Otorisasi RAM - Container Service for Kubernetes - Alibaba Cloud Documentation Center

Resource Access Management (RAM) adalah layanan Alibaba Cloud yang dirancang untuk manajemen identitas pengguna dan kontrol izin akses resource. Melalui RAM, Anda dapat menerapkan prinsip least privilege tanpa perlu membagikan kunci akun Alibaba Cloud Anda kepada pengguna lain. RAM menggunakan kebijakan izin untuk menentukan otorisasi. Topik ini menjelaskan struktur umum kebijakan RAM, serta elemen pernyataan kebijakan (Action, Resource, dan Condition) yang didefinisikan oleh 容器服务Kubernetes版 untuk kebijakan izin RAM. Kode RAM (RamCode) untuk 容器服务Kubernetes版 adalah cs , dan granularitas otorisasi yang didukung adalah 资源级 .

Struktur umum kebijakan

Kebijakan izin menggunakan format JSON dengan struktur umum berikut:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "<Effect>",
      "Action": "<Action>",
      "Resource": "<Resource>",
      "Condition": {
        "<Condition_operator>": {
          "<Condition_key>": [
            "<Condition_value>"
          ]
        }
      }
    }
  ]
}

Berikut adalah penjelasan untuk setiap field dalam kebijakan

Version: Menentukan nomor versi kebijakan. Nilainya tetap 1.
Statement:
- Effect: Menentukan hasil otorisasi. Nilai yang valid: Allow dan Deny.
- Action: Menentukan satu atau beberapa operasi yang diizinkan atau ditolak.
- Resource: Menentukan objek spesifik yang terpengaruh oleh operasi tersebut. Anda dapat menggunakan Alibaba Cloud Resource Names (ARNs) untuk mengidentifikasi resource tertentu.
- Condition: Menentukan kondisi agar otorisasi berlaku. Field ini bersifat opsional.
  - Condition operator: Menentukan operator kondisional. Setiap jenis kondisi mendukung operator kondisional yang berbeda.
  - Condition_key: Menentukan condition key.
  - Condition_value: Menentukan nilai kondisi.

Action

Tabel berikut mencantumkan action yang didefinisikan oleh 容器服务Kubernetes版. Setiap kolom dalam tabel dijelaskan sebagai berikut:

Action: Dapat digunakan dalam elemen Action pada pernyataan kebijakan RAM untuk memberikan izin guna melakukan operasi tersebut.
API: API yang dipanggil untuk melakukan action tersebut.
Access level: Tingkat akses yang telah ditentukan untuk setiap API. Nilai yang valid: create, list, get, update, dan delete.
Resource type: Jenis resource yang mendukung otorisasi untuk melakukan action tersebut. Ini menunjukkan apakah action tersebut mendukung izin tingkat resource. Resource yang ditentukan harus kompatibel dengan action tersebut; jika tidak, kebijakan tidak akan berlaku.
- Untuk API dengan izin tingkat resource, jenis resource yang diperlukan ditandai dengan tanda bintang (*). Tentukan ARN yang sesuai dalam elemen Resource pada kebijakan.
- Untuk API tanpa izin tingkat resource, ini ditampilkan sebagai All Resources. Gunakan tanda bintang (*) dalam elemen Resource kebijakan.
Condition key: Ditentukan oleh layanan. Kunci ini memungkinkan kontrol yang lebih terperinci, yang berlaku baik untuk action saja maupun untuk action yang terkait dengan resource tertentu. Selain condition key spesifik layanan, Alibaba Cloud menyediakan serangkaian condition key umum yang berlaku di seluruh layanan yang terintegrasi dengan RAM. Untuk informasi lebih lanjut, lihat Common condition keys.
Dependent action: Action dependen yang diperlukan untuk menjalankan action tersebut. Agar action dapat dieksekusi dengan sukses, RAM user atau RAM role harus memiliki izin atas semua action dependen tersebut.

