ACK One controla el acceso mediante tres capas: roles vinculados al servicio, directivas de RAM y permisos RBAC.
Responsabilidades por rol
|
Rol |
Configuración obligatoria |
|
Titular de la cuenta de Alibaba Cloud |
Complete la autorización del rol vinculado al servicio durante el primer uso. Su cuenta tiene todos los permisos de forma predeterminada. |
|
Administrador de cuenta RAM |
Complete la autorización del rol vinculado al servicio en nombre de la organización. Asigne directivas del sistema de RAM a usuarios o roles de RAM y otorgue permisos RBAC en cada clúster. |
|
Usuario de RAM o rol de RAM |
Solicite a su administrador que asigne las directivas de RAM y otorgue los permisos RBAC correspondientes. |
Tipos de permisos
Los permisos de ACK One operan en dos niveles:
Permisos del plano de control (capa de RAM): Determinan quién puede gestionar los recursos del clúster de ACK One, como crear clústeres, consultar configuraciones e invocar las API de ACK One. Se rigen por roles vinculados al servicio y directivas del sistema de RAM.
Permisos del plano de datos (capa RBAC): Determinan quién puede gestionar objetos de Kubernetes dentro de un clúster, lo que incluye el despliegue de aplicaciones, la gestión de pipelines de GitOps y la ejecución de flujos de trabajo de Argo.
Ambos niveles son obligatorios. Las directivas de RAM por sí solas no conceden acceso a Kubernetes.
|
Tipo de permiso |
Quién lo necesita |
Qué controla |
|
Configuración inicial: cuenta de Alibaba Cloud o administrador de cuenta RAM |
El acceso de ACK One a otros servicios de Alibaba Cloud |
|
|
Usuarios y roles de RAM (las cuentas de Alibaba Cloud tienen todos los permisos de forma predeterminada) |
El acceso a los recursos del clúster de ACK One mediante la consola y las API |
|
|
Usuarios y roles de RAM (las cuentas de Alibaba Cloud tienen todos los permisos de forma predeterminada) |
El acceso a los recursos de Kubernetes dentro de los clústeres de ACK One |
Roles vinculados al servicio
ACK One asume roles vinculados al servicio para acceder a otros servicios de Alibaba Cloud en su nombre; por ejemplo, para crear instancias de contenedores elásticos o gestionar recursos de VPC.
Para consultar los permisos completos que otorga cada rol, consulte Permisos de los roles vinculados al servicio para ACK One.
|
Nombre del rol |
Funcionalidad habilitada |
|
AliyunCSDefaultRole |
Acceso de gestión de clústeres a Elastic Compute Service (ECS), Virtual Private Cloud (VPC), Server Load Balancer (SLB), Resource Orchestration Service (ROS) y Auto Scaling. Obligatorio para todas las funciones de ACK One. |
|
AliyunServiceRoleForAdcp |
Acceso de gestión de clústeres a ECS, VPC y SLB. Obligatorio para todas las funciones de ACK One. |
|
AliyunAdcpServerlessKubernetesRole |
Acceso de instancias de flota y clústeres de Kubernetes para flujos de trabajo distribuidos de Argo a VPC, ECS, Alibaba Cloud DNS PrivateZone, Elastic Container Instance y Simple Log Service (SLS). Obligatorio para todas las funciones de ACK One. |
|
AliyunAdcpManagedMseRole |
Acceso de instancias de flota a Microservices Engine (MSE). Obligatorio solo para multi-cluster gateways. |
|
AliyunCSManagedKubernetesRole |
Acceso de instancias de flota a recursos de ACK. |
|
AliyunCSManagedLogRole |
Acceso del componente de registros a otros servicios de Alibaba Cloud. |
|
AliyunCSManagedCmsRole |
Acceso del componente CMS a otros servicios de Alibaba Cloud. |
|
AliyunCSManagedArmsRole |
Acceso del plugin de Application Real-Time Monitoring Service (ARMS) a otros servicios de Alibaba Cloud. |
Los roles vinculados al servicio se crean automáticamente. La primera vez que abra la consola de ACK One, siga las indicaciones para completar la autorización.
