Tous les produits
Search

Ce produit

    Container Service for Kubernetes:Grant permissions

    Centre de documentation

    Container Service for Kubernetes:Grant permissions

    Dernière mise à jour :Aug 11, 2026

    Container Intelligent Service (CIS) nécessite un accès à vos instances Elastic Compute Service (ECS), à votre Virtual Private Cloud (VPC), à vos instances Server Load Balancer (SLB) et à d'autres ressources pour exécuter les diagnostics et inspections de cluster. Cet accès est accordé via le rôle de service AliyunCISDefaultRole. Attribuez ce rôle une seule fois, et CIS pourra appeler les API requises pour inspecter et diagnostiquer vos clusters ACK.

    Prérequis

    Avant de commencer, assurez-vous de disposer des éléments suivants :

    • Un compte Alibaba Cloud, ou un utilisateur Resource Access Management (RAM) disposant des autorisations d'administrateur

    Attribuer le rôle de service

    Si vous avez déjà utilisé CIS, le rôle AliyunCISDefaultRole est peut-être déjà attribué. Pour le confirmer, vérifiez si vous pouvez accéder aux diagnostics et inspections de cluster dans la console CIS sans être invité à procéder à l'autorisation.

    1. Connectez-vous à la console CIS.

    2. Cliquez sur Go to RAM authorization pour ouvrir la page Cloud Resource Access Authorization, puis cliquez sur Agree to Authorization.

    3. Une fois l'autorisation terminée, actualisez la page de la console CIS pour commencer à utiliser les diagnostics et les inspections.

    Autorisations accordées par AliyunCISDefaultRole

    Les tableaux suivants répertorient toutes les autorisations accordées à CIS via AliyunCISDefaultRole.

    Autorisations liées à ECS

    CIS utilise ces autorisations pour inspecter les configurations des instances ECS, les groupes de sécurité, les interfaces réseau et la bande passante, ainsi que pour exécuter des commandes de diagnostic lors des inspections actives.

    Permission Description Purpose
    ecs:DescribeInstances Interroge les détails d'une ou plusieurs instances ECS Identifier les nœuds du cluster et leurs configurations
    ecs:DescribeInstanceStatus Interroge le statut d'une ou plusieurs instances ECS Vérifier la disponibilité des nœuds pendant les diagnostics
    ecs:DescribeInstanceTypes Interroge les types d'instances ECS disponibles Valider les configurations de type d'instance des nœuds
    ecs:DescribeInstanceTypeFamilies Interroge les familles de types d'instances ECS disponibles Valider les configurations de famille d'instances des nœuds
    ecs:DescribeInstanceAttribute Interroge les détails d'une instance ECS spécifique Inspecter les attributs individuels des nœuds
    ecs:CreateDiagnosticReport Crée un rapport de diagnostic des ressources Exécuter des diagnostics au niveau de l'instance
    ecs:DescribeDiagnosticReports Interroge les rapports de diagnostic des ressources Récupérer les résultats des rapports de diagnostic
    ecs:DescribeDiagnosticReportAttributes Interroge les détails d'un rapport de diagnostic Inspecter les détails du rapport de diagnostic
    ecs:DescribeDiagnosticMetricSets Interroge les ensembles de métriques de diagnostic Accéder aux métriques de diagnostic disponibles
    ecs:DescribeDiagnosticMetrics Interroge les métriques de diagnostic Récupérer des données spécifiques sur les métriques de diagnostic
    ecs:DescribeSecurityGroupAttribute Interroge les règles d'un groupe de sécurité Inspecter les règles du groupe de sécurité pour les diagnostics réseau
    ecs:DescribeSecurityGroups Interroge les informations de base sur les groupes de sécurité Répertorier les groupes de sécurité associés aux nœuds du cluster
    ecs:DescribeSecurityGroupReferences Vérifie si un groupe de sécurité est référencé par d'autres règles de groupe de sécurité Détecter les dépendances entre les règles de différents groupes
    ecs:DescribeBandwidthLimitation Interroge les ressources de bande passante Vérifier les limites de bande passante lors des diagnostics réseau
    ecs:DescribeCloudAssistantStatus Vérifie si Cloud Assistant Agent est installé sur les instances ECS Vérifier la disponibilité de Cloud Assistant avant d'exécuter des commandes
    ecs:DescribeCommands Interroge les commandes Cloud Assistant Répertorier les commandes de diagnostic disponibles sur les nœuds
    ecs:DescribeInvocationResults Interroge les résultats d'exécution des commandes Cloud Assistant sur les instances ECS Récupérer la sortie des commandes lors des diagnostics actifs
    ecs:DescribeNetworkInterfaces Interroge les interfaces réseau élastiques (ENI) Inspecter les configurations ENI pour les diagnostics réseau
    ecs:CreateCommand Crée une commande Cloud Assistant Créer des scripts de diagnostic pour les inspections actives
    ecs:InvokeCommand Déclenche une commande Cloud Assistant sur une ou plusieurs instances ECS Exécuter des commandes de diagnostic sur les nœuds lors des inspections actives
    ecs:StopInvocation Arrête une commande Cloud Assistant en cours d'exécution sur une ou plusieurs instances ECS Annuler les commandes de diagnostic si nécessaire
    ecs:RunCommand Exécute une commande shell, powershell ou batch sur les instances ECS Exécuter directement des scripts de diagnostic sur les nœuds

    Autorisations liées au VPC

    CIS utilise ces autorisations pour inspecter la topologie du VPC, le routage, les passerelles NAT et les listes de contrôle d'accès réseau (ACL) pour les diagnostics réseau.

    Permission Description Purpose
    vpc:DescribeVpcs Interroge vos VPC Identifier le VPC associé au cluster
    vpc:DescribeVpcAttribute Interroge la configuration d'un VPC Inspecter les paramètres du VPC lors des diagnostics réseau
    vpc:DescribeVSwitches Interroge vos vSwitch Répertorier les vSwitch utilisés par les nœuds du cluster
    vpc:DescribeVSwitchAttributes Interroge les détails d'un vSwitch Inspecter la configuration du vSwitch et les adresses IP disponibles
    vpc:DescribeRouteTableList Interroge les tables de routage Répertorier les tables de routage associées au VPC du cluster
    vpc:DescribeRouteEntryList Interroge les entrées de routage Inspecter les règles de routage pour les diagnostics de chemin réseau
    vpc:DescribeNatGateways Interroge les passerelles NAT dans une région Vérifier la configuration de la passerelle NAT pour les diagnostics du trafic sortant
    vpc:DescribeEipAddresses Interroge les adresses IP élastiques (EIP) dans une région Inspecter les associations EIP pour les diagnostics d'accès public
    vpc:DescribeRouteTables Interroge les informations sur les tables de routage Récupérer des données détaillées sur les tables de routage
    vpc:DescribeSnatTableEntries Interroge les entrées SNAT Inspecter les règles SNAT pour les diagnostics de connectivité sortante
    vpc:DescribeNetworkAcls Interroge les ACL réseau Répertorier les ACL réseau susceptibles d'affecter le trafic du cluster
    vpc:DescribeNetworkAclAttributes Interroge les détails d'une ACL réseau Inspecter les règles ACL pour les diagnostics réseau

    Autorisations liées à SLB

    CIS utilise ces autorisations pour inspecter les instances Server Load Balancer (SLB), les configurations des écouteurs, les groupes de serveurs backend et l'état de santé pour les diagnostics de l'équilibreur de charge.

    Permission Description Purpose
    slb:DescribeLoadBalancers Interroge vos instances SLB Identifier les instances SLB associées aux services du cluster
    slb:DescribeLoadBalancerAttribute Interroge les détails d'une instance SLB Inspecter la configuration SLB lors des diagnostics
    slb:DescribeVServerGroups Interroge les groupes de serveurs virtuels Répertorier les groupes de serveurs backend pour les services du cluster
    slb:DescribeVServerGroupAttribute Interroge les détails d'un groupe de serveurs virtuels Inspecter la configuration du groupe de serveurs backend
    slb:DescribeLoadBalancerTCPListenerAttribute Interroge la configuration d'un écouteur TCP Inspecter les paramètres de l'écouteur TCP pour les diagnostics
    slb:DescribeLoadBalancerUDPListenerAttribute Interroge la configuration d'un écouteur UDP Inspecter les paramètres de l'écouteur UDP pour les diagnostics
    slb:DescribeAccessControlLists Interroge les ACL réseau Répertorier les ACL appliquées aux écouteurs SLB
    slb:DescribeAccessControlListAttribute Interroge la configuration d'une ACL réseau Inspecter les règles ACL appliquées aux écouteurs SLB
    slb:DescribeLoadBalancerListeners Interroge les écouteurs d'une instance SLB Répertorier tous les écouteurs pour une instance SLB donnée
    slb:DescribeHealthStatus Interroge l'état de santé des serveurs backend Vérifier l'état de santé des serveurs backend lors des diagnostics

    Autorisations liées à Simple Log Service

    CIS utilise cette autorisation pour accéder aux métadonnées du Logstore pour les diagnostics basés sur les journaux.

    Permission Description Purpose
    sls:GetLogStore Interroge les détails d'un Logstore Accéder aux données des journaux pour les diagnostics du cluster

    Autorisations liées à ACK

    CIS utilise ces autorisations pour inspecter les détails du cluster ACK, les pools de nœuds, les tâches et l'état de mise à niveau des composants.

    Permission Description Purpose
    cs:DescribeClusterDetail Interroge les détails d'un cluster ACK Récupérer la configuration du cluster pour les diagnostics
    cs:DescribeClusterResources Interroge toutes les ressources d'un cluster ACK Inventorier les ressources du cluster lors des inspections
    cs:DescribeTasks Interroge les tâches d'un cluster ACK Surveiller l'état des tâches du cluster lors des diagnostics
    cs:DescribeTaskInfo Interroge les informations sur les tâches d'un cluster ACK Récupérer les détails de tâches spécifiques du cluster
    cs:DescribeClusterNodePools Interroge tous les pools de nœuds d'un cluster ACK Inspecter la configuration et l'état des pools de nœuds
    cs:DescribeNodePoolVuls Interroge les vulnérabilités des pools de nœuds dans un cluster ACK Identifier les vulnérabilités de sécurité dans les pools de nœuds
    cs:DescribeClusterAddonsUpgradeStatus Interroge la progression de la mise à niveau des composants du cluster Vérifier l'état de mise à niveau des composants lors des inspections

    Autorisations liées à Elastic Container Instance

    CIS utilise ces autorisations pour inspecter les pods Elastic Container Instance (ECI) et exécuter des commandes de diagnostic sur les conteneurs serverless.

    Permission Description Purpose
    eci:DescribeContainerGroups Interroge les informations sur les pods dans Elastic Container Instance (ECI) Inspecter les configurations et l'état des pods ECI
    eci:RunCommand Exécute un script shell sur une instance de conteneur élastique Exécuter des scripts de diagnostic sur les conteneurs serverless
    eci:DescribeCommandResult Interroge le résultat d'exécution d'une commande Récupérer la sortie des commandes de diagnostic depuis les pods ECI
    eci:ListUsage Interroge les privilèges et les quotas dans une région Vérifier l'utilisation des quotas ECI lors des diagnostics

    Autorisations liées à CloudMonitor

    CIS utilise ces autorisations pour récupérer les métriques de surveillance et les données d'alerte pour les diagnostics de performance et de santé.

