Container Intelligent Service (CIS) requiere acceso a sus instancias de Elastic Compute Service (ECS), Virtual Private Cloud (VPC), instancias de Server Load Balancer (SLB) y otros recursos para ejecutar diagnósticos e inspecciones de clústeres. Este acceso se otorga mediante el rol de servicio AliyunCISDefaultRole. Asigne este rol una sola vez para que CIS pueda invocar las API necesarias e inspeccionar y diagnosticar sus clústeres de ACK.
Requisitos previos
Antes de empezar, asegúrese de contar con:
Una cuenta de Alibaba Cloud o un usuario de Resource Access Management (RAM) con permisos de administrador
Asignación del rol de servicio
Si ya ha utilizado CIS anteriormente, es posible que el rol AliyunCISDefaultRole ya esté asignado. Para confirmarlo, compruebe si puede acceder a los diagnósticos e inspecciones de clústeres en la consola de CIS sin que se le solicite autorización.
Inicie sesión en la consola de CIS.
Haga clic en Go to RAM authorization para abrir la página de Cloud Resource Access Authorization y luego haga clic en Agree to Authorization.
Una vez completada la autorización, actualice la página de la consola de CIS para comenzar a usar los diagnósticos y las inspecciones.
Permisos otorgados por AliyunCISDefaultRole
A continuación se enumeran todos los permisos otorgados a CIS mediante AliyunCISDefaultRole.
Permisos relacionados con ECS
Permisos relacionados con VPC
CIS utiliza estos permisos para inspeccionar la topología de VPC, enrutamiento, NAT gateways y listas de control de acceso de red (ACL) para diagnósticos de red.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta sus VPC |
Identificar la VPC asociada al clúster |
|
|
Consulta la configuración de una VPC |
Inspeccionar ajustes de VPC durante diagnósticos de red |
|
|
Consulta sus vSwitches |
Listar vSwitches utilizados por nodos del clúster |
|
|
Consulta los detalles de un vSwitch |
Inspeccionar configuración de vSwitch y direcciones IP disponibles |
|
|
Consulta tablas de rutas |
Listar tablas de rutas asociadas a la VPC del clúster |
|
|
Consulta entradas de ruta |
Inspeccionar reglas de enrutamiento para diagnósticos de ruta de red |
|
|
Consulta NAT gateways en una región |
Comprobar configuración de NAT gateway para diagnósticos de tráfico saliente |
|
|
Consulta direcciones IP elásticas (EIP) en una región |
Inspeccionar vinculaciones de EIP para diagnósticos de acceso público |
|
|
Consulta información de tablas de rutas |
Recuperar datos detallados de tablas de rutas |
|
|
Consulta entradas SNAT |
Inspeccionar reglas SNAT para diagnósticos de conectividad saliente |
|
|
Consulta ACL de red |
Listar ACL de red que pueden afectar el tráfico del clúster |
|
|
Consulta los detalles de una ACL de red |
Inspeccionar reglas de ACL para diagnósticos de red |
Permisos relacionados con SLB
CIS utiliza estos permisos para inspeccionar instancias de Server Load Balancer (SLB), configuraciones de listeners, grupos de servidores backend y estado de salud para diagnósticos de load balancer.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta sus instancias de SLB |
Identificar instancias de SLB asociadas a servicios del clúster |
|
|
Consulta los detalles de una instancia de SLB |
Inspeccionar configuración de SLB durante diagnósticos |
|
|
Consulta grupos de vServer |
Listar grupos de servidores backend para servicios del clúster |
|
|
Consulta los detalles de un grupo de vServer |
Inspeccionar configuración de grupos de servidores backend |
|
|
Consulta la configuración de un listener TCP |
Inspeccionar ajustes de listener TCP para diagnósticos |
|
|
Consulta la configuración de un listener UDP |
Inspeccionar ajustes de listener UDP para diagnósticos |
|
|
Consulta ACL de red |
Listar ACL aplicadas a listeners de SLB |
|
|
Consulta la configuración de una ACL de red |
Inspeccionar reglas de ACL aplicadas a listeners de SLB |
|
|
Consulta los listeners de una instancia de SLB |
Listar todos los listeners de una instancia de SLB determinada |
|
|
Consulta el estado de salud de servidores backend |
Comprobar salud de servidores backend durante diagnósticos |
Permisos relacionados con Simple Log Service
CIS utiliza este permiso para acceder a metadatos de logstore para diagnósticos basados en registros.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta los detalles de un logstore |
Acceder a datos de registro para diagnósticos de clúster |
Permisos relacionados con ACK
CIS utiliza estos permisos para inspeccionar detalles de clústeres de ACK, node pools, tareas y estado de actualización de componentes.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta los detalles de un clúster de ACK |
Recuperar configuración del clúster para diagnósticos |
|
|
Consulta todos los recursos en un clúster de ACK |
Inventariar recursos del clúster durante inspecciones |
|
|
Consulta tareas en un clúster de ACK |
Monitorear estado de tareas del clúster durante diagnósticos |
|
|
Consulta información de tareas en un clúster de ACK |
Recuperar detalles de tareas específicas del clúster |
|
|
Consulta todos los node pools en un clúster de ACK |
