Grant permissions to an MSE Ingress controller in Container Service - Microservices Engine

Pour accéder aux services d'un cluster via MSE Ingress, accordez au contrôleur MSE Ingress les autorisations nécessaires pour accéder à MSE avant de déployer les services.

Accorder des autorisations au contrôleur MSE Ingress pour un cluster ACK managé ou un cluster ACK serverless

Vous pouvez accorder des autorisations à un contrôleur MSE Ingress dans un cluster ACK managé ou un cluster ACK serverless en suivant l'une des deux méthodes ci-dessous.

Si vous souhaitez utiliser MSE Ingress dans un ACK managed cluster ou un ACK serverless cluster existant, consultez la Méthode 1 pour accorder les autorisations requises.
Si vous prévoyez d'utiliser MSE Ingress lors de la création d'un nouveau ACK managed cluster ou d'un nouveau ACK serverless cluster, consultez la Méthode 2 pour accorder les autorisations requises.

Méthode 1 : Accorder des autorisations au contrôleur MSE Ingress dans la gestion des composants

Lorsque vous installez le contrôleur MSE Ingress via la gestion des composants, une vérification des autorisations est automatiquement effectuée. Si le précontrôle échoue, suivez les étapes ci-dessous pour accorder les autorisations nécessaires.

Placez le pointeur sur le message Precheck failed et cliquez sur View Check Report.
Sur la page Check Report, cliquez sur la zone rouge dans la colonne Abnormal, puis cliquez sur le lien dans le panneau qui s'affiche.

Dans les résultats de la vérification Cluster Authorization, la ligne ManagedRamRole affiche une erreur. Cliquez sur l'icône de boîte à gauche de la ligne pour développer le panneau de détails. Le message d'erreur pour AliyunCSManagedMseRole indique « RamRole does not exist ». Un lien d'autorisation est fourni dans la correction recommandée.
Sur la page Access Control Quick Authorization, cliquez sur Confirm Authorization.

Cette action accorde les rôles AliyunServiceRoleForMSE et AliyunCSManagedMseRole. La stratégie d'accès associée est AliyunCSManagedMseRolePolicy, qui est une stratégie système.
Installez à nouveau le composant.

Méthode 2 : Accorder des autorisations au contrôleur MSE Ingress lors de la création d'un cluster

Lorsque vous installez le contrôleur MSE Ingress lors de la création d'un nouveau cluster, accédez à la section Dependency Check de l'étape Confirm Configuration. Vérifiez si le Status de la vérification MSE Ingress Role Authorization Check est Passed. Si le Status est Failed, cliquez sur Go to Authorization.
Sur la page Access Control Quick Authorization, cliquez sur Confirm Authorization.

Cette action crée les rôles liés au service AliyunServiceRoleForMSE et AliyunCSManagedMseRole. La stratégie d'accès associée est AliyunCSManagedMseRolePolicy.
Une fois l'autorisation terminée, revenez à la page Confirm Configuration et cliquez sur Recheck. Une fois la vérification réussie, cliquez sur Create Cluster.

Accorder des autorisations au contrôleur MSE Ingress dans un cluster ACK dédié

Connectez-vous à la console Container Service.
Dans le volet de navigation de gauche, cliquez sur Cluster List, puis cliquez sur le nom du cluster cible.
Sur la page Cluster Information, dans la section Cluster Resources de l'onglet Basic Information, cliquez sur le lien situé à droite de Worker RAM Role.
Dans la console RAM, ajoutez l'autorisation AliyunMSEFullAccess au rôle.
1. Sur l'onglet Permissions de la page Role, cliquez sur Grant Permission.
2. Sur la page Grant Permission, sélectionnez System Policy dans la liste déroulante de la section Access Policy. Ensuite, saisissez le nom de la stratégie d'accès dans la zone de recherche pour effectuer une recherche approximative.
  
  Par exemple, saisissez mse pour trouver AliyunMSEFullAccess.
  
  À droite de la zone de recherche des stratégies d'accès, filtrez les résultats en sélectionnant System Policy comme type de stratégie.
3. Sélectionnez la stratégie d'accès AliyunMSEFullAccess et cliquez sur OK pour accorder l'autorisation.
  
