Container Compute Service:Configure RBAC permissions for a RAM user or RAM role

Descripción general

Otorgar permisos RBAC a usuarios o roles de RAM

1. Inicie sesión en la consola de ACS. En el panel de navegación izquierdo, seleccione Authorizations.

2. En la página Authorizations, configure los permisos del usuario o rol de RAM.

   Importante

   Los clústeres de ACS son un tipo de clúster serverless de ACK. Si ya otorgó permisos RBAC para "All Clusters" a un usuario o rol de RAM en la consola de ACK, dichos permisos se aplican automáticamente a los clústeres de ACS. No es posible otorgar permisos independientes para los clústeres de ACS desde la consola de ACS, ya que heredan la directiva "All Clusters".

   1. Para autorizar a un usuario de RAM:

      En la pestaña RAM Users, busque el usuario de RAM destino y haga clic en Modify Permissions en la columna Actions. Esto abre el panel Permission Management.

   2. Para autorizar a un rol de RAM:

      Haga clic en la pestaña RAM Roles. Introduzca el nombre del rol de RAM y haga clic en Modify Permissions para abrir el panel Permission Management.

3. En el panel Permission Management, haga clic en + Add Permissions. Configure los ajustes de permiso del usuario o rol de RAM destino en los niveles de Clusters y Namespace, seleccione un rol predefinido y, a continuación, haga clic en Submit.

   Rol predefinido	Permisos RBAC dentro del clúster
   Administrator	Permisos de lectura y escritura para todos los recursos en todos los namespaces.
   O&M Engineer	Permisos de lectura y escritura para los recursos de Kubernetes visibles en la consola en todos los namespaces, además de permisos de solo lectura para volúmenes persistentes, namespaces y cuotas.
   Developer	Permisos de lectura y escritura para los recursos de Kubernetes visibles en la consola dentro de todos los namespaces o de los seleccionados.
   Restricted User	Permisos de solo lectura para los recursos de Kubernetes visibles en la consola dentro de todos los namespaces o de los seleccionados.
   Custom	El rol de clúster seleccionado determina los permisos. Para evitar otorgar permisos no deseados, revise los permisos del rol de clúster antes de asignarlo a un usuario o rol de RAM. Para consultar las instrucciones sobre cómo ver los permisos personalizados, expanda la siguiente sección. Importante Un usuario o rol de RAM con el permiso cluster-admin tiene privilegios de superadministrador dentro del clúster, equivalentes a los de una cuenta de Alibaba Cloud. Este rol proporciona acceso sin restricciones a todos los recursos del clúster. Asigne este rol con extrema precaución.

4. Una vez completada la configuración, inicie sesión en la consola de ACS con el usuario o rol de RAM destino para ejecutar operaciones.

   Nota

   • Asegúrese de que el usuario o rol de RAM cuente con los permisos de RAM obligatorios para el clúster y de que también se le haya otorgado el rol RBAC Administrator o cluster-admin. Para más información, consulte Grant RAM permissions to a RAM user or RAM role.

   • ACS proporciona cuatro roles predefinidos estándar: Administrator, O&M Engineer, Developer y Restricted User. Estos roles cubren la mayoría de los requisitos de control de acceso. Si necesita definir permisos más específicos, utilice la función del rol Custom.

   • Es posible asignar un rol predefinido y varios roles personalizados a un usuario o rol de RAM para un clúster o namespace específico.

   • Si desea otorgar permisos para todos los clústeres de una sola vez, de modo que los clústeres nuevos los hereden automáticamente, seleccione All Clusters en la lista desplegable Clusters.

   Ver permisos personalizados

   1. Haga clic en Custom y luego en View Details a la derecha para consultar los detalles de los permisos personalizados.

   2. Inicie sesión en un nodo del clúster y ejecute el siguiente comando para ver los detalles de los permisos personalizados.

      kubectl get clusterrole

      Resultado esperado:

      NAME                                                                   CREATED AT
      acs:view                                                               2024-12-31T06:18:06Z
      admin                                                                  2024-12-31T06:17:53Z
      alibaba-log-controller                                                 2024-12-31T06:25:03Z
      alicloud-csi-provisioner                                               2024-12-31T06:19:23Z
      aliyun-eci-pod-clusterrole                                             2024-12-31T06:18:52Z
      arms-aliyunserviceroleforarms-clusterrole                              2024-12-31T06:25:03Z
      cluster-admin                                                          2024-12-31T06:17:53Z
      ebs-token-controller                                                   2024-12-31T06:19:00Z
      edit                                                                   2024-12-31T06:17:53Z
      o11y:addon-controller:role                                             2024-12-31T06:24:32Z
      system:aggregate-to-admin                                              2024-12-31T06:17:53Z
      system:aggregate-to-edit                                               2024-12-31T06:17:53Z
      ...
      system:volume-scheduler                                                2024-12-31T06:17:53Z
      tenant-webhook-clusterrole                                             2024-12-31T06:19:45Z
      view                                                                   2024-12-31T06:17:53Z