Action	API	Level akses	Tipe resource	Condition key	Action dependen
cs:RunClusterCheck	RunClusterCheck	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:InstallNodePoolComponents	InstallNodePoolComponents	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ResumeUpgradeCluster	ResumeUpgradeCluster	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetUpgradeStatus	GetUpgradeStatus	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CreateCluster	CreateCluster	create	Cluster `acs:cs:{#regionId}:{#accountId}:cluster/`	cs:ClusterType cs:ClusterSpec cs:ClusterProfile cs:EnableSecretEncryption cs:EnableApiServerEip cs:EnableAddonLogtailDs cs:EnableCoreControlPlaneComponentsLog cs:AddonNames cs:EnableSNAT cs:EnableNodePoolPublicIP	None
cs:Queryk8sComponentsUpdateVersion	DescribeClusterAddonsVersion	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetClusterAddonInstance	GetClusterAddonInstance	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CreateTemplate	CreateTemplate	create	全部资源 ``	None	None
cs:DeleteAutoRepairPolicy	DeleteAutoRepairPolicy	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ModifyAutoRepairPolicy	ModifyAutoRepairPolicy	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:RemoveNodePoolNodes	RemoveNodePoolNodes	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteCluster	DeleteCluster	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeKubernetesVersionMetadata	DescribeKubernetesVersionMetadata	get	全部资源 ``	None	None
cs:QueryK8sComponentUpgradeStatus	DescribeClusterAddonUpgradeStatus	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeResourcesDeleteProtection	DescribeResourcesDeleteProtection	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterUserKubeconfig	DescribeClusterUserKubeconfig	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:KubeConfigDurationMinutes	None
cs:ListClusterAddonInstances	ListClusterAddonInstances	list	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteClusterNodepool	DeleteClusterNodepool	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterAddonsUpgradeStatus	DescribeClusterAddonsUpgradeStatus	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListUserKubeConfigStates	ListUserKubeConfigStates	none	全部资源 ``	None	None
cs:PauseComponentUpgrade	PauseComponentUpgrade	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CancelComponentUpgrade	CancelComponentUpgrade	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CancelTask	CancelTask	update	全部资源 ``	None	None
cs:CreateKubernetesTrigger	CreateKubernetesTrigger	create	全部资源 ``	None	None
cs:MigrateCluster	MigrateCluster	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CancelOperationPlan	CancelOperationPlan	delete	全部资源 ``	None	None
cs:GetClusters	DescribeClusters	get	Cluster `acs:cs::{#accountId}:cluster/*`	None	None
cs:ModifyClusterAddon	ModifyClusterAddon	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:AddonName cs:AddonNames	None
cs:CreateClusterInspectConfig	CreateClusterInspectConfig	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteTrigger	DeleteTrigger	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListOperationPlans	ListOperationPlans	list	全部资源 ``	None	None
cs:GetKubernetesTrigger	GetKubernetesTrigger	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateContactGroupForAlert	UpdateContactGroupForAlert	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ModifyNodePoolNodeConfig	ModifyNodePoolNodeConfig	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetClusterInspectReportDetail	GetClusterInspectReportDetail	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeEvents	DescribeEvents	get	全部资源 ``	None	None
cs:CreateAutoRepairPolicy	CreateAutoRepairPolicy	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ScaleClusterNodePool	ScaleClusterNodePool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateClusterInspectConfig	UpdateClusterInspectConfig	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetClusterDiagnosisResult	GetClusterDiagnosisResult	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteKubernetesTrigger	DeleteKubernetesTrigger	delete	全部资源 ``	None	None
cs:StartAlert	StartAlert	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:OpenAckService	OpenAckService	update	全部资源 ``	None	None
cs:DescribeSubaccountK8sClusterUserConfig	DescribeSubaccountK8sClusterUserConfig	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeExternalAgent	DescribeExternalAgent	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetClusterDiagnosisCheckItems	GetClusterDiagnosisCheckItems	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeTaskInfo	DescribeTaskInfo	get	全部资源 ``	None	None
cs:DescribeUserClusterNamespaces	DescribeUserClusterNamespaces	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetClusterCheck	GetClusterCheck	list	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeletePolicyInstance	DeletePolicyInstance	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteClusterNodes	DeleteClusterNodes	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CreateClusterNodePool	CreateClusterNodePool	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeRegions	DescribeRegions	get	全部资源 ``	None	None
cs:UpgradeK8sComponents	UpgradeClusterAddons	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListClusterChecks	ListClusterChecks	list	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:AttachInstances	AttachInstances	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteClusterInspectConfig	DeleteClusterInspectConfig	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteTemplate	DeleteTemplate	delete	全部资源 ``	None	None
cs:CreateClusterDiagnosis	CreateClusterDiagnosis	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ScanClusterVuls	ScanClusterVuls	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListClusterInspectReports	ListClusterInspectReports	list	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeTemplates	DescribeTemplates	get	全部资源 ``	None	None
cs:CreateAutoscalingConfig	CreateAutoscalingConfig	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribePolicyDetails	DescribePolicyDetails	get	全部资源 ``	None	None
cs:ListAutoRepairPolicies	ListAutoRepairPolicies	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ModifyClusterTags	ModifyClusterTags	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateTemplate	UpdateTemplate	update	全部资源 ``	None	None
cs:ListTagResources	ListTagResources	get	全部资源 ``	None	None
