Use resource groups for fine-grained access control - Container Service for Kubernetes

Resource Group le permite gestionar los recursos de Distributed Cloud Container Platform for Kubernetes (ACK One) como un conjunto. Además, puede aplicar políticas de Resource Access Management (RAM) que autoricen acciones únicamente sobre los recursos de un grupo específico. De este modo, aplica el principio de mínimo privilegio (PoLP) en su cuenta de Alibaba Cloud.

Nota

El alcance de los permisos a un resource group solo se admite para supported resource types y acciones. En el caso de unsupported actions, cualquier alcance de resource group definido en una política se ignora, por lo que los permisos deben otorgarse a nivel de cuenta.

Cómo funciona

Resource groups organizan sus recursos por proyecto o entorno. Una vez agrupados, puede adjuntar una política de RAM a una identidad (como un usuario de RAM, un grupo de usuarios o un rol) para limitar sus permisos exclusivamente a ese grupo. Para obtener más información, consulte Resource grouping and authorization.

Este enfoque ofrece dos ventajas principales:

Control de acceso detallado: en lugar de otorgar permisos en toda la cuenta, limite el acceso de una identidad a los recursos de un grupo específico. Esto ayuda a aislar las cargas de trabajo de cada proyecto y reduce el riesgo de accesos no deseados.
Gestión simplificada: cuando se añaden nuevos recursos a un resource group, las identidades de RAM con permisos limitados a ese grupo obtienen acceso automáticamente. No es necesario actualizar las políticas de RAM cada vez que se crea un recurso.

Otorgar permisos a nivel de resource group a un usuario de RAM

En esta sección se explica cómo otorgar a un usuario de RAM permiso para acceder únicamente a los recursos de Distributed Cloud Container Platform for Kubernetes (ACK One) dentro de un resource group específico.

1. Requisitos previos

Create a RAM user.
Cree un resource group y asegúrese de que los recursos de destino estén incluidos en él. Si necesita ayuda con este proceso, consulte Create a resource group, Add resources to a resource group automatically y Add resources to a resource group manually.

2. Otorgar permisos

Los permisos a nivel de resource group se pueden otorgar desde la consola de Resource Management o desde la consola de RAM.

Consola de Resource Management

Inicie sesión en la consola de Resource Management.
En la página Resource Group, busque el resource group de destino y haga clic en Permission Management en la columna Actions.
En la pestaña Permissions, haga clic en Grant Permission.
En el panel Grant Permission, configure la entidad de seguridad y la política de acceso.
- Principal: seleccione un usuario de RAM.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Grant permissions on resource groups to a RAM identity.

Consola de RAM

Inicie sesión en la consola de RAM con una cuenta de Alibaba Cloud o una cuenta de administrador de RAM.
En el panel de navegación izquierdo, elija Identities > Users. En la página Users, busque el usuario de RAM de destino y haga clic en Attach Policy en la columna Actions.
En el panel Attach Policy, agregue permisos al usuario de RAM.
- Resource Scope: seleccione Resource Group.
- Principal: seleccione un usuario de RAM existente o el creado en el paso anterior.
- Policy: seleccione una System Policy o una Custom Policy. Para obtener más información, consulte Create a custom permission policy.
Haga clic en OK.

Para obtener más información, consulte Manage RAM user permissions.

Recursos compatibles

A continuación se muestran los recursos de Distributed Cloud Container Platform for Kubernetes (ACK One) que admiten autorización a nivel de resource group:

Servicio de Alibaba Cloud	Código de servicio	Tipo de recurso
Distributed Cloud Container Platform for Kubernetes (ACK One)	ackone	cluster : clúster

Nota

Si necesita compatibilidad con tipos de recursos que no aparecen en esta lista, envíe sus comentarios mediante la consola de Resource Management.

Acciones no compatibles

Las siguientes acciones de Distributed Cloud Container Platform for Kubernetes (ACK One) no admiten autorización a nivel de resource group:

Acción	Descripción
adcp:AbortComponentBaselineDeployBatch	-
adcp:AbortComponentBaselineDeployJob	-
adcp:AttachClusterToHub	Llama a la operación AttachClusterToHub para asociar un clúster de Container Service for Kubernetes (ACK) con una instancia maestra de ACK One.
adcp:ChangeResourceGroup	-
adcp:CheckSLRExists	-
adcp:CheckServiceRole	-
adcp:ComponentBaselinePreCheck	-
adcp:CreateComponentBaseline	-
adcp:CreateComponentBaselineDeployJob	-
adcp:CreateComputeClusterNodePool	-
adcp:DeleteComponentBaseline	-
adcp:DeleteComponentBaselineDeployJob	-
adcp:DeleteComputeClusterNodePool	-
adcp:DeletePolicyInstance	Elimina una política de los clústeres asociados.
adcp:DeleteUserPermission	Elimina los permisos de control de acceso basado en roles (RBAC) de un usuario de RAM.
adcp:DeployPolicyInstance	Despliega una instancia de política en los clústeres asociados a una instancia maestra.
adcp:DescribeClusterEvents	-
adcp:DescribeComponentBaselineDeployJobDetail	-
adcp:DescribeComponentBaselineDeployJobs	-
adcp:DescribeComponentBaselineDetail	-
adcp:DescribeComponentBaselines	-
adcp:DescribeComponentListOfHubCluster	-
adcp:DescribeComputeClusterMetadata	-
adcp:DescribeComputeClusterNodePoolDetail	-
adcp:DescribeComputeClusterNodePools	-
adcp:DescribeComputeClusterNodes	-
adcp:DescribeHubClusterKubeconfig	Consulta el archivo kubeconfig de un clúster de Distributed Cloud Container Platform for Kubernetes (ACK One). Además de la consola de Container Service for Kubernetes (ACK), también puede usar la CLI de Kubernetes kubectl para gestionar clústeres y aplicaciones. Si utiliza kubectl para gestionar un clúster de ACK, debe obtener el archivo kubeconfig del clúster y usar kubectl para conectarse a él.
adcp:DescribeHubClusterLogs	Consulta los registros de la instancia Fleet de un fleet multiclúster de Distributed Cloud Container Platform for Kubernetes (ACK One).
adcp:DescribeManagedClusters	Llama a la operación DescribeManagedClusters para consultar los clústeres asociados a una instancia maestra.
adcp:DescribePolicies	Consulta una lista de políticas.
adcp:DescribePolicyDetails	Consulta información detallada sobre una política.
adcp:DescribePolicyGovernanceInCluster	Consulta información detallada sobre las políticas utilizadas por los clústeres asociados a una instancia maestra.
adcp:DescribePolicyInstances	Consulta las instancias de política desplegadas en los clústeres asociados a una instancia maestra.
adcp:DescribePolicyInstancesStatus	Consulta información detallada sobre las instancias de política desplegadas en los clústeres asociados a una instancia maestra.
adcp:DescribeUserPermissions	Consulta los permisos de un usuario de Resource Access Management (RAM).
adcp:DetachClusterFromHub	Llama a la operación DetachClusterFromHub para desasociar clústeres de una instancia maestra.
adcp:DrainComputeClusterNodes	-
adcp:GrantUserPermission	Otorga permisos de control de acceso basado en roles (RBAC) a usuarios o roles de Resource Access Management (RAM). Las políticas del sistema se pueden adjuntar a usuarios de RAM para otorgar únicamente permisos de operación sobre los recursos del clúster de Distributed Cloud Container Platform for Kubernetes (ACK One). Estos permisos incluyen crear y consultar instancias. Si desea operar sobre recursos de Kubernetes en un clúster específico mediante un usuario de RAM o asumiendo un rol de RAM (por ejemplo, crear aplicaciones GitOps y flujos de trabajo de Argo), debe otorgar permisos RBAC a dicho usuario o rol para que pueda operar en el clúster y el namespace de ACK One especificados. Este tema describe cómo otorgar permisos RBAC a un usuario o rol de RAM.
adcp:GrantUserPermissions	-
adcp:ListTagResources	-
adcp:RemoveComputeClusterNodePoolNodes	-
adcp:RemoveComputeClusterNodes	-
adcp:ResumeComponentBaselineDeployJob	-
adcp:RollbackComponentBaselineDeployBatch	-
adcp:StartComponentBaselineDeployBatch	-
adcp:StartComponentBaselineDeployJob	-
adcp:SuspendComponentBaselineDeployJob	-
adcp:TagResources	-
adcp:UntagResources	-
adcp:UpdateClusterTags	-
adcp:UpdateComponentBaseline	-
adcp:UpdateComputeClusterNodePool	-
adcp:UpdateUserPermission	Actualiza los permisos de control de acceso basado en roles (RBAC) de un usuario de RAM.

Para estas acciones, debe crear una política personalizada con el alcance establecido en Account.

Adapte los siguientes ejemplos de políticas según sus necesidades:

Permitir acceso de solo lectura

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "adcp:CheckServiceRole",
        "adcp:DescribeClusterEvents",
        "adcp:DescribeComponentBaselineDeployJobDetail",
        "adcp:DescribeComponentBaselineDeployJobs",
        "adcp:DescribeComponentBaselineDetail",
        "adcp:DescribeComponentBaselines",
        "adcp:DescribeComponentListOfHubCluster",
        "adcp:DescribeComputeClusterMetadata",
        "adcp:DescribeComputeClusterNodePoolDetail",
        "adcp:DescribeComputeClusterNodePools",
        "adcp:DescribeComputeClusterNodes",
        "adcp:DescribeHubClusterKubeconfig",
        "adcp:DescribeHubClusterLogs",
        "adcp:DescribeManagedClusters",
        "adcp:DescribePolicies",
        "adcp:DescribePolicyDetails",
        "adcp:DescribePolicyGovernanceInCluster",
        "adcp:DescribePolicyInstances",
        "adcp:DescribePolicyInstancesStatus",
        "adcp:DescribeUserPermissions",
        "adcp:ListTagResources"
      ],
      "Resource": "*"
    }
  ]
}

