DescribeUserPermission - Container Service for Kubernetes - Centro de documentación de Alibaba Cloud

En un clúster de Container Service for Kubernetes (ACK), puede crear y especificar diferentes usuarios o roles de Resource Access Management (RAM) para que tengan distintos permisos de acceso. Esto garantiza el control de acceso y el aislamiento de recursos. Puede llamar a la operación DescribeUserPermission para consultar los permisos otorgados a un usuario o rol de RAM en clústeres de ACK, incluidos los recursos a los que se permite acceder, el alcance de los permisos, el rol predefinido y el origen de los permisos.

Descripción de la operación

Precauciones:

Si llama a esta operación como usuario de Resource Access Management (RAM) o asumiendo un rol de RAM, solo se devuelven los permisos otorgados en los clústeres en los que la cuenta actual tiene permisos de administrador de control de acceso basado en roles (RBAC). Si desea consultar los permisos en todos los clústeres, debe utilizar una cuenta que tenga permisos de administrador de RBAC en todos los clústeres.

Pruébelo ahora

Pruebe esta API en OpenAPI Explorer sin necesidad de firma manual. Las llamadas exitosas generan automáticamente código SDK acorde a sus parámetros. Descárguelo con seguridad de credenciales integrada para uso local.

Test

Autorización de RAM

La siguiente tabla describe la autorización necesaria para invocar esta API. Puede definirla en una directiva de Resource Access Management (RAM). A continuación, se detallan las columnas de la tabla:

Action: Estas acciones se utilizan en el elemento Action de las declaraciones de directivas de permisos de RAM para otorgar permisos que permitan realizar la operación.
API: La API que debe invocarse para llevar a cabo la acción.
Nivel de acceso: Nivel de acceso predefinido que se concede para cada API. Valores válidos: create, list, get, update y delete.
Tipo de recurso: Tipo de recurso que admite autorización para ejecutar la acción. Indica si la acción es compatible con permisos a nivel de recurso. El recurso especificado debe ser compatible con la acción; de lo contrario, la directiva no surtirá efecto.
- En las API con permisos a nivel de recurso, los tipos de recursos obligatorios se marcan con un asterisco (*). Especifique el Alibaba Cloud Resource Name (ARN) correspondiente en el elemento Resource de la directiva.
- Para las API sin permisos a nivel de recurso, se muestra All Resources. Utilice un asterisco (*) en el elemento Resource de la directiva.
Clave de condición: Claves de condición definidas por el servicio. Permiten un control granular y se aplican ya sea solo a acciones o a acciones asociadas con recursos específicos. Además de las claves de condición específicas del servicio, Alibaba Cloud proporciona un conjunto de common condition keys aplicables a todos los servicios compatibles con RAM.
Acción dependiente: Acciones dependientes necesarias para ejecutar la acción principal. Para completar la operación, el usuario de RAM o el rol de RAM debe contar con permisos para realizar todas las acciones dependientes.

Action

Nivel de acceso

Tipo de recurso

Clave de condición

Acción dependiente

cs:GetUserPermissions

get

*All Resource

*

Ninguna

Sintaxis de la solicitud

GET /permissions/users/{uid} HTTP/1.1

Parámetros de ruta

Parámetro	Tipo	Obligatorio	Descripción	Ejemplo
uid	string	Sí	El ID del usuario o rol de RAM. Si consulta los permisos de un usuario de RAM, se utiliza el UID del usuario de RAM. Si consulta los permisos de un rol de RAM, se utiliza el ID del rol de RAM.	206945240368******

Parámetros de la solicitud

Parámetro

Tipo

Obligatorio

Descripción

Ejemplo

Elementos de la respuesta

Elemento	Tipo	Descripción	Ejemplo
	array	El cuerpo de la respuesta.
	object	Los detalles de autorización del clúster del usuario de RAM.
resource_id	string	La configuración de autorización. Valores válidos: Se devuelve `{cluster_id}` si los permisos tienen como alcance un clúster. Se devuelve `{cluster_id}/{namespace}` si los permisos tienen como alcance un namespace de un clúster. Se devuelve `all-clusters` si los permisos tienen como alcance todos los clústeres.	c1b542****
resource_type	string	El tipo de autorización. Valores válidos: `cluster`: indica que los permisos tienen como alcance un clúster. `namespace`: indica que los permisos tienen como alcance un namespace de un clúster. `console`: indica que los permisos tienen como alcance todos los clústeres.	cluster
role_name	string	El nombre del rol personalizado. Si se asigna un rol personalizado, el valor es el nombre del rol personalizado asignado.	terway-pod-reader
role_type	string	El tipo de rol predefinido. Valores válidos: `admin`: administrador `ops`: ingeniero de O&M `dev`: desarrollador `restricted`: usuario restringido `custom`: rol personalizado	admin
is_owner	integer	Indica si los permisos se otorgan al propietario del clúster. `0`: indica que los permisos no se otorgan al propietario del clúster. `1`: indica que los permisos se otorgan al propietario del clúster. El propietario del clúster es el administrador.	1
is_ram_role	integer	Indica si los permisos se otorgan al rol de RAM. Valores válidos: `0`: indica que los permisos no se otorgan al rol de RAM. `1`: indica que los permisos se otorgan al rol de RAM.	1

El parámetro parent_id está obsoleto. No utilice este parámetro.

Ejemplos

Respuesta exitosa

JSON Formato

[
  {
    "resource_id": "c1b542****",
    "resource_type": "cluster",
    "role_name": "terway-pod-reader",
    "role_type": "admin",
    "is_owner": 1,
    "is_ram_role": 1
  }
]

Códigos de error

Consulte Códigos de error para ver la lista completa.

Notas de la versión

Consulte Notas de la versión para ver la lista completa.