Solo las cuentas de Alibaba Cloud y RAM account administrators pueden completar la autorización de roles. Si encuentra un error de permisos, cambie a una cuenta de Alibaba Cloud o solicite asistencia a su administrador de cuenta RAM.
Directivas del sistema de RAM
Los usuarios y roles de RAM no tienen permisos de forma predeterminada. Asigne una o más de las siguientes directivas del sistema para conceder acceso a los recursos del clúster de ACK One.
Consulte Asignar una directiva de permisos del sistema a un usuario o rol de RAM.
|
Directiva del sistema de RAM |
Permiso |
Clústeres registrados |
Instancias de flota |
Clústeres de flujo de trabajo |
|
AliyunAdcpFullAccess |
Lectura y escritura de todos los recursos de ACK One |
Sí |
Sí |
Sí |
|
AliyunAdcpReadOnlyAccess |
Acceso de solo lectura a todos los recursos de ACK One |
Sí |
Sí |
Sí |
|
AliyunCSFullAccess |
Lectura y escritura de todos los recursos de Container Service for Kubernetes (ACK) |
Sí |
Sí |
No |
|
AliyunCSReadOnlyAccess |
Acceso de solo lectura a todos los recursos de ACK |
Sí |
Sí |
No |
|
AliyunVPCReadOnlyAccess |
Especificar una VPC al crear un clúster de ACK |
Sí |
Sí |
Sí |
|
AliyunECIReadOnlyAccess |
Programar pods en instancias de contenedores elásticos |
Sí |
Sí |
Sí |
|
AliyunLogReadOnlyAccess |
Seleccionar un proyecto de registros para un clúster o consultar datos de inspección de configuración |
Sí |
Sí |
Sí |
|
AliyunARMSReadOnlyAccess |
Consultar datos de monitoreo del plugin de Managed Service for Prometheus |
Sí |
Sí |
Sí |
|
AliyunRAMReadOnlyAccess |
Consultar directivas de RAM existentes |
Sí |
Sí |
Sí |
|
AliyunECSReadOnlyAccess |
Agregar nodos existentes a un clúster de ACK o consultar detalles de nodos |
Sí |
No |
No |
|
AliyunContainerRegistryReadOnlyAccess |
Consultar imágenes de aplicaciones dentro de una cuenta de Alibaba Cloud |
Sí |
No |
No |
|
AliyunAHASReadOnlyAccess |
Usar la función de topología de clúster |
Sí |
No |
No |
|
AliyunYundunSASReadOnlyAccess |
Consultar datos de monitoreo en tiempo de ejecución de un clúster de ACK |
Sí |
No |
No |
|
AliyunKMSReadOnlyAccess |
Habilitar el cifrado de secretos al crear un clúster de ACK |
Sí |
No |
No |
|
AliyunESSReadOnlyAccess |
Consultar, modificar y escalar grupos de nodos |
Sí |
No |
No |
Permisos RBAC
Las directivas de RAM controlan el acceso a ACK One como servicio, pero no a los recursos de Kubernetes dentro de los clústeres. Otorgue permisos RBAC en clústeres y namespaces específicos para operaciones como desplegar aplicaciones, gestionar pipelines de GitOps o ejecutar flujos de trabajo de Argo.
ACK One proporciona los siguientes roles RBAC predefinidos:
Instancias de flota y clústeres de flujo de trabajo
|
Rol RBAC |
Alcance del permiso |
Instancias de flota |
Clústeres de flujo de trabajo |
|
admin (administrador) |
Acceso de lectura y escritura a recursos de todo el clúster y a todos los namespaces |
Sí |
Sí |
|
dev (desarrollador) |
Acceso de lectura y escritura a recursos en el namespace especificado |
Sí |
Sí |
|
gitops-dev (desarrollador de GitOps) |
Acceso de lectura y escritura a recursos de aplicación en el namespace argocd |
Sí |
No |
Consulte RBAC permissions on registered clusters.