    Permission Description Purpose
    cms:DescribeMetricData Interroge les données de surveillance collectées sur une période donnée Récupérer les données historiques des métriques pour les diagnostics
    cms:DescribeMetricLast Interroge les dernières données de surveillance pour une métrique Obtenir les valeurs actuelles des métriques lors des inspections
    cms:DescribeMetricMetaList Interroge les descriptions des métriques prises en charge par CloudMonitor Répertorier les métriques disponibles pour l'analyse diagnostique
    cms:DescribeMetricTop Interroge les données de surveillance triées pour un service Alibaba Cloud Identifier les principaux consommateurs de ressources lors des diagnostics
    cms:QueryMetricMeta Interroge les métriques prises en charge par CloudMonitor Récupérer les métadonnées des métriques pour les requêtes de diagnostic
    cms:QueryMetricTop Interroge les données de surveillance pour un service Alibaba Cloud Récupérer les données de métriques triées pour l'analyse
    cms:ListMetricMeta Interroge les métadonnées des métriques Répertorier les métadonnées des métriques disponibles
    cms:ListMetricMetaProject Interroge les projets de métadonnées des métriques Répertorier les projets de métriques pour des diagnostics ciblés
    cms:QueryMetricData Interroge les données de surveillance pour les services Alibaba Cloud Récupérer les données de métriques pour plusieurs services
    cms:QueryMetricLast Interroge les dernières données de surveillance pour les métriques Obtenir les valeurs de métriques les plus récentes
    cms:DescribeMetricList Interroge les données de surveillance pour une métrique spécifique Récupérer les données de séries chronologiques pour une métrique spécifique
    cms:QueryMetricList Interroge les descriptions des métriques prises en charge par CloudMonitor Répertorier les descriptions des métriques pour référence diagnostique
    cms:MetricMeta Interroge les métriques prises en charge par CloudMonitor Accéder aux définitions des métriques pour l'analyse diagnostique
    cms:DescribeAlertLogList Interroge les alertes récentes Récupérer l'historique des alertes lors des inspections de santé
    cms:DescribeSystemEventAttribute Interroge les détails d'un événement système Inspecter les événements système liés aux ressources du cluster
    cms:GetMetricStreamMeta Interroge la description d'une métrique CloudMonitor Récupérer les métadonnées des métriques en streaming

    Autorisations liées à Quota Center

    CIS utilise ces autorisations pour vérifier les quotas de service lors des diagnostics, afin d'identifier si les limites de quota peuvent affecter les opérations du cluster.

    Permission Description Purpose
    quotas:ListProducts Interroge les services Alibaba Cloud qui prennent en charge Quota Center Répertorier les services dont les quotas peuvent être inspectés
    quotas:ListProductQuotas Interroge les quotas pour un service Alibaba Cloud Récupérer les limites de quota pour les services liés au cluster
    quotas:ListProductQuotaDimensions Interroge les dimensions de quota prises en charge par un service Alibaba Cloud Accéder aux données de quota spécifiques à la dimension
    quotas:GetProductQuota Interroge les détails d'un quota Inspecter une valeur de quota spécifique et son utilisation
    quotas:GetProductQuotaDimension Interroge les détails d'une dimension de quota Récupérer les détails du quota pour une dimension spécifique

    Autorisations liées à RAM

    CIS utilise cette autorisation pour vérifier que les politiques attachées au rôle AliyunCISDefaultRole sont correctement configurées.

    Permission Description Purpose
    ram:ListPoliciesForRole Interroge les politiques attachées à un rôle RAM Vérifier que le rôle de service dispose des politiques requises

    Autorisations liées à Application Troubleshooting Platform

    CIS utilise ces autorisations pour télécharger et analyser les fichiers de diagnostic sur Application Troubleshooting Platform (ATP) pour une analyse approfondie des causes racines.

    Permission Description Purpose
    grace:GetFile Interroge les informations sur un fichier d'analyse sur Application Troubleshooting Platform (ATP) Récupérer les métadonnées des fichiers de diagnostic depuis ATP
    grace:AnalyzeFile Analyse les fichiers sur ATP Déclencher l'analyse automatisée des fichiers de diagnostic
    grace:UploadFileByOSS Télécharge des fichiers vers ATP en utilisant Object Storage Service (OSS) Télécharger les fichiers de diagnostic vers ATP via OSS
    grace:UploadFileByURL Télécharge des fichiers vers ATP en spécifiant des URL Télécharger les fichiers de diagnostic vers ATP par URL