จัดการ Local Account และ API Token ใน Argo CD
จัดการ Local Account และ API Token ใน Argo CD
บทนำ
Argo CD เป็นเครื่องมือ GitOps ที่มีประสิทธิภาพสำหรับการจัดการการปรับใช้งาน Kubernetes อย่างอัตโนมัติ การจัดการ Local Account และ API Token อย่างถูกต้องเป็นสิ่งสำคัญเพื่อรักษาความปลอดภัยและควบคุมการเข้าถึง (Access Control) ในระบบ บทความนี้จะอธิบายวิธีการสร้าง จัดการ และตั้งค่าสิทธิ์สำหรับ Local Account และ API Token ใน Argo CD โดยรายละเอียด
เมื่อคุณใช้บริการ Cloud VPS จาก Dot Enterprise (https://de.co.th/cloud-vps) สำหรับการติดตั้ง Argo CD คุณจะได้รับ infrastructure ที่มีความเสถียรและปลอดภัย ซึ่งช่วยให้คุณสามารถมุ่งเน้นไปที่การจัดการการตรวจสอบสิทธิ์และสิทธิ์การใช้งาน
ความเข้าใจเกี่ยวกับ Local Account ใน Argo CD
Local Account คือบัญชีผู้ใช้ที่สร้างและจัดการภายในระบบ Argo CD โดยตรง ไม่เกี่ยวข้องกับ LDAP หรือ OAuth การใช้ Local Account เหมาะสำหรับการทดสอบ การพัฒนา หรือเมื่อคุณต้องการการควบคุมการเข้าถึงที่มีความแม่นยำสูง
ประเภทของ Local Account
Argo CD มี 2 ประเภทหลักของ Local Account:
- Admin Account: มีสิทธิ์เต็มที่ในการจัดการระบบ สามารถสร้าง ลบ และแก้ไข repository, application, และ project ได้
- Read-Only Account: มีสิทธิ์ในการดูและตรวจสอบสถานะของ application เท่านั้น ไม่สามารถสร้างหรือแก้ไขได้
คุณยังสามารถตั้งค่า RBAC (Role-Based Access Control) เพื่อกำหนดสิทธิ์ที่มีความเฉพาะเจาะจงสำหรับแต่ละบทบาท
การสร้าง Local Account ใหม่
มีหลายวิธีในการสร้าง Local Account ใน Argo CD ขึ้นอยู่กับคุณลักษณะและการตั้งค่าของระบบของคุณ
วิธีที่ 1: ผ่าน Argo CD UI
- เข้าสู่ Argo CD Web UI ด้วยบัญชี admin
- ไปที่ Settings > Users
- คลิก "Create user" (หรือ "New user")
- ใส่ username และเลือก role ที่ต้องการ
- คลิก "Create" เพื่อสร้างบัญชี
- ระบบจะสร้างรหัสผ่านชั่วคราว ให้บันทึกไว้อย่างปลอดภัย
วิธีที่ 2: ผ่าน argocd CLI
คุณสามารถใช้ argocd CLI เพื่อสร้าง Local Account โดยใช้คำสั่ง:
argocd account create <username> --password <password>ตัวอย่างเช่น:
argocd account create developer --password MySecurePassword123!วิธีที่ 3: ผ่าน ConfigMap
คุณสามารถแก้ไข ConfigMap ชื่อ "argocd-cm" ในไฟล์ YAML:
apiVersion: v1
kind: ConfigMap
metadata:
name: argocd-cm
namespace: argocd
data:
accounts.developer: apiKey
accounts.developer.enabled: "true"จากนั้นนำไปใช้งานด้วยคำสั่ง:
kubectl apply -f argocd-cm.yamlการจัดการรหัสผ่าน (Password Policies)
การตั้งค่านโยบายรหัสผ่านที่แข็งแกร่งเป็นส่วนสำคัญของความปลอดภัย
การเปลี่ยนรหัสผ่านของผู้ใช้
ผู้ใช้สามารถเปลี่ยนรหัสผ่านของตัวเองได้:
argocd account update-password --account <username> --current-password <current-password> --new-password <new-password>การรีเซตรหัสผ่านโดย Admin
Admin สามารถรีเซตรหัสผ่านของผู้ใช้อื่นได้:
argocd account set-password --account <username> --password <new-password>นโยบายรหัสผ่านที่แนะนำ
- ความยาวต่ำสุด 12 ตัวอักษร
- รวมตัวอักษรตัวใหญ่ ตัวเล็ก ตัวเลข และสัญลักษณ์พิเศษ
- เปลี่ยนรหัสผ่านทุก 90 วัน
- ห้ามใช้รหัสผ่านเดิมมา 5 ครั้ง
การสร้างและจัดการ API Token
API Token ใช้สำหรับการตรวจสอบสิทธิ์ (Authentication) โดยไม่ต้องใช้รหัสผ่านในการเรียก API การสร้าง API Token ที่ปลอดภัยเป็นวิธีที่ดีที่สุดสำหรับการโต้ตอบ CLI และ CI/CD pipeline
การสร้าง API Token ผ่าน UI
- เข้าสู่ Argo CD Web UI
- ไปที่ Settings > Accounts > [username]
- คลิก "Generate Token"
- ตั้งชื่อและวันหมดอายุสำหรับ token (ปล่อยว่างไว้หากต้องการไม่มีวันหมดอายุ)
- คลิก "Generate"
- บันทึก token ที่สร้างขึ้น ซึ่งจะแสดงเพียงครั้งเดียว
การสร้าง API Token ผ่าน CLI
argocd account generate-token --account <username>ตัวอย่าง:
argocd account generate-token --account developerใช้งาน API Token กับ CLI
เมื่อได้ API Token แล้ว คุณสามารถใช้มันสำหรับการเข้าสู่ระบบ CLI:
argocd login <argocd-server> --username <username> --password <api-token>หรือตั้งค่าเป็น Environment Variable:
export ARGOCD_AUTH_TOKEN=<api-token>
argocd app listใช้งาน API Token กับ CI/CD Pipeline
สำหรับการใช้งานใน CI/CD pipeline เช่น GitHub Actions หรือ GitLab CI:
steps:
- name: Deploy with Argo CD
run: |
argocd app sync my-app --grpc-web --auth-token ${{ secrets.ARGOCD_TOKEN }}
env:
ARGOCD_SERVER: argocd.example.comการจัดการและยกเลิก API Token
การจัดการ API Token อย่างเหมาะสมช่วยป้องกันการเข้าถึงที่ไม่ได้รับอนุญาต
ดูรายการ Token ทั้งหมด
argocd account list-tokens --account <username>ยกเลิก (Revoke) API Token
เมื่อต้องการยกเลิก token:
argocd account revoke-token --account <username> --id <token-id>นโยบายการจัดการ API Token
- สร้าง token แยกสำหรับแต่ละ CI/CD pipeline
- ตั้งวันหมดอายุสำหรับ token ที่ใช้ในระยะสั้น
- ยกเลิก token ที่ไม่ใช้งานอีกต่อไป
- เก็บ token ไว้ในที่ปลอดภัย (secrets management system)
- หมุนเวียน token เป็นระยะ
การตั้งค่า RBAC (Role-Based Access Control)
RBAC ช่วยให้คุณสามารถกำหนดสิทธิ์ที่มีความเฉพาะเจาะจงสำหรับแต่ละผู้ใช้หรือกลุ่มผู้ใช้
ตัวอย่าง RBAC Policy ใน argocd-rbac-cm ConfigMap
apiVersion: v1
kind: ConfigMap
metadata:
name: argocd-rbac-cm
namespace: argocd
data:
policy.default: 'role:readonly'
policy.csv: |
p, role:admin, applications, *, *, allow
p, role:readonly, applications, get, *, allow
p, role:developer, applications, sync, *, allow
p, role:developer, repositories, get, *, allow
g, developer, role:developer
g, admin-user, role:adminความหมายของ Policy Rules
รูปแบบพื้นฐาน: p, <role>, <resource>, <action>, <object>, <effect>
- role: บทบาทที่กำลังกำหนด
