Default roles of ACS - Container Compute Service - Centro de documentación de Alibaba Cloud

Cuando activa Container Compute Service (ACS), el servicio necesita acceder a otros recursos de Alibaba Cloud, como Virtual Private Cloud (VPC), interfaces de red elásticas (ENI), Apsara File Storage NAS (NAS) y Server Load Balancer (SLB). Este acceso es necesario para crear clústeres, gestionar la red y recopilar registros. Para otorgarlo, debe autorizar un conjunto de roles predeterminados del sistema en la cuenta de servicio de ACS.

Este tema describe cada rol predeterminado, los servicios en la nube que abarca y los permisos específicos que otorga.

Permisos de los roles predeterminados

ACS utiliza 15 roles predeterminados. Cada rol tiene un alcance limitado a una función específica del clúster.

Rol	Alcance	Descripción
`AliyunServiceRoleForAcc`	Gestión de clústeres	Rol vinculado al servicio. ACS asume este rol para acceder a los recursos de Container Service for Kubernetes (ACK), Elastic Compute Service (ECS), VPC, SLB y Application Real-Time Monitoring Service (ARMS) durante la gestión de clústeres.
`AliyunCCCSIPluginRole`	Almacenamiento	Los clústeres de ACS asumen este rol para acceder a discos en la nube y a servicios de almacenamiento como NAS.
`AliyunCCCCMServiceRole`	Balanceo de carga	Los clústeres de ACS asumen este rol para crear y gestionar recursos de balanceo de carga, incluidos SLB y Application Load Balancer (ALB), mediante el plugin Cloud Controller Manager (CCM).
`AliyunCCNECRole`	Red	Los clústeres de ACS asumen este rol para acceder a los recursos de red de VPC y ECS, así como para crear y gestionar direcciones IP elásticas (EIP).
`AliyunCCKubernetesAuditRole`	Registros de auditoría	Los clústeres de ACS asumen este rol para acceder a Simple Log Service (SLS) y recopilar los registros de auditoría de Kubernetes.
`AliyunCCManagedLogRole`	Registros de contenedores	Los clústeres de ACS asumen este rol para acceder a SLS y recopilar los registros de los contenedores de ACS.
`AliyunCCManagedArmsRole`	Observability	Los clústeres de ACS asumen este rol para acceder a ARMS, recopilar métricas de recursos de contenedores y monitorear el rendimiento de las aplicaciones.
`AliyunCCCISDefaultRole`	Comprobaciones de estado	Los clústeres de ACS asumen este rol para acceder a los recursos de ECS, ACK, VPC y SLB, además de ejecutar comprobaciones de estado periódicas en los componentes de Kubernetes.
`AliyunCCManagedAcrRole`	Descarga de imágenes	Los clústeres de ACS asumen este rol para acceder a Container Registry (ACR) y obtener credenciales temporales con las que iniciar pods.
`AliyunCCForResourceProviderRole`	Creación de pods	Los clústeres de ACS asumen este rol para acceder a los recursos en la nube al crear pods.
`AliyunCCManagedVirtualNodeRole`	Nodos virtuales	Los clústeres de ACS asumen este rol para acceder a los recursos en la nube al crear nodos virtuales.
`AliyunCCManagedACSBrokerRole`	Operación y mantenimiento de pods	Los clústeres de ACS asumen este rol para acceder a los recursos en la nube al recuperar información de operación y mantenimiento de los pods.
`AliyunCCManagedMseRole`	Malla de servicios	Los clústeres de ACS asumen este rol para acceder a Microservices Engine (MSE) y crear gateways de MSE.
`AliyunCSManagedKubernetesRole`	Plano de control	Los componentes principales del plano de control usan este rol para acceder a ECS, SLB, ALB, CloudMonitor, SLS, Security Center y otros servicios.
`AliyunCSDefaultRole`	Ciclo de vida del clúster	Rol vinculado al servicio de ACK. ACS asume este rol para crear, eliminar y actualizar clústeres de Kubernetes.