cs:GetClusterInspectConfig	GetClusterInspectConfig	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListClusterAddonInstanceResources	ListClusterAddonInstanceResources	list	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterEvents	DescribeClusterEvents	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeAddons	DescribeAddons	get	全部资源 ``	None	None
cs:UnInstallClusterAddons	UnInstallClusterAddons	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:EnableAddonLogtailDs	None
cs:UpdateResourcesDeleteProtection	UpdateResourcesDeleteProtection	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateKMSEncryption	UpdateKMSEncryption	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:SyncClusterNodePool	SyncClusterNodePool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribePolicies	DescribePolicies	get	全部资源 ``	None	None
cs:InstallClusterAddons	InstallClusterAddons	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:AddonNames	None
cs:DescribeUserQuota	DescribeUserQuota	get	全部资源 ``	None	None
cs:ResumeTask	ResumeTask	update	全部资源 ``	None	None
cs:GetClusters	DescribeClustersV1	get	Cluster `acs:cs::{#accountId}:cluster/*`	None	None
cs:UntagResources	UntagResources	delete	全部资源 ``	None	None
cs:ModifyClusterNodePool	ModifyClusterNodePool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterNodePoolDetail	DescribeClusterNodePoolDetail	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribePolicyInstances	DescribePolicyInstances	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:RunClusterInspect	RunClusterInspect	create	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CancelClusterUpgrade	CancelClusterUpgrade	delete	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteAlertContact	DeleteAlertContact	delete	全部资源 ``	None	None
cs:CheckControlPlaneLogEnable	CheckControlPlaneLogEnable	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:GetUserPermissions	DescribeUserPermission	get	全部资源 ``	None	None
cs:DeployPolicyInstance	DeployPolicyInstance	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ModifyPolicyInstance	ModifyPolicyInstance	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterNodePools	DescribeClusterNodePools	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:RepairClusterNodePool	RepairClusterNodePool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#cluster_id}`	None	None
cs:DescribeClusterAddonMetadata	DescribeClusterAddonMetadata	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateClusterAuditLogConfig	UpdateClusterAuditLogConfig	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DeleteAlertContactGroup	DeleteAlertContactGroup	delete	全部资源 ``	None	None
cs:CleanClusterUserPermissions	CleanClusterUserPermissions	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpgradeCluster	UpgradeCluster	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ModifyCluster	ModifyCluster	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:EnableApiServerEip cs:ApiServerEipId	None
cs:DescribeClusterResources	DescribeClusterResources	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:PauseTask	PauseTask	update	全部资源 ``	None	None
cs:DescribeClusterTasks	DescribeClusterTasks	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#cluster_id}`	None	None
cs:GrantPermission	GrantPermissions	update	全部资源 ``	None	None
cs:DescribeClusterDetail	DescribeClusterDetail	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CreateTrigger	CreateTrigger	create	全部资源 ``	None	None
cs:DescribeClusterAddonInstance	DescribeClusterAddonInstance	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterV2UserKubeconfig	DescribeClusterV2UserKubeconfig	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#clusterId}`	cs:KubeConfigDurationMinutes	None
cs:StopAlert	StopAlert	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterNodes	DescribeClusterNodes	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:TagResources	TagResources	update	全部资源 ``	None	None
cs:DescribeAddon	DescribeAddon	get	全部资源 ``	None	None
cs:ListOperationPlansForRegion	ListOperationPlansForRegion	none	全部资源 ``	None	None
cs:DescribeTemplateAttribute	DescribeTemplateAttribute	get	全部资源 ``	None	None
cs:PauseClusterUpgrade	PauseClusterUpgrade	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:CheckServiceRole	CheckServiceRole	none	全部资源 ``	None	None
cs:ResumeComponentUpgrade	ResumeComponentUpgrade	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:FixNodePoolVuls	FixNodePoolVuls	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#cluster_id}`	None	None
cs:DescribeClusterAttachScripts	DescribeClusterAttachScripts	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateNodePoolComponent	UpdateNodePoolComponent	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateK8sClusterUserConfigExpire	UpdateK8sClusterUserConfigExpire	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeTrigger	DescribeTrigger	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClustersForRegion	DescribeClustersForRegion	list	全部资源 ``	None	None
cs:ListAddons	ListAddons	list	全部资源 ``	None	None
cs:DescribeClusterVuls	DescribeClusterVuls	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribePolicyInstancesStatus	DescribePolicyInstancesStatus	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:AttachInstancesToNodePool	AttachInstancesToNodePool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:ListClusterKubeconfigStates	ListClusterKubeconfigStates	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeClusterLogs	DescribeClusterLogs	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeEventsForRegion	DescribeEventsForRegion	list	全部资源 ``	None	None
cs:RevokeK8sClusterKubeConfig	RevokeK8sClusterKubeConfig	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateUserPermissions	UpdateUserPermissions	none	全部资源 ``	None	None
cs:CleanUserPermissions	CleanUserPermissions	none	全部资源 ``	None	None
cs:GetClusterAuditProject	GetClusterAuditProject	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:UpdateControlPlaneLog	UpdateControlPlaneLog	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	cs:EnableCoreControlPlaneComponentsLog	None
cs:UpgradeClusterNodepool	UpgradeClusterNodepool	update	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribeNodePoolVuls	DescribeNodePoolVuls	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#cluster_id}`	None	None
cs:DescribeAutoRepairPolicy	DescribeAutoRepairPolicy	none	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None
cs:DescribePolicyGovernanceInCluster	DescribePolicyGovernanceInCluster	get	*Cluster `acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId}`	None	None

