Container Service for Kubernetes (ACK) s'appuie sur plusieurs services Alibaba Cloud. Lorsqu'un utilisateur Resource Access Management (RAM) accède à la console ACK, certaines fonctionnalités nécessitent des autorisations sur ces services dépendants. Utilisez le tableau ci-dessous pour identifier la stratégie système requise pour chaque fonctionnalité.
Cette liste décrit uniquement les autorisations requises pour les autres services cloud dont dépend ACK. Vous devez également accorder l'autorisation système AliyunCSFullAccess ou une autre autorisation personnalisée requise à un utilisateur RAM pour gérer ACK. Pour plus d'informations, consultez Accorder des autorisations aux clusters et aux ressources cloud à l'aide de RAM.
Conformément au principe du moindre privilège, n'accordez que des autorisations en lecture seule pour les services cloud dépendants. N'accordez des autorisations de création sur les ressources cloud que lorsque cela est nécessaire. Par exemple, si vous sélectionnez Select Existing VPC lors de la création d'un cluster, vous n'avez besoin que d'accorder des autorisations en lecture seule pour le VPC.
Après avoir configuré les autorisations pour les services cloud dépendants, vous devez également utiliser le contrôle d'accès basé sur les rôles (RBAC) pour autoriser les opérations sur les ressources au sein du cluster. Cela permet à l'utilisateur RAM de gérer les ressources internes du cluster.
|
Fonctionnalité |
Dépendance |
Autorisation système |
Autorisation personnalisée Action |
Ressource |
Actions dans la console |
|
Request Quota Increase |
Quota Center |
AliyunQuotasFullAccess |
quotas:ListProductQuotas |
* |
Répertorie les quotas d'un service cloud. |
|
quotas:ListProductQuotaDimensions |
* |
Répertorie les dimensions de quota prises en charge pour un service cloud. |
|||
|
quotas:ListProductDimensionGroups |
* |
Répertorie les groupes de dimensions d'un service cloud. |
|||
|
quotas:ListDependentQuotas |
* |
Répertorie les dépendances d'un quota cible. |
|||
|
quotas:CreateQuotaApplication |
* |
Soumet une demande d'augmentation de quota. |
|||
|
Créer un cluster |
Billing Management |
AliyunBSSFullAccess / AliyunBSSReadOnlyAccess |
bssapi:GetPayAsYouGoPrice |
* |
Obtient les informations de tarification des produits. |
|
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVSwitches |
* |
Cluster Configurations > Network Settings > VPC > Existing |
|
|
vpc:DescribeVpcs |
* |
Cluster Configurations > Network Settings > vSwitch > Existing |
|||
|
AliyunVPCFullAccess |
vpc:CreateVpc |
* |
Cluster Configurations > Network Settings > VPC > Create VPC |
||
|
vpc:CreateVSwitch |
* |
Cluster Configurations > Network Settings > vSwitch > Create VPC |
|||
|
Server Load Balancer (SLB) |
AliyunSLBFullAccess / AliyunSLBReadOnlyAccess |
slb:DescribeLoadBalancers |
* |
Cluster Configurations > Network Settings > Access to API Server > SLB Source > Existing |
|
|
slb:DescribeLoadBalancerListeners |
* |
||||
|
AliyunSLBFullAccess |
slb:CreateLoadBalancer |
* |
Cluster Configurations > Network Settings > Access to API Server > SLB Source > New |
||
|
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeSecurityGroups |
* |
Cluster Configurations > Network Settings > Security Group > Select Existing Security Group |
|
|
ecs:DescribePrice |
* |
Requis pour afficher les informations de tarification lors de la sélection d'un type d'instance sous Node Pool Configurations > Instance and Image > Instance Type. |
|||
|
ecs:DescribeImages |
* |
Requis pour sélectionner des images personnalisées et Marketplace sous Node Pool Configurations > Instance and Image > Operating System. |
|||
|
ecs:DescribeKeyPairs |
* |
Node Pool Configurations > Instance and Image > Logon Type > Key Pair |
|||
|
ecs:DescribeDeploymentSets |
* |
Master Configurations > Deployment Set > Sélectionner un ensemble de déploiement |
|||
|
AliyunECSFullAccess |
ecs:CreateSecurityGroup |
* |
Requis pour créer automatiquement un groupe de sécurité basique ou avancé dans la section Cluster Configurations > Network Settings > Security Group. |
||
|
Key Management Service (KMS) |
AliyunKMSFullAccess / AliyunKMSReadOnlyAccess |
kms:ListKeys |
* |