AliyunServiceRoleForAcc

Se trata de un rol vinculado al servicio. ACS lo asume para acceder a los recursos de ACK, ECS, VPC, SLB y ARMS durante la gestión de clústeres.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:CreateNetworkInterface`	Crea una ENI.
`ecs:DescribeNetworkInterfaces`	Consulta las ENI.
`ecs:AttachNetworkInterface`	Asocia una ENI a una instancia de ECS conectada a una VPC.
`ecs:DetachNetworkInterface`	Desasocia una ENI de una instancia de ECS.
`ecs:DeleteNetworkInterface`	Elimina una ENI.
`ecs:DescribeInstanceAttribute`	Consulta los atributos de una o varias instancias de ECS.
`ecs:AssignPrivateIpAddresses`	Asigna una o varias direcciones IP privadas secundarias a una ENI.
`ecs:UnassignPrivateIpAddresses`	Desasigna una o varias direcciones IP privadas secundarias de una ENI.
`ecs:DescribeInstances`	Consulta los detalles de una o varias instancias de ECS.
`ecs:DescribeInstanceTypes`	Consulta los detalles de todos los tipos de instancia de ECS o de un tipo específico.
`ecs:AssignIpv6Addresses`	Asigna una o varias direcciones IPv6 a una ENI.
`ecs:UnassignIpv6Addresses`	Desasigna una o varias direcciones IPv6 de una ENI.
`ecs:ModifyNetworkInterfaceAttribute`	Modifica los atributos de una ENI.
`ecs:CreateNetworkInterfacePermission`	Crea un permiso de ENI.
`ecs:DeleteNetworkInterfacePermission`	Elimina un permiso de ENI.
`ecs:DescribeNetworkInterfacePermissions`	Consulta los permisos de ENI.
`ecs:CreateSecurityGroup`	Crea un security group.
`ecs:ModifySecurityGroupEgressRule`	Modifica una regla de salida en un security group.
`ecs:ModifySecurityGroupPolicy`	Modifica la directiva de control de acceso interno de un security group básico.
`ecs:ModifySecurityGroupRule`	Modifica una regla de entrada en un security group.
`ecs:DescribeSecurityGroups`	Consulta la información básica de los security groups.
`ecs:RevokeSecurityGroup`	Revoca una regla de un security group.
`ecs:RevokeSecurityGroupEgress`	Elimina una regla de salida de un security group.
`ecs:DeleteSecurityGroup`	Elimina un security group.
`ecs:DescribeSecurityGroupAttribute`	Consulta las reglas de un security group.
`ecs:AuthorizeSecurityGroup`	Agrega una regla de entrada a un security group.
`ecs:AuthorizeSecurityGroupEgress`	Agrega una regla de salida a un security group.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVSwitches`	Consulta los vSwitches creados.
`vpc:DescribeVpcs`	Consulta las VPC creadas.
`vpc:DescribeVpcAttribute`	Consulta la configuración de una VPC.
`vpc:DescribeVSwitchAttributes`	Consulta la configuración de un vSwitch.

Permisos relacionados con ACK

Permiso (Action)	Descripción
`cs:CreateCluster`	Crea un clúster de Kubernetes.
`cs:CreateClusterByResourcesGroup`	Crea un clúster de Kubernetes en un resource group.
`cs:DeleteCluster`	Elimina un clúster de Kubernetes.
`cs:DescribeClusterDetail`	Consulta los detalles de un clúster de Kubernetes.
`cs:DescribeClusterUserKubeconfig`	Consulta el archivo kubeconfig de un usuario en un clúster de Kubernetes.
`cs:DescribeClusters`	Consulta los clústeres de Kubernetes.
`cs:DescribeClustersV1`	Consulta los clústeres de Kubernetes (API v1).
`cs:DescribeEvents`	Consulta las excepciones del clúster.
`cs:DescribeTaskInfo`	Consulta los detalles de ejecución de una tarea mediante su identificador.
`cs:GetClusters`	Consulta los clústeres de Kubernetes.
`cs:ListTagResources`	Consulta las etiquetas de los recursos de los clústeres por identificador de clúster.
`cs:ModifyCluster`	Modifica la información del clúster.
`cs:ModifyClusterTags`	Modifica las etiquetas del clúster.
`cs:TagResources`	Agrega etiquetas a un clúster.
`cs:UntagResources`	Quita etiquetas de un clúster.

Permisos relacionados con ARMS

Permiso (Action)	Descripción
`arms:InstallManagedPrometheus`	Crea una instancia administrada de Prometheus.
`arms:UnInstallManagedPrometheus`	Elimina una instancia administrada de Prometheus.
`arms:GetManagedPrometheusStatus`	Consulta el estado de una instancia administrada de Prometheus.

Permisos relacionados con SLB

Permiso (Action)	Descripción
`slb:AddBackendServers`	Agrega servidores de backend a una instancia de SLB.
`slb:RemoveBackendServers`	Quita servidores de backend de una instancia de SLB.
`slb:DescribeLoadBalancerAttribute`	Consulta los detalles de una instancia de SLB.
`slb:SetLoadBalancerTCPListenerAttribute`	Modifica la configuración de un listener TCP.
`slb:DescribeLoadBalancers`	Consulta las instancias de SLB creadas.

AliyunCCCSIPluginRole

Los clústeres de ACS asumen este rol para acceder a discos en la nube y a servicios de almacenamiento como NAS.

Permisos relacionados con EBS

Permiso (Action)	Descripción
`ebs:CreateContainerDisk`	Crea un disco en la nube.
`ebs:DescribeContainerDisks`	Consulta los discos en la nube.
`ebs:GetContainerDisk`	Consulta un disco en la nube.
`ebs:DeleteContainerDisk`	Elimina un disco en la nube.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:AttachDisk`	Asocia un disco en la nube a una instancia de ECS.
`ecs:DetachDisk`	Desasocia un disco en la nube de una instancia de ECS.
`ecs:DescribeDisks`	Consulta los discos en la nube.
`ecs:CreateDisk`	Crea un disco en la nube.
`ecs:DeleteDisk`	Elimina un disco en la nube.
`ecs:AddTags`	Agrega etiquetas a un disco en la nube.
`ecs:RemoveTags`	Quita etiquetas de un disco en la nube.
`ecs:DescribeTags`	Consulta las etiquetas disponibles.
`ecs:DescribeInstances`	Consulta los detalles de una o varias instancias de ECS.

