Grant permissions to an MSE Ingress controller in Container Service - Microservices Engine

Para acceder a los servicios de un clúster mediante un MSE Ingress, debe otorgar al controlador de MSE Ingress los permisos obligatorios para acceder a MSE antes de desplegar los servicios.

Otorgar permisos al controlador de MSE Ingress en un clúster administrado de ACK o un clúster serverless de ACK

Puede otorgar permisos a un controlador de MSE Ingress en un clúster administrado de ACK o en un clúster serverless de ACK de dos maneras.

Si desea usar un MSE Ingress en un clúster administrado de ACK o clúster serverless de ACK existente, consulte Method 1 para otorgar los permisos necesarios.
Si planea usar un MSE Ingress al crear un nuevo clúster administrado de ACK o clúster serverless de ACK, consulte Method 2 para otorgar los permisos necesarios.

Método 1: Otorgar permisos al controlador de MSE Ingress desde Component Management

Cuando instala el controlador de MSE Ingress en Component Management, se ejecuta automáticamente una verificación de permisos. Si la verificación previa falla, siga estos pasos para otorgar los permisos necesarios.

Coloque el puntero sobre el mensaje Precheck failed y haga clic en View Check Report.
En la página Check Report, haga clic en el cuadro rojo de la columna Abnormal y luego haga clic en el link del panel que aparece.

En los resultados de la comprobación Cluster Authorization, la fila ManagedRamRole muestra un error. Haga clic en el ícono de cuadro a la izquierda de la fila para expandir el panel de detalles. El mensaje de error de AliyunCSManagedMseRole indica "RamRole does not exist". La solución recomendada incluye un enlace de autorización.
En la página Access Control Quick Authorization, haga clic en Confirm Authorization.

Esta acción otorga los roles AliyunServiceRoleForMSE y AliyunCSManagedMseRole. La directiva de acceso asociada es AliyunCSManagedMseRolePolicy, que corresponde a una directiva del sistema.
Vuelva a instalar el componente.

Método 2: Otorgar permisos al controlador de MSE Ingress durante la creación de un clúster

Cuando instale el controlador de MSE Ingress mientras crea un clúster nuevo, vaya a la sección Dependency Check del paso Confirm Configuration. Compruebe si el Status de MSE Ingress Role Authorization Check es Passed. Si el Status es Failed, haga clic en Go to Authorization.
En la página Access Control Quick Authorization, haga clic en Confirm Authorization.

Esta acción crea los roles vinculados al servicio AliyunServiceRoleForMSE y AliyunCSManagedMseRole. La directiva de acceso asociada es AliyunCSManagedMseRolePolicy.
Una vez completada la autorización, regrese a la página Confirm Configuration y haga clic en Recheck. Cuando la comprobación finalice correctamente, haga clic en Create Cluster.

Otorgar permisos al controlador de MSE Ingress en un clúster dedicado de ACK

Inicie sesión en la consola de Container Service.
En el panel de navegación izquierdo, haga clic en Cluster List y luego haga clic en el nombre del clúster de destino.
En la página Cluster Information, dentro de la sección Cluster Resources de la pestaña Basic Information, haga clic en el enlace situado a la derecha de Worker RAM Role.
En la consola de RAM, agregue el permiso AliyunMSEFullAccess al rol.
1. En la pestaña Permissions de la página Role, haga clic en Grant Permission.
2. En la página Grant Permission, seleccione System Policy en la lista desplegable de la sección Access Policy. Después, introduzca el nombre de la directiva de acceso en el cuadro de búsqueda para ejecutar una búsqueda aproximada.
  
  Por ejemplo, puede introducir mse para encontrar AliyunMSEFullAccess.
  
  A la derecha del cuadro de búsqueda de directivas de acceso, filtre los resultados al seleccionar System Policy como tipo de directiva.
3. Seleccione la directiva de acceso AliyunMSEFullAccess y haga clic en OK para otorgar el permiso.
  