Cluster Configurations > Advanced (Optional) > Secret Encryption > Select Key |
|
|
Auto Scaling (ESS) |
AliyunESSFullAccess / AliyunESSReadOnlyAccess |
ess:DescribePatternTypes |
* |
Node Pool Configurations > Instance Configuration Mode > Specify Instance Attributes |
|
|
ApsaraDB RDS |
AliyunRDSFullAccess / AliyunRDSReadOnlyAccess |
rds:DescribeDBInstances |
* |
Node Pool Configurations > Advanced Options (Optional) > RDS Whitelist > Sélectionner une instance RDS |
|
|
Application Load Balancer (ALB) |
AliyunALBFullAccess / AliyunALBReadOnlyAccess |
alb:ListLoadBalancers |
* |
Component Configuration > Ingress > ALB Ingress > Existing |
|
|
AliyunALBFullAccess |
alb:CreateLoadBalancer |
* |
Component Configuration > Ingress > ALB Ingress > Create Tags |
||
|
Microservices Engine (MSE) |
AliyunMSEFullAccess / AliyunMSEReadOnlyAccess |
mse:ListGateway |
* |
Component Configurations > Ingress > MSE Ingress > Existing |
|
|
AliyunMSEFullAccess |
mse:AddGateway |
* |
Component Configurations > Ingress > MSE Ingress > New |
||
|
Simple Log Service (SLS) |
AliyunLogFullAccess / AliyunLogReadOnlyAccess |
log:ListProject |
* |
|
|
|
AliyunLogFullAccess |
log:CreateProject |
* |
|
||
|
Cluster Information > Basic Information |
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVSwitches |
* |
Répertorie les vSwitch disponibles pouvant être attribués au plan de contrôle. |
|
vpc:DescribeEipAddresses |
* |
Répertorie les adresses IP élastiques (EIP) pouvant remplacer le point de terminaison public du API Server. |
|||
|
Key Management Service (KMS) |
AliyunKMSFullAccess / AliyunKMSReadOnlyAccess |
kms:ListKeys |
* |
Répertorie les clés disponibles pour activer le chiffrement des secrets. |
|
|
Cluster Information > Cluster Monitoring |
Application Real-Time Monitoring Service (ARMS) |
AliyunARMSFullAccess / AliyunARMSReadOnlyAccess |
arms:ListDashboards |
* |
Répertorie les tableaux de bord Grafana d'un cluster. |
|
Gestion des clusters dans Cloud Shell |
Cloud Shell |
AliyunCloudShellFullAccess |
cloudshell:CreateEnvironment |
* |
Crée une instance Cloud Shell. |
|
cloudshell:AttachStorage |
* |
||||
|
cloudshell:DetachStorage |
* |
||||
|
cloudshell:CreateSession |
* |
||||
|
cloudshell:DownloadFile |
* |
Télécharge et importe des fichiers. |
|||
|
cloudshell:UploadFile |
* |
||||
|
Apsara File Storage NAS (NAS) |
AliyunNASFullAccess |
nas:DescribeFileSystems |
* |
Crée et associe un système de fichiers Apsara File Storage NAS. |
|
|
nas:CreateFileSystem |
* |
||||
|
nas:DescribeAccessRules |
* |
||||
|
Node Pools > Create Node Pool |
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeImages |
* |
Requis pour sélectionner des images personnalisées et Marketplace lors du choix d'un système d'exploitation. |
|
ecs:DescribePrice |
* |
Obtient les derniers prix des ressources ECS. |
|||
|
Node Pools > Create ou Edit |
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVpcs |
* |
Répertorie les VPC. |
|
Node Pools > Logon Mode |
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeKeyPairs |
* |
Répertorie les paires de clés. |
|
Node Pools > Add Existing Node |
ecs:DescribeInstances |
* |
Répertorie les instances disponibles à ajouter. |
||
|
ecs:DescribeSecurityGroups |
* |
Répertorie les groupes de sécurité. |
|||
|
Node Pools > Details > Scaling Activities |
Auto Scaling (ESS) |
AliyunESSFullAccess / AliyunESSReadOnlyAccess |
ess:DescribeScalingActivities |
* |
Décrit les activités de mise à l'échelle. |
|
ess:DescribeScalingActivityDetail |
* |
Décrit les détails d'une activité de mise à l'échelle. |
|||
|
ess:DescribeLifecycleActions |
* |
Décrit les détails des actions de cycle de vie pour les activités de mise à l'échelle. |
|||
|
CloudOps Orchestration Service (OOS) |
AliyunOOSFullAccess / AliyunOOSReadOnlyAccess |
oos:ListExecutions |
* |
Répertorie les informations d'exécution. |
|
|
Workloads > Create from Image |
Container Registry (ACR) |
AliyunContainerRegistryFullAccess / AliyunContainerRegistryReadOnlyAccess |
cr:ListInstance |
* |
Répertorie les instances ACR. |
|
cr:ListInstanceDomain |
* |
Obtient des informations sur les instances ACR. |
|||
|
cr:ListRepository |
* |
Répertorie les dépôts d'images ACR. |
|||
|
cr:ListArtifactTag |
* |
Répertorie les tags d'images ACR. |