- resource: ประเภทของทรัพยากร (applications, repositories, clusters, exec)
- action: การดำเนินการ (get, create, update, delete, sync, override, action)
- object: ชื่อเฉพาะของทรัพยากร หรือ * สำหรับทั้งหมด
- effect: allow หรือ deny
การกำหนด Group ให้กับ Role
ใช้ "g" rules เพื่อกำหนด user ให้กับ role:
g, <username>, <role>ความปลอดภัยและแนวทางปฏิบัติที่ดี
Best Practices สำหรับการจัดการ Account
- ใช้ account admin เพื่อการจัดการเท่านั้น ไม่ใช่สำหรับงานประจำวัน
- สร้าง service account แยกสำหรับแต่ละ CI/CD pipeline
- ตั้งค่า RBAC ให้เข้มงวด ให้สิทธิ์ต่ำสุดที่จำเป็น (principle of least privilege)
- ติดตามและตรวจสอบ audit logs สำหรับการเข้าถึง
- ใช้ OIDC หรือ SAML สำหรับการตรวจสอบสิทธิ์ในสภาพแวดล้อม production
ความปลอดภัยสำหรับการใช้งาน Cloud VPS
เมื่อคุณใช้ Argo CD บน Cloud VPS ของ Dot Enterprise ให้พิจารณาการตั้งค่าเพิ่มเติม:
- เปิดใช้ TLS/SSL สำหรับการสื่อสารทั้งหมด
- กำหนด Firewall rules ให้เข้มงวด
- ใช้ VPN หรือ SSH tunnel สำหรับการเข้าถึง Argo CD API
- สำรองข้อมูล (Backup) configuration และ API tokens อย่างสม่ำเสมอ
การแก้ไขปัญหาที่พบบ่อย
ปัญหา: ไม่สามารถเข้าสู่ระบบด้วย API Token
สาเหตุ: Token อาจหมดอายุแล้ว หรือเซิร์ฟเวอร์ Argo CD ไม่รู้จัก token
วิธีแก้: ตรวจสอบวันหมดอายุของ token ด้วยคำสั่ง argocd account list-tokens --account <username> หากหมดอายุแล้ว ให้สร้าง token ใหม่
ปัญหา: ผู้ใช้ไม่สามารถเข้าถึง Application บางตัว
สาเหตุ: RBAC policy ไม่ได้กำหนดสิทธิ์ที่ถูกต้อง
วิธีแก้: ตรวจสอบ argocd-rbac-cm ConfigMap และตรวจสอบว่า policy rule ครอบคลุม application ทั้งหมดที่ผู้ใช้ต้องการเข้าถึง
ปัญหา: ลืมรหัสผ่าน Admin
วิธีแก้: ในกรณีฉุกเฉิน คุณสามารถรีเซตรหัสผ่าน admin ด้วยการแก้ไข secret "argocd-secret" โดยตรง:
kubectl edit secret argocd-secret -n argocdลบ key "admin.password" เพื่อให้ระบบสร้างรหัสผ่านใหม่โดยอัตโนมัติ
การตรวจสอบ Audit Logs
Argo CD บันทึก audit logs สำหรับการดำเนินการทั้งหมด คุณสามารถตรวจสอบ logs เพื่อติดตามการเข้าถึง:
kubectl logs -f deployment/argocd-server -n argocdค้นหาการเข้าสู่ระบบและการสร้าง token:
kubectl logs deployment/argocd-server -n argocd | grep "token\|login\|account"สรุป
การจัดการ Local Account และ API Token ใน Argo CD อย่างถูกต้องเป็นสิ่งสำคัญสำหรับการรักษาความปลอดภัยและการควบคุมการเข้าถึง ด้วยการตั้งค่า RBAC ที่เหมาะสม การใช้ API Token แทนรหัสผ่าน และการปฏิบัติตามแนวทางความปลอดภัย คุณจะสามารถจัดการ Argo CD ได้อย่างปลอดภัยและมีประสิทธิภาพ
สำหรับสภาพแวดล้อม production คุณควรพิจารณาการใช้บริการ Cloud VPS จาก Dot Enterprise (https://de.co.th/cloud-vps) ซึ่งมีความปลอดภัย เสถียร และมีการสนับสนุนที่ดี สิ่งนี้จะช่วยให้คุณมุ่งเน้นไปที่การบริหารจัดการแอปพลิเคชันแทนการกังวลเกี่ยวกับ infrastructure