Container Service for Kubernetes：Manajemen Sumber Daya Terperinci Klaster ACK dengan Menggunakan Grup Sumber Daya

Prosedur untuk otorisasi tingkat grup sumber daya

Contoh berikut menjelaskan cara memberikan izin kepada pengguna RAM untuk mengelola sumber daya klaster ACK dalam grup sumber daya tertentu.

1. Buat pengguna RAM di Konsol RAM.

   Untuk informasi lebih lanjut tentang cara membuat pengguna RAM, lihat Buat Pengguna RAM.

2. Buat grup sumber daya di Konsol Manajemen Sumber Daya.

   Untuk informasi lebih lanjut, lihat Buat Grup Sumber Daya.

3. Kelompokkan sumber daya ke dalam grup sumber daya.

   • Jika ingin membuat sumber daya baru, tentukan grup sumber daya tempat Anda ingin menambahkan sumber daya tersebut.

   • Jika ingin menggunakan sumber daya yang sudah ada, transfer sumber daya tersebut ke grup sumber daya yang sesuai. Untuk informasi lebih lanjut, lihat Lakukan Transfer Sumber Daya Manual Lintas Grup Sumber Daya.

4. Masuk ke Konsol RAM dan buat kebijakan kustom.

   Kebijakan kustom yang dibuat harus mencakup izin operasi yang diperlukan oleh pengguna RAM. Untuk informasi lebih lanjut, lihat Buat Kebijakan Kustom. Jika ingin melampirkan kebijakan sistem ke pengguna RAM, lewati langkah ini.

   Dalam lingkungan bisnis sebenarnya, kami sarankan memberikan izin minimal kepada pengguna RAM berdasarkan prinsip hak istimewa minimal. Hal ini mencegah risiko keamanan yang disebabkan oleh izin berlebihan.

   Contoh kebijakan kustom:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["cs:DescribeClusterDetail"],
         "Resource": "*"
       }
     ]
   }

5. Lampirkan kebijakan kustom dengan ruang lingkup efektif grup sumber daya ke pengguna RAM.

   Anda dapat memberikan izin kepada pengguna RAM dengan salah satu metode berikut:

   • Masuk ke Konsol Manajemen Sumber Daya, lalu pilih grup sumber daya di halaman Grup Sumber Daya. Untuk informasi lebih lanjut, lihat Berikan Izin Grup Sumber Daya kepada Identitas RAM.

     

   • Masuk ke Konsol RAM, lalu atur parameter Resource Scope ke ResourceGroup di panel Pemberian Izin. Untuk informasi lebih lanjut, lihat Berikan Izin kepada Pengguna RAM.

     

Tipe sumber daya yang mendukung grup sumber daya

Tabel berikut mencantumkan tipe sumber daya yang mendukung grup sumber daya di ACK.

Tindakan yang tidak mendukung otorisasi tingkat grup sumber daya

Tabel berikut mencantumkan tindakan yang tidak mendukung otorisasi sumber daya tingkat grup di ACK. Untuk informasi tentang kebijakan otorisasi, lihat bagian Contoh Kebijakan Kustom dari topik ini.

Untuk informasi lebih lanjut tentang otorisasi RAM di ACK, lihat Otorisasi RAM.

Contoh kebijakan kustom

Untuk tipe sumber daya yang tidak mendukung grup sumber daya, izin yang diberikan ke grup sumber daya tidak berlaku. Anda harus membuat kebijakan kustom dan mengatur parameter Ruang Lingkup Sumber Daya ke Account di Konsol RAM.

Kode sampel berikut memberikan contoh dua kebijakan kustom. Anda dapat memodifikasi isi kebijakan berdasarkan kebutuhan bisnis Anda.

• Kebijakan kustom berikut mengizinkan operasi baca-saja yang tidak mendukung otorisasi tingkat grup sumber daya.

  Dalam kebijakan kustom, bidang Action mencakup semua operasi baca-saja yang tidak mendukung otorisasi tingkat grup sumber daya.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:DescribeAddon",
          "cs:DescribeAddons",
          "cs:DescribeEvents",
          "cs:DescribeEventsForRegion",
          "cs:DescribeKubeConfigManagementTaskList",
          "cs:DescribeKubernetesVersionMetadata",
          "cs:DescribePatternTypes",
          "cs:DescribePolicies",
          "cs:DescribePolicyDetails",
          "cs:DescribeTaskInfo",
          "cs:DescribeTemplateAttribute",
          "cs:DescribeTemplates",
          "cs:DescribeUserInstances",
          "cs:DescribeUserPermission",
          "cs:ListAddons",
          "cs:ListHaveKubeconfigDeletedAccounts",
          "cs:ListKubeConfigRecycle",
          "cs:ListOperationPlans",
          "cs:ListUserKubeConfigStates",
          "cs:QueryAlertContact",
          "cs:QueryAlertContactGroup",
          "cs:CheckServiceRole",
          "cs:DescribeTasks",
          "cs:DescribeUserQuota",
          "cs:ListOperationPlans",
          "cs:CheckUserClustersActivity"
        ],
        "Resource": "*"
      }
    ]
  }

• Kebijakan kustom berikut mengizinkan semua operasi yang tidak mendukung otorisasi tingkat grup sumber daya.

  Dalam kebijakan kustom, bidang Action mencakup semua operasi yang tidak mendukung otorisasi tingkat grup sumber daya.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:AddOrUpdateAlertContact",
          "cs:AddOrUpdateAlertContactGroup",
          "cs:CancelOperationPlan",
          "cs:CancelTask",
          "cs:CheckServiceRole",
          "cs:CheckUserClustersActivity",
          "cs:CleanUserPermissions",
          "cs:CreateKubernetesTrigger",
          "cs:CreateSessionMessage",
          "cs:CreateTemplate",
          "cs:DeleteAlertContact",
          "cs:DeleteAlertContactGroup",
          "cs:DeleteKubeConfigRecycleItem",
          "cs:DeleteTemplate",
          "cs:DeleteTriggerHook",
          "cs:DescribeAddon",
          "cs:DescribeAddons",
          "cs:DescribeEvents",
          "cs:DescribeEventsForRegion",
          "cs:DescribeKubeConfigManagementTaskList",
          "cs:DescribeKubernetesVersionMetadata",
          "cs:DescribePatternTypes",
          "cs:DescribePolicies",
          "cs:DescribePolicyDetails",
          "cs:DescribeTaskInfo",
          "cs:DescribeTemplateAttribute",
          "cs:DescribeTemplates",
          "cs:DescribeUserInstances",
          "cs:DescribeUserPermission",
          "cs:ListAddons",
          "cs:ListHaveKubeconfigDeletedAccounts",
          "cs:ListKubeConfigRecycle",
          "cs:ListOperationPlans",
          "cs:ListUserKubeConfigStates",
          "cs:OpenAckService",
          "cs:DescribeTasks",
          "cs:PauseTask",
          "cs:QueryAlertContact",
          "cs:QueryAlertContactGroup",
          "cs:RestoreKubeConfigRecycleItem",
          "cs:RestoreMultiKubeConfigRecycleItems",
          "cs:ResumeTask",
          "cs:UpdateMessageFeedback",
          "cs:DescribeUserQuota",
          "cs:ListOperationPlans",
          "cs:CancelOperationPlan",
          "cs:UpdateTemplate",
          "cs:UpdateUserPermissions"
        ],
        "Resource": "*"
      }
    ]
  }