Permisos relacionados con NAS

Permiso (Action)	Descripción
`nas:CreateFileSystem`	Crea un sistema de archivos.
`nas:CreateMountTarget`	Crea un destino de montaje en un sistema de archivos.
`nas:DeleteFileSystem`	Elimina un sistema de archivos.
`nas:DeleteMountTarget`	Elimina un destino de montaje de un sistema de archivos.
`nas:DescribeFileSystems`	Consulta la información del sistema de archivos.
`nas:DescribeMountTargets`	Consulta los destinos de montaje de un sistema de archivos.
`nas:ModifyFileSystem`	Modifica la descripción de un sistema de archivos.
`nas:ModifyMountTarget`	Modifica la descripción de un destino de montaje.
`nas:AddTags`	Agrega etiquetas a un sistema de archivos.
`nas:DescribeTags`	Consulta las etiquetas disponibles.
`nas:RemoveTags`	Quita etiquetas de un sistema de archivos.
`nas:EnableRecycleBin`	Habilita la papelera de reciclaje en un sistema de archivos.
`nas:GetRecycleBinAttribute`	Consulta la configuración de la papelera de reciclaje de un sistema de archivos NAS de uso general.
`nas:SetDirQuota`	Crea una cuota de directorio para un sistema de archivos.
`nas:DescribeDirQuotas`	Consulta las cuotas de directorio de un sistema de archivos.

AliyunCCCCMServiceRole

Los clústeres de ACS asumen este rol para crear y gestionar recursos de balanceo de carga, como SLB y ALB, mediante el plugin Cloud Controller Manager (CCM).

Permisos relacionados con SLB

Permiso (Action)	Descripción
`slb:AddBackendServers`	Agrega servidores de backend a una instancia de SLB.
`slb:AddTags`	Agrega etiquetas a una instancia de SLB.
`slb:AddVServerGroupBackendServers`	Agrega servidores de backend a un grupo de vServer.
`slb:CreateLoadBalancer`	Crea una instancia de SLB.
`slb:CreateLoadBalancerHTTPListener`	Crea un listener HTTP para una instancia de SLB.
`slb:CreateLoadBalancerHTTPSListener`	Crea un listener HTTPS para una instancia de SLB.
`slb:CreateLoadBalancerTCPListener`	Crea un listener TCP para una instancia de SLB.
`slb:CreateLoadBalancerUDPListener`	Crea un listener UDP para una instancia de SLB.
`slb:CreateVServerGroup`	Crea un grupo de vServer y le agrega servidores de backend.
`slb:DeleteLoadBalancer`	Elimina una instancia de SLB de pago por uso.
`slb:DeleteLoadBalancerListener`	Elimina un listener de una instancia de SLB.
`slb:DeleteVServerGroup`	Elimina un grupo de vServer.
`slb:DescribeLoadBalancerAttribute`	Consulta los detalles de una instancia de SLB.
`slb:DescribeLoadBalancerHTTPListenerAttribute`	Consulta la configuración de un listener HTTP.
`slb:DescribeLoadBalancerHTTPSListenerAttribute`	Consulta la configuración de un listener HTTPS.
`slb:DescribeLoadBalancerListeners`	Consulta los listeners de una instancia de SLB.
`slb:DescribeLoadBalancerTCPListenerAttribute`	Consulta la configuración de un listener TCP.
`slb:DescribeLoadBalancerUDPListenerAttribute`	Consulta la configuración de un listener UDP.
`slb:DescribeLoadBalancers`	Consulta las instancias de SLB creadas.
`slb:DescribeTags`	Consulta las etiquetas disponibles.
`slb:DescribeVServerGroupAttribute`	Consulta los detalles de un grupo de vServer.
`slb:DescribeVServerGroups`	Consulta los grupos de vServer.
`slb:ModifyLoadBalancerInstanceSpec`	Modifica las especificaciones de una instancia de SLB.
`slb:ModifyLoadBalancerInternetSpec`	Modifica el método de facturación de una instancia de SLB orientada a Internet.
`slb:ModifyVServerGroupBackendServers`	Reemplaza los servidores de backend de un grupo de vServer.
`slb:RemoveBackendServers`	Quita servidores de backend de una instancia de SLB.
`slb:RemoveTags`	Quita etiquetas de una instancia de SLB.
`slb:RemoveVServerGroupBackendServers`	Quita servidores de backend de un grupo de vServer.
`slb:SetLoadBalancerDeleteProtection`	Habilita o deshabilita la protección contra eliminación en una instancia de SLB.
`slb:SetLoadBalancerHTTPListenerAttribute`	Modifica la configuración de un listener HTTP.
`slb:SetLoadBalancerHTTPSListenerAttribute`	Modifica la configuración de un listener HTTPS.
`slb:SetLoadBalancerModificationProtection`	Establezca el estado de protección contra modificaciones de una instancia de SLB.
`slb:SetLoadBalancerName`	Cambia el nombre de una instancia de SLB.
`slb:SetLoadBalancerTCPListenerAttribute`	Modifica la configuración de un listener TCP.
`slb:SetLoadBalancerUDPListenerAttribute`	Modifica la configuración de un listener UDP.
`slb:SetVServerGroupAttribute`	Modifica la configuración de un grupo de vServer.
`slb:StartLoadBalancerListener`	Inicia un listener.
`slb:StopLoadBalancerListener`	Detiene un listener.