Resource

Tabel berikut mencantumkan resource yang ditentukan oleh 容器服务Kubernetes版. Tentukan resource tersebut dalam elemen Resource pada pernyataan kebijakan RAM untuk memberikan izin terhadap operasi tertentu. Resource tersebut diidentifikasi secara unik menggunakan ARN dengan format: acs:{#ramcode}:{#regionId}:{#accountId}:{#resourceType}:

acs: Singkatan dari Alibaba Cloud service, yang menunjukkan cloud publik Alibaba Cloud.
{#ramcode}: Kode yang digunakan dalam RAM untuk menunjukkan layanan Alibaba Cloud.
{#regionId}: region ID. Jika resource mencakup semua wilayah, atur nilainya menjadi tanda bintang (*).
{#accountId}: ID akun Alibaba Cloud. Jika resource mencakup semua akun Alibaba Cloud, atur nilainya menjadi tanda bintang (*).
{#resourceType}: Identifier resource yang ditentukan oleh layanan. Mendukung struktur hierarkis, mirip dengan path file. Jika pernyataan mencakup resource global, atur nilainya menjadi tanda bintang (*).

Tipe resource	ARN
Cluster	acs:cs:{#regionId}:{#accountId}:cluster/{#ClusterId} acs:cs:{#regionId}:{#accountId}:cluster/* acs:cs::{#accountId}:cluster/ acs:cs:{#regionId}:{#accountId}:cluster/{#cluster_id}
Unrestricted	acs:cs::{#accountId}:cluster/ acs:cs:{#regionId}:{#accountId}:*

Condition

Tabel berikut mencantumkan condition key tingkat produk yang didefinisikan oleh 容器服务Kubernetes版. Anda juga dapat menggunakan Common condition keys dari Alibaba Cloud. Tentukan kunci-kunci ini dalam elemen Condition pada pernyataan kebijakan RAM untuk menetapkan aturan otorisasi yang lebih terperinci. Dalam condition key, tentukan nilai kondisi dalam elemen Condition_value pada kebijakan.

Setiap condition key memiliki tipe data tertentu, seperti string, number, Boolean, atau alamat IP. Tipe data tersebut menentukan operator kondisional mana yang dapat digunakan untuk membandingkan nilai permintaan dengan nilai kebijakan. Anda harus menentukan operator kondisional yang kompatibel dengan tipe data condition key tersebut. Operator yang tidak sesuai akan membuat kebijakan tidak berlaku. Lihat Condition operator untuk kombinasi yang valid.

Condition key	Deskripsi	Tipe data
cs:EnableAddonLogtailDs	Apakah akan mengaktifkan komponen log logtail-ds untuk kluster.	Boolean
cs:EnableApiServerEip	Apakah akan mengaktifkan akses jaringan publik ke server API untuk kluster.	Boolean
cs:EnableSNAT	Apakah akan mengizinkan konfigurasi SNAT untuk VPC kluster.	Boolean
cs:AddonNames	Objek operasi komponen kluster. Contoh: [\\\\\\\\\\"metrics-server\\\\\\\\\\",\\\\\\\\\\"terway-eniip\\\\\\\\\\"].	Array
cs:ClusterType	Tipe kluster.	String
cs:ClusterSpec	Spesifikasi kluster terkelola.	String
cs:AddonName	Nama komponen kluster. Contoh: aliyun-acr-kredensial-helper, metrics-server.	String
cs:EnableSecretEncryption	Apakah akan mengaktifkan Enkripsi saat diam untuk Secrets pada kluster ACK.	Boolean
cs:ClusterProfile	Pengidentifikasi subtipe kluster terkelola.	String
cs:ApiServerEipId	ID instans EIP yang terpasang pada server API kluster. Contoh: eip-2zep1n4o1ic48m3m****.	String
cs:EnableNodePoolPublicIP	Apakah akan mengizinkan penetapan alamat IPv4 publik ke setiap node dalam kluster.	Boolean
cs:EnableCoreControlPlaneComponentsLog	Apakah akan mengaktifkan fitur log komponen lapisan kontrol untuk kluster.	Boolean
cs:KubeConfigDurationMinutes	Periode validitas (dalam menit) kredensial KubeConfig kluster.	Numeric

Cara membuat kebijakan RAM kustom?

Anda dapat membuat kebijakan kustom dan memberikannya kepada RAM user, RAM user group, atau RAM role. Untuk caranya, lihat: