ACK One (Distributed Cloud Container Platform for Kubernetes) utilise des rôles liés au service pour accéder aux autres services Alibaba Cloud en votre nom. Cette rubrique décrit les rôles liés au service pour ACK One et leurs permissions.
Attribution du rôle lié au service
Pour effectuer l'autorisation, vous devez utiliser un compte Alibaba Cloud ou un compte administrateur de compte RAM.
Les rôles liés au service sont créés automatiquement ; il n'est pas nécessaire de les créer manuellement. Lors de la première ouverture de la console ACK One, celle-ci vous invite à finaliser l'autorisation. Suivez les instructions affichées à l'écran pour terminer l'opération.
Seuls les comptes Alibaba Cloud et les administrateurs de compte RAM peuvent effectuer l'autorisation de rôle. Les utilisateurs RAM standards ne peuvent pas réaliser cette opération. Si la console affiche une erreur d'autorisation, connectez-vous avec un compte Alibaba Cloud ou un compte administrateur RAM.
Rôles liés au service pour ACK One
ACK One utilise les rôles liés au service suivants :
| Nom du rôle | Objectif | Requis |
|---|---|---|
AliyunCSDefaultRole |
Permet à ACK One d'accéder aux ressources ECS, VPC, SLB, Resource Orchestration Service (ROS) et Auto Scaling lors de la gestion des clusters. | Requis pour toutes les fonctionnalités ACK One |
AliyunServiceRoleForAdcp |
Permet à ACK One d'accéder aux ressources ECS, VPC et SLB lors de la gestion des clusters. | Requis pour toutes les fonctionnalités ACK One |
AliyunAdcpServerlessKubernetesRole |
Permet aux instances de flotte ACK One et aux clusters Kubernetes pour les workflows Argo distribués d'accéder aux ressources VPC, ECS, Alibaba Cloud DNS PrivateZone, Elastic Container Instance et Simple Log Service. | Requis pour toutes les fonctionnalités ACK One |
AliyunAdcpManagedMseRole |
Permet aux instances de flotte ACK One d'accéder aux ressources Microservices Engine (MSE). | Requis uniquement pour les passerelles multi-clusters |
Le rôle AliyunAdcpManagedMseRole n'est nécessaire que si vous utilisez des passerelles multi-clusters. Il n'affecte aucune autre fonctionnalité ACK One.
Autorisations des rôles liés au service
AliyunServiceRoleForAdcp
Ce rôle permet à ACK One de gérer les groupes de sécurité et les interfaces réseau dans ECS, les tables de routage et les équilibreurs de charge dans VPC, la topologie CEN, les instances SLB, les maillages de services ASM, les applications RAM et la surveillance ARMS Prometheus.
Autorisations liées à ECS
Autorisations liées à VPC
Autorisations liées à CEN
Autorisations liées à SLB
AliyunAdcpServerlessKubernetesRole
Ce rôle permet aux instances de flotte ACK One et aux clusters de workflow Argo de gérer les adresses IP élastiques et les vSwitch dans VPC, les interfaces réseau dans ECS, les zones privées DNS, les groupes de conteneurs Elastic Container Instance ainsi que les projets et Logstores Simple Log Service.
AliyunAdcpManagedMseRole
Ce rôle permet aux instances de flotte ACK One de gérer les passerelles, les sources de service et les règles de contrôle du trafic dans Microservices Engine (MSE). Il inclut également la collecte de données via Simple Log Service ainsi que la capacité de créer des rôles liés au service supplémentaires.
AliyunCSManagedKubernetesRole
Ce rôle permet aux clusters ACK One de gérer les instances, les interfaces réseau et les entrées de routage dans ECS, les équilibreurs de charge et les groupes de serveurs dans SLB, les entrées de routage dans VPC, les projets de journaux et les Logstores dans Simple Log Service, ainsi que les ressources ALB et NLB. Il autorise également l'accès aux métriques CloudMonitor (CMS) et aux images Container Registry (ACR).
AliyunCSManagedLogRole
Ce rôle accorde aux clusters ACK One la gestion complète du cycle de vie des ressources Simple Log Service, notamment les projets de journaux, les Logstores, les configurations, les groupes de machines, les index, les recherches enregistrées, les tableaux de bord et les tâches. Il permet également de publier des entrées de journal et de déclencher des événements EventBridge.
AliyunCSManagedCmsRole
Ce rôle permet aux clusters ACK One de gérer les groupes de surveillance, les règles de métriques et les groupes de tags dynamiques dans CloudMonitor (CMS). Il offre également la possibilité de lire les métriques depuis SLS et SLB, ainsi que de rapporter des données via ARMS Sentinel.
AliyunCSManagedArmsRole
Ce rôle accorde aux clusters ACK One un accès à l'API complète d'Application Real-Time Monitoring Service (ARMS), couvrant les règles d'alerte, les groupes de contacts, les règles de distribution, la surveillance Prometheus et la gestion des environnements. Il inclut également la gestion des passerelles MSE et l'écriture des journaux dans Simple Log Service.
Étapes suivantes
Pour obtenir une vue d’ensemble des permissions et des scénarios d’autorisation sur ACK One, consultez la rubrique Vue d'ensemble de l'autorisation.
Pour accorder à un utilisateur ou un rôle RAM des permissions sur les ressources ACK One, consultez la procédure Attacher une politique d'autorisations système à un utilisateur ou un rôle RAM.
Pour accorder à un utilisateur ou un rôle RAM des permissions sur les ressources Kubernetes dans un cluster spécifique, consultez la rubrique Accorder des permissions RBAC à un utilisateur ou un rôle RAM.