Permisos relacionados con ALB

Permiso (Action)	Descripción
`alb:AddServersToServerGroup`	Agrega servidores de backend a un grupo de servidores.
`alb:AssociateAdditionalCertificatesWithListener`	Asocia certificados adicionales a un listener.
`alb:CreateListener`	Crea un listener HTTP, HTTPS o QUIC.
`alb:CreateLoadBalancer`	Crea una instancia de ALB.
`alb:CreateRule`	Crea una regla de reenvío para un listener.
`alb:CreateRules`	Crea varias reglas de reenvío.
`alb:CreateServerGroup`	Crea un grupo de servidores.
`alb:DeleteListener`	Elimina un listener.
`alb:DeleteLoadBalancer`	Elimina una instancia de ALB.
`alb:DeleteRule`	Elimina una regla de reenvío.
`alb:DeleteRules`	Elimina varias reglas de reenvío de un listener.
`alb:DeleteServerGroup`	Elimina un grupo de servidores.
`alb:DescribeZones`	Consulta las zonas de una región.
`alb:DisableDeletionProtection`	Deshabilita la protección contra eliminación en una instancia de ALB.
`alb:DisableLoadBalancerAccessLog`	Deshabilita la función de registro de accesos en una instancia de ALB.
`alb:DissociateAdditionalCertificatesFromListener`	Desasocia certificados adicionales de un listener.
`alb:EnableDeletionProtection`	Habilita la protección contra eliminación en un recurso.
`alb:EnableLoadBalancerAccessLog`	Habilita la función de registro de accesos en una instancia de ALB.
`alb:GetListenerAttribute`	Consulta los detalles de un listener.
`alb:GetLoadBalancerAttribute`	Consulta los detalles de una instancia de ALB.
`alb:ListListenerCertificates`	Consulta los certificados asociados a un listener, incluidos los adicionales y el predeterminado.
`alb:ListListeners`	Consulta los listeners de una región.
`alb:ListLoadBalancers`	Consulta las instancias de ALB de una región.
`alb:ListRules`	Consulta las reglas de reenvío de una región.
`alb:ListServerGroupServers`	Consulta los servidores de un grupo de servidores.
`alb:ListServerGroups`	Consulta los grupos de servidores de una región.
`alb:RemoveServersFromServerGroup`	Quita servidores de backend de un grupo de servidores.
`alb:ReplaceServersInServerGroup`	Reemplaza los servidores de backend de un grupo de servidores.
`alb:TagResources`	Agrega etiquetas a los recursos.
`alb:UnTagResources`	Quita etiquetas de los recursos.
`alb:UpdateListenerAttribute`	Actualiza la configuración del listener, como el nombre y la acción predeterminada.
`alb:UpdateLoadBalancerAttribute`	Actualiza los atributos de la instancia de ALB, como el nombre y el modo de solo lectura.
`alb:UpdateLoadBalancerEdition`	Cambia la edición de una instancia de ALB.
`alb:UpdateRuleAttribute`	Actualiza la configuración de la regla de reenvío, como las condiciones, las acciones y el nombre.
`alb:UpdateRulesAttribute`	Actualiza la configuración de varias reglas de reenvío.
`alb:UpdateServerGroupAttribute`	Actualiza la configuración del grupo de servidores, como los ajustes de comprobación de estado, la persistencia de sesiones, los algoritmos de programación y los protocolos.
`alb:CreateAcl`	Crea una lista de control de acceso (ACL).
`alb:DeleteAcl`	Elimina una ACL.
`alb:ListAcls`	Consulta las ACL de una región.
`alb:AddEntriesToAcl`	Agrega entradas de direcciones IP a una ACL.
`alb:AssociateAclsWithListener`	Asocia ACL a un listener.
`alb:ListAclEntries`	Consulta las entradas de una ACL.
`alb:RemoveEntriesFromAcl`	Quita entradas de una ACL.
`alb:DissociateAclsFromListener`	Desasocia ACL de un listener.
`alb:EnableLoadBalancerIpv6Internet`	Cambia la dirección IPv6 privada de una instancia de ALB de doble pila por una dirección IPv6 pública.
`alb:DisableLoadBalancerIpv6Internet`	Cambia la dirección IPv6 pública de una instancia de ALB de doble pila por una dirección IPv6 privada.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:DescribeNetworkInterfaces`	Consulta los detalles de una o varias ENI.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVSwitches`	Consulta los vSwitches disponibles que se usan para la red interna.
`vpc:DescribeVpcs`	Consulta las VPC creadas.

Permisos relacionados con RAM

Permiso (Action)	Descripción
`ram:CreateServiceLinkedRole`	Crea un rol vinculado al servicio.