  Vérifiez que l'autorisation AliyunMSEFullAccess a bien été ajoutée au rôle.
  
  Sur la page des détails du rôle, cliquez sur l'onglet Permissions. Dans la liste des stratégies d'accès, confirmez que la stratégie système AliyunMSEFullAccess a été ajoutée. L'étendue des ressources est au niveau du compte.
Dans le namespace mse-ingress-controller du cluster cible, localisez l'application ack-mse-ingress-controller, cliquez sur dans la colonne Actions, sélectionnez Redeploy, puis cliquez sur OK.

Une fois le redéploiement terminé, cliquez sur l'application ack-mse-ingress-controller et confirmez que le pod recréé est dans l'état Running.

(Facultatif) Créer une stratégie d'accès SLS et accorder des autorisations liées à SLS au cluster

Si vous souhaitez activer le service de livraison de journaux Simple Log Service (SLS) pour une passerelle cloud-native MSE à l'aide de MseIngressConfig, vous devez accorder des autorisations supplémentaires liées à SLS au rôle RAM Worker des ressources du cluster.

Connectez-vous à la console RAM en tant qu'administrateur RAM.
Dans le volet de navigation de gauche, choisissez .
Sur la page Policies, cliquez sur Create Policy.

Sur la page Create Policy, cliquez sur l'onglet Script Editor, saisissez le document de stratégie suivant, puis cliquez sur Continue to edit basic information.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:CloseProductDataCollection",
                "log:OpenProductDataCollection",
                "log:GetProductDataCollection"
            ],
            "Resource": [
                "acs:mse:*:*:instance/*",
                "acs:log:*:*:project/*/logstore/mse_*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "acs:ram::*:role/aliyunserviceroleforslsaudit",
            "Effect": "Allow"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "audit.log.aliyuncs.com"
                }
            }
        }
    ]
}

Sur la page Create Policy, spécifiez un Policy Name et une Note, puis cliquez sur OK.
Accordez les autorisations liées à SLS au Worker RAM role des ressources du cluster.
1. Connectez-vous à la console Container Service.
2. Dans le volet de navigation de gauche, cliquez sur Cluster List, puis cliquez sur le nom du cluster cible.
3. Sur la page Cluster Information, dans la section Cluster Resources de l'onglet Basic Information, cliquez sur le lien situé à droite de Worker RAM Role.
4. Dans la console RAM, ajoutez l'autorisation liée à SLS au rôle.
  1. Sur l'onglet Permissions de la page Role, cliquez sur Grant Permission.
  2. Sur la page Grant Permission, sélectionnez Custom Policy dans la liste déroulante de la section Access Policy. Ensuite, saisissez le nom de la stratégie d'accès que vous avez créée dans la zone de recherche pour effectuer une recherche approximative.
    
    Remarque
    Le nom de la stratégie d'accès SLS correspond au nom que vous avez spécifié lors de la création de la stratégie.
    
    Définissez Resource Scope sur Account Level et confirmez que l'Authorized Entity est le rôle worker correct.
  3. Sélectionnez la stratégie d'accès cible et cliquez sur OK pour accorder l'autorisation.

Accorder des autorisations au contrôleur MSE Ingress dans un cluster ACS

Si vous prévoyez d'utiliser MSE Ingress lors de la création d'un nouveau cluster ACS, vous pouvez accorder les autorisations requises au contrôleur MSE Ingress pendant le processus de création du cluster.

Lorsque vous installez le contrôleur MSE Ingress lors de la création d'un nouveau cluster, accédez à la section Dependency Check de l'étape Confirm Configuration. Vérifiez si le Status de la vérification MSE Ingress Role Authorization Check est Passed. Si le Status est Failed, cliquez sur Go to Authorization.
Sur la page Access Control Quick Authorization, cliquez sur Confirm Authorization.
Une fois l'autorisation terminée, revenez à la page Confirm Configuration et cliquez sur Recheck. Une fois la vérification réussie, cliquez sur Create Cluster.

Étapes suivantes

Pour plus d'informations, consultez la rubrique Accéder aux services dans Container Service et Container Compute Service à l'aide de MSE Ingress.