   3. Para consultar los detalles de los permisos del rol cluster-admin, ejecute el siguiente comando:

      Importante

      Un usuario o rol de RAM con el permiso cluster-admin tiene privilegios de superadministrador en el clúster, equivalentes a los de una cuenta de Alibaba Cloud. Este rol proporciona acceso sin restricciones a todos los recursos del clúster. Asigne este rol con precaución.

      kubectl get clusterrole cluster-admin -o yaml

      Resultado esperado:

      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        annotations:
          rbac.authorization.kubernetes.io/autoupdate: "true"
        creationTimestamp: "2024-12-31T06:17:53Z"
        labels:
          kubernetes.io/bootstrapping: rbac-defaults
        name: cluster-admin
        resourceVersion: "70"
        uid: 759xxxxx-5ad2-42ce-872d-fbce117xxxxx
      rules:
      - apiGroups:
        - '*'
        resources:
        - '*'
        verbs:
        - '*'
      - nonResourceURLs:
        - '*'
        verbs:
        - '*'

Delegar la autorización RBAC a usuarios o roles de RAM

Para delegar esta capacidad, una cuenta de Alibaba Cloud o un usuario de RAM con el rol Administrator en todo el clúster debe otorgar los permisos de RAM y RBAC necesarios al usuario o rol correspondiente.

Permisos de RAM

1. Inicie sesión en la consola de RAM y otorgue los permisos de RAM obligatorios al usuario o rol de RAM mediante una directiva similar al siguiente ejemplo. Para más información, consulte Grant RAM permissions to a RAM user or RAM role.

   Importante

   Reemplace xxxxxx por el nombre de la directiva de RAM que desea adjuntar. Si utiliza un asterisco (), el usuario o rol de RAM podrá adjuntar cualquier directiva de RAM. Establecer "Resource": "" otorga permiso para ejecutar las acciones especificadas en todos los recursos de su cuenta. La acción cs:* se aplica a todos los clústeres de ACK, excepto a los de ACS. Otorgue estos permisos con precaución.

   {
       "Statement": [{
               "Action": [
                   "ram:Get*",
                   "ram:List*",
                   "cs:DescribeClustersV1",
                   "cs:GrantPermission"
               ],
               "Resource": "*",
               "Effect": "Allow"
           },
           {
               "Action": [
                   "ram:AttachPolicyToUser",
                   "ram:AttachPolicy"
               ],
               "Effect": "Allow",
               "Resource":  [
                   "acs:ram:*:*:policy/xxxxxx",
                   "acs:*:*:*:user/*"
               ]
           }
       ],
       "Version": "1"
   }

2. Una vez otorgados los permisos, el usuario o rol de RAM podrá conceder permisos de RAM a otros usuarios o roles de RAM dentro del alcance de la directiva especificada.

Permisos RBAC

1. Después de otorgar los permisos de RAM obligatorios, también debe asignar el rol predefinido Administrator o el rol personalizado cluster-admin al usuario o rol de RAM para el clúster o namespace destino. Para más información, consulte Set an authorization subject as a permission administrator for in-cluster applications.

Establecer usuarios o roles de RAM como administradores de permisos

Si resulta inconveniente usar una cuenta de Alibaba Cloud para otorgar permisos, puede establecer un usuario o rol de RAM como administrador de permisos. De este modo, utilizará dicho administrador para ejecutar las tareas de autorización.

1. Inicie sesión en la consola de RAM y localice el usuario o rol de RAM destino.

   • Usuario de RAM

     En el panel de navegación izquierdo, vaya a Identities > Users. En la lista de usuarios, busque el usuario destino y haga clic en Attach Policy en la columna Actions.

   • Rol de RAM

     En el panel de navegación izquierdo, vaya a Identities > Roles. En la lista de roles, busque el rol destino y haga clic en Attach Policy en la columna Actions.

2. En el cuadro de diálogo Attach Policy, haga clic en el cuadro de búsqueda de la sección Policy. Busque por nombre las directivas del sistema AliyunRAMFullAccess y AliyunACCFullAccess, y selecciónelas. Las directivas elegidas se agregan al área Selected Policy de la derecha. Haga clic en OK y cierre el cuadro de diálogo para completar la autorización.

3. Inicie sesión en la consola de ACS y otorgue el rol predefinido Administrator al usuario o rol de RAM para todos los clústeres. Para más información, consulte Grant RBAC permissions to a RAM user or RAM role.

4. Al completar estos pasos, el usuario o rol de RAM se convierte en administrador de permisos y puede otorgar permisos de RAM y RBAC a otros usuarios y roles de RAM.

Códigos de error de permisos

Si una operación en la consola o una llamada a la API falla por falta de permisos RBAC, el sistema devuelve un código de error correspondiente. A continuación se muestra una tabla con los permisos RBAC de clúster obligatorios para los códigos de error comunes.

Documentos relacionados

• Customize RAM authorization policies

• Default roles in ACS

• Authorization best practices