AliyunCCNECRole

Los clústeres de ACS asumen este rol para acceder a los recursos de red de VPC y ECS, así como para crear y gestionar EIP.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVSwitches`	Consulta los vSwitches disponibles que se usan para la red interna.
`vpc:AllocateEipAddress`	Asigna una EIP.
`vpc:AllocateEipAddressPro`	Asigna una EIP específica.
`vpc:DescribeEipAddresses`	Consulta las EIP creadas en una región.
`vpc:AssociateEipAddress`	Asocia una EIP a una instancia de la misma región.
`vpc:UnassociateEipAddress`	Desasocia una EIP de un recurso en la nube.
`vpc:ReleaseEipAddress`	Libera una EIP.
`vpc:ModifyEipAddressAttribute`	Modifica el nombre, la descripción y el ancho de banda máximo de una EIP.
`vpc:AddCommonBandwidthPackageIp`	Asocia una EIP a un plan de ancho de banda de EIP.
`vpc:RemoveCommonBandwidthPackageIp`	Desasocia una EIP de un plan de ancho de banda de EIP.
`vpc:TagResources`	Crea recursos y les agrega etiquetas.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:DescribeNetworkInterfaces`	Consulta los detalles de una o varias ENI.

AliyunCCKubernetesAuditRole

Los clústeres de ACS asumen este rol para acceder a SLS y recopilar los registros de auditoría de Kubernetes. Todos los permisos de este rol son obligatorios para crear y gestionar los proyectos de SLS, los logstores y las configuraciones de Logtail que se utilizan en la recopilación y visualización de los registros de auditoría.

Permiso (Action)	Descripción
`log:CreateProject`	Crea un proyecto.
`log:GetProject`	Consulta un proyecto por su nombre.
`log:DeleteProject`	Elimina un proyecto.
`log:CreateLogStore`	Crea un logstore en un proyecto.
`log:GetLogStore`	Consulta los atributos de un logstore.
`log:UpdateLogStore`	Actualiza los atributos de un logstore.
`log:DeleteLogStore`	Elimina un logstore.
`log:CreateConfig`	Crea una configuración de Logtail.
`log:UpdateConfig`	Actualiza una configuración de Logtail.
`log:GetConfig`	Consulta los detalles de una configuración de Logtail.
`log:DeleteConfig`	Elimina una configuración de Logtail.
`log:CreateMachineGroup`	Crea un grupo de máquinas para aplicar configuraciones de Logtail.
`log:UpdateMachineGroup`	Actualiza un grupo de máquinas.
`log:GetMachineGroup`	Consulta la información de un grupo de máquinas.
`log:DeleteMachineGroup`	Elimina un grupo de máquinas.
`log:ApplyConfigToGroup`	Aplica una configuración de Logtail a un grupo de máquinas.
`log:GetAppliedMachineGroups`	Consulta las máquinas de un grupo de máquinas.
`log:GetAppliedConfigs`	Consulta las configuraciones de Logtail aplicadas a un grupo de máquinas.
`log:RemoveConfigFromMachineGroup`	Quita configuraciones de Logtail de un grupo de máquinas.
`log:CreateIndex`	Crea índices para un logstore.
`log:GetIndex`	Consulta los índices de un logstore.
`log:UpdateIndex`	Actualiza los índices de un logstore.
`log:DeleteIndex`	Quita índices de un logstore.
`log:CreateSavedSearch`	Crea una búsqueda guardada.
`log:GetSavedSearch`	Consulta una búsqueda guardada.
`log:UpdateSavedSearch`	Actualiza una búsqueda guardada.
`log:DeleteSavedSearch`	Elimina una búsqueda guardada.
`log:CreateDashboard`	Crea un panel.
`log:GetDashboard`	Consulta un panel.
`log:UpdateDashboard`	Actualiza un panel.
`log:DeleteDashboard`	Elimina un panel.
`log:CreateJob`	Crea una tarea, como una alerta o una tarea de suscripción.
`log:GetJob`	Consulta una tarea.
`log:DeleteJob`	Elimina una tarea.
`log:UpdateJob`	Actualiza una tarea.
`log:PostLogStoreLogs`	Escribe registros en un logstore.

AliyunCCManagedLogRole

Los clústeres de ACS asumen este rol para recopilar y mostrar los registros de los contenedores de ACS mediante SLS.

