Izin kluster dan sumber daya cloud - Container Service for Kubernetes

Secara default, RAM user dan RAM role tidak memiliki izin untuk memanggil operasi API layanan cloud. Berikan izin kepada RAM user atau RAM role menggunakan kebijakan sistem atau kebijakan kustom sebelum memanggil operasi API ACK. Topik ini menjelaskan cara memberikan akses RAM user dan RAM role ke kluster dan sumber daya cloud.

Berikan izin dengan kebijakan sistem

Kebijakan sistem mengontrol akses baca dan tulis ke sumber daya global. Jika RAM user atau RAM role perlu mengelola semua kluster dalam Akun Alibaba Cloud Anda, gunakan kebijakan sistem untuk otorisasi cepat. Tabel berikut mencantumkan kebijakan sistem umum untuk ACK.

Penting

Kebijakan sistem yang memberikan akses penuh mengandung izin berisiko tinggi. Untuk menghindari risiko keamanan, berikan kebijakan ini dengan hati-hati.

Kebijakan sistem ACK umum

Nama kebijakan sistem	Deskripsi
AliyunCSFullAccess	Memberikan RAM user atau RAM role izin untuk memanggil semua operasi API ACK. Catatan Kebijakan sistem ini hanya memberikan izin RAM untuk ACK. Untuk melakukan manajemen operasi aplikasi dalam kluster ACK, Anda juga harus mengonfigurasi otorisasi RBAC. Untuk informasi selengkapnya, lihat Otorisasi RBAC.
AliyunVPCReadOnlyAccess	Memungkinkan RAM user atau RAM role memilih VPC tertentu saat membuat kluster.
AliyunECSReadOnlyAccess	Memungkinkan RAM user atau RAM role menambahkan node yang sudah ada ke kluster atau melihat detail node.
AliyunContainerRegistryFullAccess	Memungkinkan RAM user atau RAM role mengelola semua gambar kontainer dalam Akun Alibaba Cloud.
AliyunLogReadOnlyAccess	Memungkinkan RAM user atau RAM role memilih proyek Log Service yang sudah ada untuk menyimpan log audit saat membuat kluster, atau melihat hasil inspeksi konfigurasi kluster tertentu.
AliyunAHASReadOnlyAccess	Memungkinkan RAM user atau RAM role menggunakan fitur topologi kluster.
AliyunRAMFullAccess	Memungkinkan RAM user atau RAM role mengelola semua otorisasi dalam Akun Alibaba Cloud.
AliyunYundunSASReadOnlyAccess	Memungkinkan RAM user atau RAM role melihat data pemantauan keamanan waktu proses untuk kluster.
AliyunARMSReadOnlyAccess	Memungkinkan RAM user atau RAM role melihat status Managed Service for Prometheus untuk kluster.
AliyunKMSReadOnlyAccess	Memungkinkan RAM user atau RAM role mengaktifkan enkripsi rahasia saat diam (at rest) saat membuat kluster ACK managed Pro.
AliyunESSReadOnlyAccess	Memungkinkan RAM user atau RAM role melakukan operasi kelompok node, seperti melihat, mengedit, dan penskalaan.

Catatan

Akun Alibaba Cloud memiliki izin administratif penuh atas semua sumber daya dalam akun tersebut. Sebagai alternatif, buat RAM user dan berikan izin AdministratorAccess agar pengguna tersebut menjadi administrator akun. Administrator ini dapat mengelola semua sumber daya cloud dalam akun. Untuk informasi selengkapnya, lihat Buat RAM user sebagai administrator akun.

Masuk ke RAM console sebagai administrator RAM.
Di panel navigasi kiri, pilih Identities > Users.
Pada halaman Users, temukan RAM user target, lalu klik Add Permissions di kolom Actions.
Atau, pilih beberapa RAM user dan klik Add Permissions di bagian bawah halaman untuk memberikan izin ke beberapa RAM user sekaligus.
Di panel Grant Permissions, berikan izin kepada RAM user.
1. Konfigurasikan parameter Resource Scope.
  - Account: Otorisasi berlaku pada Akun Alibaba Cloud saat ini.
  - Resource Group: Otorisasi berlaku pada kelompok sumber daya tertentu.
    
    Penting
    Jika Anda memilih Resource Group untuk parameter Resource Scope, pastikan layanan cloud yang diperlukan mendukung kelompok sumber daya. Untuk informasi selengkapnya, lihat Layanan yang kompatibel dengan Resource Group. Untuk informasi lebih lanjut tentang cara memberikan izin pada kelompok sumber daya, lihat Kontrol akses ke instance ECS dengan kelompok sumber daya.
2. Konfigurasikan parameter Principal.
  
  Principal adalah RAM user yang akan diberikan izin. RAM user saat ini dipilih secara otomatis.
3. Pilih kebijakan sistem yang akan disambungkan.
4. Klik OK.
Klik Close.