|||
|
Applications > Knative > Monitoring Dashboards |
Application Real-Time Monitoring Service (ARMS) |
AliyunARMSFullAccess / AliyunARMSReadOnlyAccess |
arms:InstallAddon |
* |
Installe un module complémentaire. |
|
Inspections and Diagnostics > Cluster Inspections et Diagnostics |
Resource Access Management (RAM) |
AliyunRAMFullAccess / AliyunRAMReadOnlyAccess |
ram:GetRole |
acs:ram:::role/aliyuncisdefaultrole |
Obtient le rôle AliyunCISDefaultRole, requis pour le diagnostic des pannes et les inspections de cluster. |
|
Inspections and Diagnostics > Cluster Check > Logs |
Simple Log Service (SLS) |
AliyunLogFullAccess |
log:GetDashboard |
* |
Obtient et affiche les journaux. |
|
log:ListDashboard |
* |
||||
|
log:ListLogStores |
* |
||||
|
log:ListSavedSearch |
* |
||||
|
log:GetLogStoreLogs |
* |
||||
|
log:GetSavedSearch |
* |
Obtient des informations sur les événements de journalisation. |
|||
|
log:GetIndex |
* |
Requis pour les instructions de requête. |
|||
|
log:UpdateIndex |
* |
||||
|
log:GetLogStore |
* |
||||
|
log:CreateDashboardSharing |
* |
Crée des partages sans mot de passe. |
|||
|
Operations > Log Center > Control Plane Component Logs |
AliyunLogFullAccess / AliyunLogReadOnlyAccess / AliyunLogReadOnlyAccess |
log:ListProject |
* |
Répertorie les projets contenant des journaux. |
|
|
Operations > Log Center > Network Component Logs |
AliyunLogFullAccess |
log:GetProjectLogs |
* |
Requis pour gérer les journaux ALB Ingress. |
|
|
log:GetResourceRecord |
* |
||||
|
log:CreateResourceRecord |
* |
||||
|
log:UpdateResourceRecord |
* |
||||
|
Security > Security Monitoring |
Security Center |
AliyunYundunSASFullAccess |
yundun-sas:DescribeVersionConfig |
* |
Décrit l'édition Security Center achetée. |
|
yundun-sas:GetClusterSuspEventStatistics |
* |
Obtient les statistiques d'alertes de sécurité. |
|||
|
yundun-sas:DescribeClusterVulStatistics |
* |
Obtient les statistiques sur les risques de vulnérabilité. |
|||
|
yundun-sas:GetClusterCheckItemWarningStatistics |
* |
Obtient les statistiques sur les risques liés aux lignes de base. |
|||
|
yundun-sas:GetInterceptionSummary |
* |
Obtient les statistiques récapitulatives des alertes de pare-feu de conteneur. |
|||
|
yundun-sas:ListGroups |
* |
Répertorie les groupes de serveurs. |
|||
|
yundun-sas:ListAccountsInResourceDirectory |
* |
Requis pour les opérations d'alerte de sécurité. |
|||
|
yundun-sas:DescribeMonitorAccounts |
* |
||||
|
yundun-sas:DescribeSuspEvents |
* |
||||
|
yundun-sas:DescribeGroupedVul |
* |
Requis pour la gestion des risques de vulnérabilité. |
|||
|
yundun-sas:DescribeVulExportInfo |
* |
||||
|
yundun-sas:ExportVul |
* |
||||
|
yundun-aegis:DescribeVulNumStatistics |
* |
||||
|
yundun-sas:DescribeGroupedInstances |
* |
||||
|
yundun-sas:DescribeFixUsedCount |
* |
||||
|
yundun-sas:DescribeServiceLinkedRoleStatus |
* |
||||
|
yundun-sas:DescribeVulConfig |
* |
||||
|
yundun-sas:DescribeVulList |
* |
||||
|
yundun-sas:DescribeRiskType |
* |
Requis pour la gestion des risques liés aux lignes de base. |
|||
|
yundun-sas:ListCheckItemWarningSummary |
* |
||||
|
yundun-sas:ListInterceptionHistory |
* |
||||
|
yundun-sas:ListClusterInterceptionConfig |
* |
||||
|
yundun-sas:GetAssetDetailByUuid |
* |
||||
|
yundun-sas:ListPluginForUuid |
* |
||||
|
yundun-sas:ValidateHcWarnings |
* |
||||
|
yundun-sas:DescribeCheckWarningMachines |
* |
||||
|
yundun-sas:IgnoreCheckItems |
* |
||||
|
yundun-sas:ListCheckItemWarningMachine |
* |
Requis pour les opérations d'alerte de pare-feu de conteneur. |
|||
|
Volumes > Create CNFS File System |
Object Storage Service (OSS) |
AliyunOSSFullAccess / AliyunOSSReadOnlyAccess |
oss:ListBucketsByRegion |
* |
Requis pour sélectionner un compartiment OSS lorsque le type de système de fichiers est défini sur OSS. |
|
Sauvegarde d'application |
oss:ListBucketsByRegion |
* |
Créer un coffre de sauvegarde > Sélectionner un compartiment OSS |
||
|
Authorizations > RAM Users |
Resource Access Management (RAM) |
AliyunRAMFullAccess / AliyunRAMReadOnlyAccess |
ram:ListUserBasicInfos |
* |
Répertorie les informations de base pour tous les utilisateurs RAM. |
|
Authorizations > RAM Role |
ram:ListRoles |
* |
Répertorie tous les rôles RAM. |