Permisos relacionados con SLS

Permiso (Action)	Descripción
`log:CreateProject`	Crea un proyecto.
`log:GetProject`	Consulta un proyecto por su nombre.
`log:DeleteProject`	Elimina un proyecto.
`log:CreateLogStore`	Crea un logstore en un proyecto.
`log:GetLogStore`	Consulta los atributos de un logstore.
`log:UpdateLogStore`	Actualiza los atributos de un logstore.
`log:DeleteLogStore`	Elimina un logstore.
`log:CreateConfig`	Crea una configuración de Logtail.
`log:UpdateConfig`	Actualiza una configuración de Logtail.
`log:GetConfig`	Consulta los detalles de una configuración de Logtail.
`log:DeleteConfig`	Elimina una configuración de Logtail.
`log:CreateMachineGroup`	Crea un grupo de máquinas para aplicar configuraciones de Logtail.
`log:UpdateMachineGroup`	Actualiza un grupo de máquinas.
`log:GetMachineGroup`	Consulta la información de un grupo de máquinas.
`log:DeleteMachineGroup`	Elimina un grupo de máquinas.
`log:ApplyConfigToGroup`	Aplica una configuración de Logtail a un grupo de máquinas.
`log:GetAppliedMachineGroups`	Consulta las máquinas a las que se aplica una configuración de Logtail.
`log:GetAppliedConfigs`	Consulta las configuraciones de Logtail aplicadas a un grupo de máquinas.
`log:RemoveConfigFromMachineGroup`	Quita configuraciones de Logtail de un grupo de máquinas.
`log:CreateIndex`	Crea índices para un logstore.
`log:GetIndex`	Consulta los índices de un logstore.
`log:UpdateIndex`	Actualiza los índices de un logstore.
`log:DeleteIndex`	Quita índices de un logstore.
`log:CreateSavedSearch`	Crea una búsqueda guardada.
`log:GetSavedSearch`	Consulta una búsqueda guardada.
`log:UpdateSavedSearch`	Actualiza una búsqueda guardada.
`log:DeleteSavedSearch`	Elimina una búsqueda guardada.
`log:CreateDashboard`	Crea un panel.
`log:GetDashboard`	Consulta un panel.
`log:UpdateDashboard`	Actualiza un panel.
`log:DeleteDashboard`	Elimina un panel.
`log:CreateJob`	Crea una tarea, como una alerta o una tarea de suscripción.
`log:GetJob`	Consulta una tarea.
`log:DeleteJob`	Elimina una tarea.
`log:UpdateJob`	Actualiza una tarea.
`log:PostLogStoreLogs`	Escribe registros en un logstore.
`log:CreateSortedSubStore`	Crea un sub-logstore ordenado.
`log:GetSortedSubStore`	Consulta un sub-logstore ordenado.
`log:ListSortedSubStore`	Enumera los sub-logstores ordenados.
`log:UpdateSortedSubStore`	Actualiza un sub-logstore ordenado.
`log:DeleteSortedSubStore`	Elimina un sub-logstore ordenado.
`log:CreateApp`	Crea una aplicación de SLS, como Cost Manager o Log Audit Service.
`log:UpdateApp`	Actualiza una aplicación de SLS.
`log:GetApp`	Consulta una aplicación de SLS.
`log:DeleteApp`	Elimina una aplicación de SLS.
`cs:DescribeTemplates`	Consulta las plantillas de contenedores.
`cs:DescribeTemplateAttribute`	Consulta los atributos de una plantilla de contenedores.

Permisos relacionados con ACK

Permiso (Action)	Descripción
`cs:UpdateContactGroup`	Actualiza un grupo de contactos de alertas.
`cs:DescribeTemplates`	Consulta todas las plantillas de orquestación.
`cs:DescribeTemplateAttribute`	Consulta los detalles de una plantilla de orquestación.

AliyunCCManagedArmsRole

Los clústeres de ACS asumen este rol para acceder a ARMS, recopilar métricas de recursos de contenedores y monitorear el rendimiento de las aplicaciones. Con este rol, el clúster puede crear y gestionar instancias de monitoreo de Prometheus, configurar reglas de alerta y administrar los contactos de alerta.

Permisos relacionados con ARMS

Permiso (Action)	Descripción
`arms:CreateApp`	Crea una tarea de monitoreo de aplicaciones.
`arms:DeleteApp`	Elimina una tarea de monitoreo de aplicaciones.
`arms:ConfigAgentLabel`	Modifica las etiquetas del agente de monitoreo de aplicaciones.
`arms:GetAssumeRoleCredentials`	Consulta la clave obligatoria para que un usuario de RAM asuma un rol de RAM durante el monitoreo de aplicaciones.
`arms:CreateProm`	Crea una tarea de monitoreo basada en Managed Service for Prometheus.
`arms:SearchEvents`	Consulta los eventos de alerta.
`arms:SearchAlarmHistories`	Consulta el historial de envío de alertas.
`arms:SearchAlertRules`	Consulta las reglas de alerta.
`arms:GetAlertRules`	Recupera las reglas de alerta.
`arms:CreateAlertRules`	Crea reglas de alerta.
`arms:UpdateAlertRules`	Actualiza las reglas de alerta.
`arms:StartAlertRule`	Habilita una regla de alerta.
`arms:StopAlertRule`	Deshabilita una regla de alerta.
`arms:CreateContact`	Crea un contacto de alerta.
`arms:SearchContact`	Consulta un contacto de alerta.
`arms:UpdateContact`	Actualiza un contacto de alerta.
`arms:CreateContactGroup`	Crea un grupo de contactos de alertas.
`arms:SearchContactGroup`	Consulta un grupo de contactos de alertas.
`arms:UpdateContactGroup`	Actualiza un grupo de contactos de alertas.

