ACK One contrôle les accès via trois couches : les rôles liés au service, les stratégies RAM et les autorisations RBAC.
Rôles et responsabilités
| Rôle | Configuration requise |
|---|---|
| Titulaire du compte Alibaba Cloud | Autorisez les rôles liés au service lors de la première utilisation. Votre compte dispose de toutes les autorisations par défaut. |
| Administrateur de compte RAM | Autorisez les rôles liés au service pour le compte de l'organisation. Associez des stratégies système RAM aux utilisateurs ou rôles RAM, et accordez les autorisations RBAC sur chaque cluster. |
| Utilisateur ou rôle RAM | Demandez à votre administrateur d'associer des stratégies RAM et d'accorder les autorisations RBAC. |
Types d'autorisations
Les autorisations ACK One fonctionnent à deux niveaux :
Autorisations du plan de contrôle (couche RAM) : elles déterminent qui peut gérer les ressources de cluster ACK One (création de clusters, consultation des configurations et appel des API ACK One). Les rôles liés au service et les stratégies système RAM couvrent ces autorisations.
Autorisations du plan de données (couche RBAC) : elles déterminent qui peut gérer les objets Kubernetes au sein d'un cluster (déploiement d'applications, gestion des pipelines GitOps et exécution de workflows Argo).
Ces deux niveaux sont indispensables. Les stratégies RAM seules n'accordent pas l'accès à Kubernetes.
| Type d'autorisation | Concerné par | Contrôle |
|---|---|---|
| Rôles liés au service | Configuration initiale : compte Alibaba Cloud ou administrateur de compte RAM | Accès d'ACK One aux autres services Alibaba Cloud |
| Stratégies système RAM | Utilisateurs et rôles RAM (les comptes Alibaba Cloud disposent de toutes les autorisations par défaut) | Accès aux ressources de cluster ACK One via la console et les API |
| Autorisations RBAC | Utilisateurs et rôles RAM (les comptes Alibaba Cloud disposent de toutes les autorisations par défaut) | Accès aux ressources Kubernetes dans les clusters ACK One |
Rôles liés au service
ACK One endosse des rôles liés au service pour accéder aux autres services Alibaba Cloud en votre nom, par exemple pour créer des instances de conteneur élastiques ou gérer des ressources VPC.
Pour connaître l'ensemble des autorisations accordées par chaque rôle, consultez la page Autorisations des rôles liés au service pour ACK One.
| Nom du rôle | Fonctionnalité activée |
|---|---|
| AliyunCSDefaultRole | Accès de gestion de cluster à Elastic Compute Service (ECS), Virtual Private Cloud (VPC), Server Load Balancer (SLB), Resource Orchestration Service (ROS) et Auto Scaling. Requis pour toutes les fonctionnalités ACK One. |
| AliyunServiceRoleForAdcp | Accès de gestion de cluster à ECS, VPC et SLB. Requis pour toutes les fonctionnalités ACK One. |
| AliyunAdcpServerlessKubernetesRole | Accès des instances de flotte et des clusters Kubernetes pour les workflows Argo distribués à VPC, ECS, Alibaba Cloud DNS PrivateZone, Elastic Container Instance et Simple Log Service (SLS). Requis pour toutes les fonctionnalités ACK One. |
| AliyunAdcpManagedMseRole | Accès des instances de flotte à Microservices Engine (MSE). Requis uniquement pour les passerelles multi-clusters. |
| AliyunCSManagedKubernetesRole | Accès des instances de flotte aux ressources ACK. |
| AliyunCSManagedLogRole | Accès du composant de journalisation aux autres services Alibaba Cloud. |
| AliyunCSManagedCmsRole | Accès du composant CMS aux autres services Alibaba Cloud. |
| AliyunCSManagedArmsRole | Accès du plug-in Application Real-Time Monitoring Service (ARMS) aux autres services Alibaba Cloud. |
Les rôles liés au service sont créés automatiquement. Lors de la première ouverture de la console ACK One, suivez les instructions pour finaliser l'autorisation.
Seuls les comptes Alibaba Cloud et les administrateurs de compte RAM peuvent autoriser les rôles. Si vous rencontrez une erreur d'autorisation, basculez vers un compte Alibaba Cloud ou contactez votre administrateur de compte RAM.
Stratégies système RAM
Par défaut, les utilisateurs et rôles RAM ne disposent d'aucune autorisation. Associez une ou plusieurs des stratégies système suivantes pour accorder l'accès aux ressources de cluster ACK One.
Consultez la page Associer une stratégie d'autorisation système à un utilisateur ou un rôle RAM.
| Stratégie système RAM | Autorisation | Clusters enregistrés | Instances de flotte | Clusters de workflow |
|---|---|---|---|---|
| AliyunAdcpFullAccess | Lecture et écriture de toutes les ressources ACK One | Oui | Oui | Oui |
| AliyunAdcpReadOnlyAccess | Accès en lecture seule à toutes les ressources ACK One | Oui | Oui | Oui |
| AliyunCSFullAccess | Lecture et écriture de toutes les ressources Container Service for Kubernetes (ACK) | Oui | Oui | Non |
| AliyunCSReadOnlyAccess | Accès en lecture seule à toutes les ressources ACK | Oui | Oui | Non |
| AliyunVPCReadOnlyAccess | Spécifiez un VPC lors de la création d'un cluster ACK | Oui | Oui | Oui |
| AliyunECIReadOnlyAccess | Planifiez les pods sur des instances de conteneur élastiques | Oui | Oui | Oui |
| AliyunLogReadOnlyAccess | Sélectionnez un projet de journal pour un cluster ou consultez les données d'inspection de configuration | Oui | Oui | Oui |
| AliyunARMSReadOnlyAccess | Consultez les données de surveillance du plug-in Managed Service for Prometheus | Oui | Oui | Oui |
| AliyunRAMReadOnlyAccess | Consultez les stratégies RAM existantes | Oui | Oui | Oui |
| AliyunECSReadOnlyAccess | Ajoutez des nœuds existants à un cluster ACK ou consultez les détails des nœuds | Oui | Non | Non |
| AliyunContainerRegistryReadOnlyAccess | Consultez les images d'application au sein d'un compte Alibaba Cloud | Oui | Non | Non |
| AliyunAHASReadOnlyAccess | Utilisez la fonctionnalité de topologie de cluster | Oui | Non | Non |
| AliyunYundunSASReadOnlyAccess | Consultez les données de surveillance d'exécution pour un cluster ACK | Oui | Non | Non |
| AliyunKMSReadOnlyAccess | Activez le chiffrement des secrets lors de la création d'un cluster ACK | Oui | Non | Non |
| AliyunESSReadOnlyAccess | Consultez, modifiez et mettez à l'échelle les pools de nœuds | Oui | Non | Non |
Autorisations RBAC
Les stratégies RAM contrôlent l'accès à ACK One en tant que service, mais pas aux ressources Kubernetes à l'intérieur des clusters. Accordez des autorisations RBAC sur des clusters et des namespaces spécifiques pour des opérations telles que le déploiement d'applications, la gestion de pipelines GitOps ou l'exécution de workflows Argo.
ACK One propose les rôles RBAC prédéfinis suivants :
Instances de flotte et clusters de workflow
| Rôle RBAC | Étendue des autorisations | Instances de flotte | Clusters de workflow |
|---|---|---|---|
| admin (administrateur) | Accès en lecture et écriture aux ressources à l'échelle du cluster et à tous les namespaces | Oui | Oui |
| dev (développeur) | Accès en lecture et écriture aux ressources dans le namespace spécifié | Oui | Oui |
| gitops-dev (développeur GitOps) | Accès en lecture et écriture aux ressources d'application dans le namespace argocd | Oui | Non |
Consultez la section Autorisations RBAC sur les clusters enregistrés.
Consultez la page Accorder des autorisations RBAC à un utilisateur ou un rôle RAM.