Inspeccionar configuración y estado de node pools |
|
|
Consulta vulnerabilidades de node pool en un clúster de ACK |
Identificar vulnerabilidades de seguridad en node pools |
|
|
Consulta el progreso de actualización de componentes del clúster |
Comprobar estado de actualización de componentes durante inspecciones |
Permisos relacionados con Elastic Container Instance
CIS utiliza estos permisos para inspeccionar pods de Elastic Container Instance (ECI) y ejecutar comandos de diagnóstico en contenedores serverless.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta información sobre pods en Elastic Container Instance (ECI) |
Inspeccionar configuraciones y estado de pods de ECI |
|
|
Ejecuta un script de shell en una elastic container instance |
Ejecutar scripts de diagnóstico en contenedores serverless |
|
|
Consulta el resultado de ejecución de un comando |
Recuperar salida de comandos de diagnóstico de pods de ECI |
|
|
Consulta privilegios y cuotas en una región |
Comprobar uso de cuota de ECI durante diagnósticos |
Permisos relacionados con CloudMonitor
CIS utiliza estos permisos para recuperar métricas de monitoreo y datos de alertas para diagnósticos de rendimiento y salud.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta datos de monitoreo recopilados durante un periodo de tiempo |
Recuperar datos históricos de métricas para diagnósticos |
|
|
Consulta los datos de monitoreo más recientes de una métrica |
Obtener valores actuales de métricas durante inspecciones |
|
|
Consulta descripciones de métricas compatibles con CloudMonitor |
Listar métricas disponibles para análisis de diagnóstico |
|
|
Consulta datos de monitoreo ordenados para un servicio de Alibaba Cloud |
Identificar principales consumidores de recursos durante diagnósticos |
|
|
Consulta métricas compatibles con CloudMonitor |
Recuperar metadatos de métricas para consultas de diagnóstico |
|
|
Consulta datos de monitoreo para un servicio de Alibaba Cloud |
Recuperar datos de métricas ordenados para análisis |
|
|
Consulta metadatos de métricas |
Listar metadatos para métricas disponibles |
|
|
Consulta proyectos de metadatos de métricas |
Listar proyectos de métricas para diagnósticos dirigidos |
|
|
Consulta datos de monitoreo para servicios de Alibaba Cloud |
Recuperar datos de métricas para múltiples servicios |
|
|
Consulta los datos de monitoreo más recientes para métricas |
Obtener los valores de métricas más recientes |
|
|
Consulta datos de monitoreo para una métrica específica |
Recuperar datos de series temporales para una métrica específica |
|
|
Consulta descripciones de métricas compatibles con CloudMonitor |
Listar descripciones de métricas como referencia de diagnóstico |
|
|
Consulta métricas compatibles con CloudMonitor |
Acceder a definiciones de métricas para análisis de diagnóstico |
|
|
Consulta alertas recientes |
Recuperar historial de alertas durante inspecciones de salud |
|
|
Consulta los detalles de un evento del sistema |
Inspeccionar eventos del sistema relacionados con recursos del clúster |
|
|
Consulta la descripción de una métrica de CloudMonitor |
Recuperar metadatos de métricas de streaming |
Permisos relacionados con Quota Center
CIS utiliza estos permisos para comprobar cuotas de servicio durante los diagnósticos, lo que ayuda a identificar si los límites de cuota pueden estar afectando las operaciones del clúster.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta servicios de Alibaba Cloud compatibles con Quota Center |
Listar servicios cuyas cuotas se pueden inspeccionar |
|
|
Consulta cuotas para un servicio de Alibaba Cloud |
Recuperar límites de cuota para servicios relacionados con el clúster |
|
|
Consulta dimensiones de cuota compatibles con un servicio de Alibaba Cloud |
Acceder a datos de cuota específicos por dimensión |
|
|
Consulta los detalles de una cuota |
Inspeccionar un valor de cuota específico y su uso |
|
|
Consulta los detalles de una dimensión de cuota |
Recuperar detalles de cuota para una dimensión específica |
Permisos relacionados con RAM
CIS utiliza este permiso para verificar que las directivas adjuntas a AliyunCISDefaultRole estén configuradas correctamente.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta directivas adjuntas a un rol de RAM |
Verificar que el rol de servicio tenga las directivas requeridas |
Permisos relacionados con Application Troubleshooting Platform
CIS utiliza estos permisos para cargar y analizar archivos de diagnóstico en Application Troubleshooting Platform (ATP) para un análisis profundo de causa raíz.
|
Permiso |
Descripción |
Propósito |
|
|
Consulta información sobre un archivo de análisis en Application Troubleshooting Platform (ATP) |
Recuperar metadatos de archivos de diagnóstico de ATP |
|
|
Analiza archivos en ATP |
Activar análisis automatizado de archivos de diagnóstico |
|
|
Carga archivos a ATP mediante Object Storage Service (OSS) |
Cargar archivos de diagnóstico a ATP vía OSS |
|
|
Carga archivos a ATP especificando URL |
Cargar archivos de diagnóstico a ATP por URL |