Permisos relacionados con Xtrace

Permiso (Action)	Descripción
`xtrace:GetToken`

AliyunCCCISDefaultRole

Los clústeres de ACS asumen este rol para acceder a los recursos de ECS, ACK, VPC y SLB. También lo utilizan para ejecutar comprobaciones de estado periódicas en los componentes de Kubernetes. Este rol permite que el servicio de inspección de clústeres (CIS) consulte el estado de las instancias, ejecute comandos de diagnóstico mediante Cloud Assistant y compruebe la configuración de red y del balanceador de carga.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:DescribeInstances`	Consulta los detalles de una o más instancias de ECS.
`ecs:DescribeInstanceStatus`	Consulta el estado de varias instancias de ECS.
`ecs:DescribeInstanceTypes`	Consulta los detalles de todos los tipos de instancia de ECS o de un tipo específico.
`ecs:DescribeInstanceTypeFamilies`	Consulta las familias de instancias de ECS.
`ecs:DescribeInstanceAttribute`	Consulta los detalles de una instancia de ECS.
`ecs:DescribeDiagnosticReports`	Consulta los informes de diagnóstico de recursos.
`ecs:DescribeDiagnosticReportAttributes`	Consulta los detalles de un informe de diagnóstico de recursos.
`ecs:DescribeDiagnosticMetricSets`	Consulta los conjuntos de métricas de diagnóstico.
`ecs:DescribeDiagnosticMetrics`	Consulta las métricas de diagnóstico.
`ecs:DescribeSecurityGroupAttribute`	Consulta las reglas de un security group.
`ecs:DescribeSecurityGroups`	Consulta la información básica de los security groups.
`ecs:DescribeSecurityGroupReferences`	Comprueba si otros security groups hacen referencia a un security group.
`ecs:DescribeBandwidthLimitation`	Consulta el ancho de banda público máximo disponible para distintos tipos de instancia.
`ecs:DescribeCloudAssistantStatus`	Comprueba si Cloud Assistant Agent está instalado en una o más instancias de ECS y obtiene estadísticas de ejecución de comandos.
`ecs:DescribeCommands`	Consulta los comandos de Cloud Assistant.
`ecs:DescribeInvocationResults`	Consulta el resultado de ejecutar uno o más comandos de Cloud Assistant en una instancia de ECS.
`ecs:CreateCommand`	Crea un comando de Cloud Assistant.
`ecs:InvokeCommand`	Ejecuta un comando de Cloud Assistant en una o más instancias de ECS.
`ecs:StopInvocation`	Detiene la ejecución de un comando de Cloud Assistant en una o más instancias de ECS.
`ecs:CreateDiagnosticReport`	Crea un informe de diagnóstico de recursos.
`ecs:DescribeNetworkInterfaces`	Consulta los detalles de una o más ENI.
`ecs:RunCommand`	Ejecuta un script de shell, PowerShell o por lotes en una o más instancias de ECS.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVpcs`	Consulta las VPC creadas.
`vpc:DescribeVpcAttribute`	Consulta la configuración de una VPC.
`vpc:DescribeVSwitches`	Consulta los vSwitches disponibles que se usan para la red interna.
`vpc:DescribeVSwitchAttributes`	Consulta la configuración de un vSwitch.
`vpc:DescribeRouteTableList`	Consulta las tablas de rutas.
`vpc:DescribeRouteEntryList`	Consulta las entradas de ruta.
`vpc:DescribeNatGateways`	Consulta las puertas de enlace NAT de una región.
`vpc:DescribeRouteTables`	Consulta las tablas de rutas.
`vpc:DescribeSnatTableEntries`	Consulta las entradas de la tabla SNAT.
`vpc:DescribeNetworkAcls`	Consulta las ACL de red.
`vpc:DescribeNetworkAclAttributes`	Consulta los detalles de una ACL de red.
`vpc:DescribeEipAddresses`	Consulta las EIP creadas en una región.

Permisos relacionados con SLB

Permiso (Action)	Descripción
`slb:DescribeLoadBalancers`	Consulta las instancias de SLB creadas.
`slb:DescribeLoadBalancerAttribute`	Consulta los detalles de una instancia de SLB.
`slb:DescribeVServerGroups`	Consulta los grupos de vServer.
`slb:DescribeVServerGroupAttribute`	Consulta los detalles de un grupo de vServer.
`slb:DescribeLoadBalancerTCPListenerAttribute`	Consulta la configuración de un listener TCP.
`slb:DescribeLoadBalancerUDPListenerAttribute`	Consulta la configuración de un listener UDP.
`slb:DescribeAccessControlLists`	Consulta las ACL de red creadas.
`slb:DescribeAccessControlListAttribute`	Consulta la configuración de una ACL de red.
`slb:DescribeLoadBalancerListeners`	Consulta los listeners de una instancia de SLB.
`slb:DescribeHealthStatus`	Consulta el estado de salud de los servidores de backend.

Permisos relacionados con SLS

Permiso (Action)	Descripción
`sls:GetLogStore`	Consulta los detalles de un logstore.

Permisos relacionados con ATP

Permiso (Action)	Descripción
`grace:GetFile`	Consulta la información de un archivo.
`grace:AnalyzeFile`	Analiza un archivo.
`grace:UploadFileByOSS`	Sube archivos mediante Object Storage Service (OSS).
`grace:UploadFileByURL`	Sube archivos al especificar direcciones URL.

Permisos relacionados con CloudMonitor

Permiso (Action)	Descripción
`cms:DescribeMetricData`	Consulta los datos de monitoreo de una métrica de un servicio en la nube.
`cms:DescribeMetricLast`	Consulta los datos de monitoreo más recientes de una métrica.
`cms:DescribeMetricMetaList`	Consulta los detalles de las métricas compatibles en CloudMonitor.
`cms:DescribeMetricTop`	Consulta y clasifica los datos de monitoreo más recientes de una métrica.
`cms:QueryMetricMeta`	Consulta las descripciones de las métricas de series temporales compatibles en CloudMonitor.
`cms:QueryMetricTop`	Consulta las métricas principales.
`cms:ListMetricMeta`	Enumera las métricas del origen de datos.
`cms:QueryMetricData`	Consulta los datos de monitoreo de una métrica de series temporales en un periodo determinado.
`cms:QueryMetricLast`	Consulta los datos de monitoreo más recientes de una métrica.
`cms:DescribeMetricList`	Consulta los datos de monitoreo de una métrica de un servicio de Alibaba Cloud.
`cms:QueryMetricList`	Consulta los datos de monitoreo de instancias o clústeres de un servicio específico durante un periodo.
`cms:DescribeAlertLogList`	Consulta los registros de alertas del último año.
`cms:DescribeSystemEventAttribute`	Consulta los detalles de un evento del sistema.

