADMIN 使用者可以存取所有應用程式，而不需要專案角色。

範例：將應用程式存取權授予團隊成員

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: team-a
  namespace: argocd
spec:
  # ... project configuration ...

  sourceNamespaces:
  - argocd

  # Project roles grant Application-level access
  roles:
  - name: developer
    description: Team A developers - can manage Applications
    policies:
    - p, proj:team-a:developer, applications, *, team-a/*, allow
    - p, proj:team-a:developer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 686103e0-f051-7068-b225-e6392b959d9e  # Identity Center group ID

  - name: viewer
    description: Team A viewers - read-only Application access
    policies:
    - p, proj:team-a:viewer, applications, get, team-a/*, allow
    - p, proj:team-a:viewer, clusters, get, *, allow  # See cluster names in UI
    groups:
    - 786203e0-f051-7068-b225-e6392b959d9f  # Identity Center group ID

了解專案角色政策：

政策格式為： p, proj:<project>:<role>, <resource>, <action>, <object>, <allow/deny>

資源政策：

功能政策：

常見許可模式

模式 1：具有完整存取權的管理團隊

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam", "SRETeam"]
  }
}

ADMIN 使用者可以查看和管理所有專案範圍的資源，而無需額外的組態。

模式 2：團隊領導管理專案、開發人員透過專案角色存取

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

模式 3：具有專案角色的團隊型存取

{
  "rbacRoleMapping": {		 	 	 
    "ADMIN": ["PlatformTeam"],
    "EDITOR": ["TeamLeads"],
    "VIEWER": ["AllDevelopers"]
  }
}

最佳實務

使用群組而非個別使用者：將 AWS Identity Center 群組映射至 Argo CD 角色，而非個別使用者，以便於管理。

從最低權限開始：從 VIEWER 存取開始，並視需要授予 EDITOR 或 ADMIN。

使用專案進行團隊隔離：為不同的團隊或環境建立單獨的 AppProjects以強制執行界限。

利用 Identity Center 聯合：設定 AWS Identity Center 與您的公司身分提供者聯合，以進行集中式使用者管理。

定期存取檢閱：定期檢閱角色映射和專案指派，以確保適當的存取層級。

限制叢集存取：請記住，Argo CD RBAC 會控制對 Argo CD 資源和操作的存取，但不對應至 Kubernetes RBAC。具有 Argo CD 存取權的使用者可以將應用程式部署到 Argo CD 可存取的叢集。限制 Argo CD 可存取的叢集，並使用專案目的地限制來控制應用程式可部署的位置。

AWS 服務許可

若要直接在應用程式資源中使用 AWS 服務 （無需建立儲存庫資源），請將所需的 IAM 許可連接到功能角色。

Helm Chart 的 ECR：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ecr:GetAuthorizationToken",
        "ecr:BatchCheckLayerAvailability",
        "ecr:GetDownloadUrlForLayer",
        "ecr:BatchGetImage"
      ],
      "Resource": "*"
    }
  ]
}

CodeCommit 儲存庫：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codecommit:GitPull"
      ],
      "Resource": "arn:aws:codecommit:region:account-id:repository-name"
    }
  ]
}

CodeConnections (GitHub、GitLab、Bitbucket)：

{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "codeconnections:UseConnection"
      ],
      "Resource": "arn:aws:codeconnections:region:account-id:connection/connection-id"
    }
  ]
}

如需使用這些整合的詳細資訊設定儲存庫存取，請參閱 。

後續步驟