Berikan izin dengan kebijakan kustom

Kebijakan kustom menyediakan kontrol akses detail halus terhadap sumber daya cloud. Misalnya, kebijakan kustom dapat membatasi izin pengguna pada kluster tertentu. Kebijakan kustom juga dapat mengontrol izin pada level API, yang berguna untuk pengembangan kustom berbasis SDK. Untuk informasi selengkapnya tentang item otorisasi yang didukung oleh RAM, lihat Informasi otorisasi.

Catatan

Sebelum membuat kebijakan kustom, pahami struktur dasar dan sintaks bahasa kebijakan. Untuk informasi selengkapnya, lihat Elemen dasar kebijakan.

Langkah 1: Buat kebijakan kustom

Masuk ke RAM console sebagai administrator RAM.
Di panel navigasi kiri, pilih Permissions > Policies.
Pada halaman Policies, klik Create Policy.

Pada halaman Create Policy, klik tab JSON Editor dan masukkan isi kebijakan.

Ganti YOUR_CLUSTER_ID dengan ID kluster target Anda.

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*",
                "cs:ScaleCluster",
                "cs:DeleteCluster"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID">YOUR_CLUSTER_ID"</span>
            ]
        }
    ],
    "Version": "1"
}

Parameter

Deskripsi

Action

Izin yang diberikan. Karakter wildcard (*) didukung.

Resource

Berikan izin pada satu kluster

"Resource": [
     "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID">YOUR_CLUSTER_ID"</span>
 ]

Berikan izin pada beberapa kluster

"Resource": [
     "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID_1">YOUR_CLUSTER_ID_1"</span>,
     "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID_2">YOUR_CLUSTER_ID_2"</span>
 ]

Berikan izin pada semua kluster
```
"Resource": [
     "*"
 ]
```

Pada halaman Create Policy, klik OK.
Pada kotak dialog Create Policy, masukkan Policy Name dan Comment, lalu klik OK.

Langkah 2: Berikan kebijakan kustom

Langkah-langkah untuk menyambungkan kebijakan kustom sama dengan kebijakan sistem. Saat diminta memilih kebijakan, pilih kebijakan kustom yang telah Anda buat. Untuk informasi selengkapnya, lihat Berikan izin dengan kebijakan sistem.

Contoh kebijakan kustom

Contoh 1: Berikan izin read-only pada kluster

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID">YOUR_CLUSTER_ID"</span>
            ]
        }
    ],
    "Version": "1"
}

Contoh 2: Berikan izin baca bucket OSS

Ganti YOUR_OSS_BUCKET_NAME dengan nama bucket OSS target Anda.

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                      "oss:ListBuckets",
                      "oss:GetBucketStat",
                      "oss:GetBucketInfo",
                      "oss:GetBucketTagging",
                      "oss:GetBucketAcl" 
                      ],    
            "Resource": "acs:oss:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListObjects",
                "oss:GetBucketAcl"
            ],
            "Resource": "acs:oss:*:*:<span class="var-span" contenteditable="true" data-var="YOUR_OSS_BUCKET_NAME">YOUR_OSS_BUCKET_NAME"</span>
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:GetObjectAcl"
            ],
            "Resource": "acs:oss:*:*:<span class="var-span" contenteditable="true" data-var="YOUR_OSS_BUCKET_NAME">YOUR_OSS_BUCKET_NAME/*"</span>
        }
    ]
}

Contoh 3: Berikan izin untuk API yang tidak berbasis cakupan kluster

Beberapa operasi OpenAPI, seperti DescribeEvents, tidak mendukung otorisasi spesifik kluster. Untuk memberikan izin RAM user atau RAM role pada operasi ini, hilangkan ID kluster dari bidang Resource. Tabel berikut membandingkan kebijakan RAM sebelum dan sesudah modifikasi:

Sebelum

Sesudah

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID">YOUR_CLUSTER_ID"</span>
            ]
        }
    ],
    "Version": "1"
}

{
    "Statement": [
        {
            "Action": [
                "cs:DescribeEvents"
            ],
            "Effect": "Allow",
            "Resource": [
              "*"
            ]
        },
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/<span class="var-span" contenteditable="true" data-var="YOUR_CLUSTER_ID">YOUR_CLUSTER_ID"</span>
            ]
        }
    ],
    "Version": "1"
}

Langkah selanjutnya

Setelah memberikan izin RAM, konfigurasikan juga otorisasi RBAC untuk mengelola sumber daya Kubernetes dalam kluster. Untuk informasi selengkapnya, lihat Gunakan RBAC untuk mengotorisasi operasi pada sumber daya dalam kluster.
Untuk meningkatkan keamanan aplikasi ACK yang mengakses layanan cloud lain, gunakan RRSA untuk mengonfigurasi izin RAM untuk ServiceAccount, sehingga mengisolasi izin pod. Untuk informasi selengkapnya, lihat Gunakan RRSA untuk mengonfigurasi izin RAM untuk ServiceAccount dan mengisolasi izin pod.
Untuk menerapkan otorisasi RAM detail halus, lihat Terapkan kontrol akses detail halus menggunakan tag dan Persempit secara manual izin role RAM worker untuk kluster ACK yang dikelola.
Untuk informasi tentang cara memecahkan masalah otorisasi, lihat FAQ manajemen otorisasi.