Permitir acceso total

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "adcp:AbortComponentBaselineDeployBatch",
        "adcp:AbortComponentBaselineDeployJob",
        "adcp:AttachClusterToHub",
        "adcp:ChangeResourceGroup",
        "adcp:CheckSLRExists",
        "adcp:CheckServiceRole",
        "adcp:ComponentBaselinePreCheck",
        "adcp:CreateComponentBaseline",
        "adcp:CreateComponentBaselineDeployJob",
        "adcp:CreateComputeClusterNodePool",
        "adcp:DeleteComponentBaseline",
        "adcp:DeleteComponentBaselineDeployJob",
        "adcp:DeleteComputeClusterNodePool",
        "adcp:DeletePolicyInstance",
        "adcp:DeleteUserPermission",
        "adcp:DeployPolicyInstance",
        "adcp:DescribeClusterEvents",
        "adcp:DescribeComponentBaselineDeployJobDetail",
        "adcp:DescribeComponentBaselineDeployJobs",
        "adcp:DescribeComponentBaselineDetail",
        "adcp:DescribeComponentBaselines",
        "adcp:DescribeComponentListOfHubCluster",
        "adcp:DescribeComputeClusterMetadata",
        "adcp:DescribeComputeClusterNodePoolDetail",
        "adcp:DescribeComputeClusterNodePools",
        "adcp:DescribeComputeClusterNodes",
        "adcp:DescribeHubClusterKubeconfig",
        "adcp:DescribeHubClusterLogs",
        "adcp:DescribeManagedClusters",
        "adcp:DescribePolicies",
        "adcp:DescribePolicyDetails",
        "adcp:DescribePolicyGovernanceInCluster",
        "adcp:DescribePolicyInstances",
        "adcp:DescribePolicyInstancesStatus",
        "adcp:DescribeUserPermissions",
        "adcp:DetachClusterFromHub",
        "adcp:DrainComputeClusterNodes",
        "adcp:GrantUserPermission",
        "adcp:GrantUserPermissions",
        "adcp:ListTagResources",
        "adcp:RemoveComputeClusterNodePoolNodes",
        "adcp:RemoveComputeClusterNodes",
        "adcp:ResumeComponentBaselineDeployJob",
        "adcp:RollbackComponentBaselineDeployBatch",
        "adcp:StartComponentBaselineDeployBatch",
        "adcp:StartComponentBaselineDeployJob",
        "adcp:SuspendComponentBaselineDeployJob",
        "adcp:TagResources",
        "adcp:UntagResources",
        "adcp:UpdateClusterTags",
        "adcp:UpdateComponentBaseline",
        "adcp:UpdateComputeClusterNodePool",
        "adcp:UpdateUserPermission"
      ],
      "Resource": "*"
    }
  ]
}

Importante

Otorgar permisos a nivel de cuenta permite el acceso a todos los recursos relevantes de dicha cuenta. Aplique siempre el principio PoLP.

Preguntas frecuentes

¿Cómo averiguo a qué resource group pertenece un recurso?

Método 1: desde la consola del servicio
- Vaya a la consola del servicio donde se creó el recurso. En la página de detalles del recurso, generalmente encontrará el resource group en la sección de información básica.
Método 2: desde la consola de Resource Management
- Inicie sesión en la consola de Resource Management.
- Elija Resource Center > Resource Search.
- En el panel izquierdo, seleccione la cuenta propietaria del recurso de destino (el valor predeterminado es Current Account).
- Utilice condiciones de filtro para buscar su recurso.
- La columna Resource Group Name indica a qué grupo pertenece el recurso.

¿Cómo consulto todos los recursos de un resource group específico?

Método 1:
- Inicie sesión en la consola de Resource Management.
- Elija Resource Center > Resource Search.
- En el panel izquierdo, bajo la cuenta propietaria de los recursos (el valor predeterminado es Current Account), haga clic en el nombre del resource group deseado.
- En el panel derecho, seleccione el servicio en la nube desde la lista desplegable Select resource types.
- Se mostrarán todos los recursos de ese grupo.
Método 2:
- Inicie sesión en la consola de Resource Management.
- Elija Resource Group > Resource Group.
- Busque el resource group deseado y haga clic en Resource Management en la columna Actions.
- En la página de gestión de recursos, seleccione el servicio en la nube desde la lista desplegable Service.
- Se mostrarán todos los recursos de ese grupo.

¿Cómo traslado varios recursos a otro resource group de forma masiva?

Inicie sesión en la consola de Resource Management.
Elija Resource Group > Resource Group.
Busque el resource group deseado y haga clic en Resource Management en la columna Actions.
En la página de gestión de recursos, utilice condiciones de filtro para localizar los recursos que desea trasladar.
Seleccione la casilla de verificación de cada recurso.
En la parte inferior de la página, haga clic en Transfer.
En el cuadro de diálogo, seleccione el resource group de destino y haga clic en Confirm.