  Compruebe que el permiso AliyunMSEFullAccess se haya agregado correctamente al rol.
  
  En la página de detalles del rol, haga clic en la pestaña Permissions. En la lista de directivas de acceso, confirme que se agregó la directiva del sistema AliyunMSEFullAccess. El alcance de los recursos abarca toda la cuenta.
En el namespace mse-ingress-controller del clúster de destino, busque la aplicación ack-mse-ingress-controller, haga clic en en la columna Actions, seleccione Redeploy y luego haga clic en OK.

Cuando finalice el redespliegue, haga clic en la aplicación ack-mse-ingress-controller y confirme que el pod recreado se encuentre en estado Running.

(Opcional) Crear una directiva de acceso de SLS y otorgar permisos relacionados con SLS al clúster

Si desea habilitar el servicio de entrega de registros de Simple Log Service (SLS) para una puerta de enlace nativa de la nube de MSE mediante MseIngressConfig, debe otorgar permisos adicionales relacionados con SLS al Worker RAM role de los recursos del clúster.

Inicie sesión en la consola de RAM como administrador de RAM.
En el panel de navegación izquierdo, seleccione .
En la página Policies, haga clic en Create Policy.

En la página Create Policy, haga clic en la pestaña Script Editor, introduzca el siguiente documento de directiva y luego haga clic en Continue to edit basic information.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:CloseProductDataCollection",
                "log:OpenProductDataCollection",
                "log:GetProductDataCollection"
            ],
            "Resource": [
                "acs:mse:*:*:instance/*",
                "acs:log:*:*:project/*/logstore/mse_*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "acs:ram::*:role/aliyunserviceroleforslsaudit",
            "Effect": "Allow"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "audit.log.aliyuncs.com"
                }
            }
        }
    ]
}

En la página Create Policy, especifique un Policy Name y una Note, y luego haga clic en OK.
Otorgue los permisos relacionados con SLS al Worker RAM role de los recursos del clúster.
1. Inicie sesión en la consola de Container Service.
2. En el panel de navegación izquierdo, haga clic en Cluster List y luego haga clic en el nombre del clúster de destino.
3. En la página Cluster Information, dentro de la sección Cluster Resources de la pestaña Basic Information, haga clic en el enlace situado a la derecha de Worker RAM Role.
4. En la consola de RAM, agregue el permiso relacionado con SLS al rol.
  1. En la pestaña Permissions de la página Role, haga clic en Grant Permission.
  2. En la página Grant Permission, seleccione Custom Policy en la lista desplegable de la sección Access Policy. Después, introduzca el nombre de la directiva de acceso que creó en el cuadro de búsqueda para ejecutar una búsqueda aproximada.
    
    Nota
    El nombre de la directiva de acceso de SLS es el nombre que especificó cuando creó la directiva.
    
    Establezca Resource Scope en Account Level y confirme que Authorized Entity corresponda al rol de worker correcto.
  3. Seleccione la directiva de acceso de destino y haga clic en OK para otorgar el permiso.

Otorgar permisos al controlador de MSE Ingress en un clúster de ACS

Si planea usar un MSE Ingress al crear un nuevo clúster de ACS, puede otorgar los permisos necesarios al controlador de MSE Ingress durante el proceso de creación del clúster.

Cuando instale el controlador de MSE Ingress mientras crea un clúster nuevo, vaya a la sección Dependency Check del paso Confirm Configuration. Compruebe si el Status de MSE Ingress Role Authorization Check es Passed. Si el Status es Failed, haga clic en Go to Authorization.
En la página Access Control Quick Authorization, haga clic en Confirm Authorization.
Una vez completada la autorización, regrese a la página Confirm Configuration y haga clic en Recheck. Cuando la comprobación finalice correctamente, haga clic en Create Cluster.

Pasos siguientes

Para obtener más información, consulte Access services in Container Service and Container Compute Service using an MSE Ingress.