Permisos relacionados con ACK

Permiso (Action)	Descripción
`cs:DescribeClusterDetail`	Consulta los detalles de un clúster mediante su identificador.
`cs:DescribeClusterResources`	Consulta todos los recursos de un clúster mediante su identificador.
`cs:DescribeTaskInfo`	Consulta los detalles de ejecución de una tarea mediante su identificador.
`cs:DescribeClusterAddonsUpgradeStatus`	Consulta el progreso de actualización de un componente mediante su nombre.

Permisos relacionados con cuotas de recursos

Permiso (Action)	Descripción
`quotas:ListProducts`	Consulta los servicios de Alibaba Cloud compatibles con Quota Center.
`quotas:ListProductQuotas`	Consulta las cuotas de un servicio de Alibaba Cloud.
`quotas:ListProductQuotaDimensions`	Consulta las dimensiones de cuota compatibles con un servicio de Alibaba Cloud.
`quotas:GetProductQuota`	Consulta los detalles de una cuota.
`quotas:GetProductQuotaDimension`	Consulta los detalles de una dimensión de cuota.

Permisos relacionados con RAM

Permiso (Action)	Descripción
`ram:CreateServiceLinkedRole`	Crea un rol vinculado a un servicio.

AliyunCCManagedAcrRole

Los clústeres de ACS asumen este rol para acceder a Container Registry (ACR) y obtener credenciales temporales, es decir, un par de nombre de usuario y contraseña. Estas credenciales se utilizan para extraer imágenes al iniciar pods.

Permisos relacionados con CR

Permiso (Action)	Descripción
`cr:GetAuthorizationToken`	Obtiene credenciales temporales para iniciar sesión en una instancia de Container Registry.
`cr:ListInstanceEndpoint`	Consulta los endpoints de una instancia de Container Registry.

AliyunCCForResourceProviderRole

Los clústeres de ACS asumen este rol para acceder a los recursos en la nube cuando crean pods. Gracias a este rol, el clúster puede gestionar las ENI y los discos en la nube necesarios para la red y el almacenamiento de los pods.

Permisos relacionados con ECS

Permiso (Action)	Descripción
`ecs:CreateNetworkInterfacePermission`	Crea un permiso de ENI.
`ecs:DeleteNetworkInterfacePermission`	Elimina un permiso de ENI.
`ecs:CreateNetworkInterface`	Crea una ENI.
`ecs:DeleteNetworkInterface`	Elimina una ENI.
`ecs:DescribeSecurityGroups`	Consulta la información básica de los security groups.
`ecs:DescribeNetworkInterfaces`	Consulta las ENI.
`ecs:CreateDisk`	Crea un disco en la nube.
`ecs:DescribeDisks`	Consulta los discos en la nube.
`ecs:AttachDisk`	Asocia un disco en la nube a una instancia de ECS.
`ecs:DetachDisk`	Desasocia un disco en la nube de una instancia de ECS.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVSwitches`	Consulta los vSwitches creados.
`vpc:DescribeVpcs`	Consulta las VPC creadas.
`vpc:AllocateEipAddress`	Asigna una EIP.
`vpc:AssociateEipAddress`	Asocia una EIP con una instancia de la misma región.
`vpc:UnassociateEipAddress`	Desasocia una EIP de un recurso en la nube.
`vpc:ReleaseEipAddress`	Libera una EIP.

AliyunCCManagedVirtualNodeRole

Los clústeres de ACS asumen este rol para acceder a los recursos en la nube cuando crean nodos virtuales. Este rol permite que el controlador de nodos virtuales gestione los registros DNS de zona privada y la configuración de los vSwitches necesarios para la red de dichos nodos.

Permisos relacionados con PVTZ

Permiso (Action)	Descripción
`pvtz:AddZone`	Agrega una zona privada.
`pvtz:DeleteZone`	Elimina una zona privada.
`pvtz:DescribeZones`	Consulta las zonas privadas.
`pvtz:BindZoneVpc`	Asocia una zona privada con una VPC.
`pvtz:AddZoneRecord`	Agrega un registro DNS.
`pvtz:DeleteZoneRecord`	Elimina un registro DNS.
`pvtz:DescribeZoneRecords`	Consulta los registros DNS.

Permisos relacionados con VPC

Permiso (Action)	Descripción
`vpc:DescribeVSwitches`	Consulta los vSwitches creados.

AliyunCSDefaultRole

Este es un rol vinculado a un servicio de ACK. ACS asume este rol para crear, eliminar y actualizar clústeres de Kubernetes.

Para obtener más información sobre este rol, consulte ACK roles.