De forma predeterminada, el rol Resource Access Management (RAM) de worker de los clústeres administrados de Container Service for Kubernetes (ACK) cuenta con permisos limitados. A partir del 17 de julio de 2023, ACK revocará gradualmente los permisos otorgados al rol RAM de worker en clústeres administrados para mejorar la seguridad de los nodos.
Versiones afectadas
Los clústeres administrados de ACK, incluidos los clústeres estándar de ACK y los clústeres ACK Pro, creados a partir del 17 de julio de 2023 con versión 1.22.15-aliyun.1 o posterior.
Los siguientes clústeres no se ven afectados:
Clústeres creados antes del 17 de julio de 2023.
Clústeres cuya versión es anterior a 1.22.15-aliyun.1.
Clústeres creados por cuentas de Alibaba Cloud que no son elegibles para esta actualización.
Impacto
Antes de la actualización, el rol RAM de worker de los clústeres administrados de ACK tiene permisos limitados de forma predeterminada.
Después de la actualización, no se otorga ningún permiso al rol RAM de worker de los nuevos clústeres administrados de ACK de forma predeterminada.
Si su aplicación necesita acceder a OpenAPI de Alibaba Cloud desde el clúster de ACK, le recomendamos utilizar la función RAM Roles for Service Accounts (RRSA) para obtener las credenciales de acceso a OpenAPI Explorer. Para más información, consulte Use RRSA for pod-level access control.
Si su aplicación depende del rol RAM de worker, otorgue manualmente los permisos necesarios al rol RAM de worker. Para más información, consulte la sección Grant permissions to the worker RAM role de este tema.
Si desea instalar el componente aliyun-acr-credential-helper en un clúster recién creado, asegúrese de instalar la versión más reciente del componente.
Otorgar permisos al rol RAM de worker
Paso 1: Crear una política personalizada
Para más información sobre cómo crear una política personalizada, consulte Create a custom policy.
Paso 2: Adjuntar la política personalizada al rol RAM de worker
Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Clusters.
En la página Clusters, localice el clúster que desea gestionar y haga clic en su nombre.
En la página que aparece, haga clic en la pestaña Basic Information. En la pestaña Basic Information, haga clic en el hipervínculo junto al campo Worker RAM Role para iniciar sesión en la consola de RAM.
En la pestaña Permissions, haga clic en Grant Permission. En la sección Policy del panel Grant Permission, seleccione Custom Policy en la lista desplegable y elija la política personalizada que creó en el paso anterior.
Haga clic en Grant permissions.
Haga clic en Close.