[Perubahan Produk] API ACK meningkatkan otentikasi pengguna - Container Service for Kubernetes

Mulai 18 Agustus 2021, Container Service for Kubernetes (ACK) menerapkan otentikasi yang ditingkatkan untuk pengguna dan peran Resource Access Management (RAM) saat melakukan panggilan API. Untuk mencegah kesalahan otentikasi akibat panggilan API yang tidak sah, Anda harus memeriksa kebijakan RAM yang dilampirkan pada pengguna dan peran RAM dalam akun Alibaba Cloud Anda serta menambahkan izin yang diperlukan sesuai kebutuhan.

Dampak

Setelah otentikasi yang ditingkatkan diterapkan, jika pengguna atau peran RAM mencoba melakukan operasi yang tidak diizinkan, konsol ACK atau API akan mengembalikan pesan kesalahan dengan konten berikut: Kebijakan RAM Dilarang atau Kebijakan STSToken Dilarang. Pesan kesalahan tersebut juga mencantumkan tindakan RAM yang diperlukan untuk melakukan operasi.

Contoh pesan kesalahan berikut mencantumkan tindakan RAM bernama cs:DescribeEvents:

Kebijakan RAM Dilarang untuk tindakan cs:DescribeEvents

Tabel berikut mencantumkan operasi API beserta tindakan RAM yang diperlukan untuk memanggil operasi tersebut. Jika pengguna atau peran RAM Anda tidak memiliki izin untuk memanggil operasi API dalam tabel ini, masuklah ke konsol RAM dan berikan izin yang diperlukan kepada pengguna atau peran RAM.

Operasi	Tindakan RAM	Deskripsi
DescribeEvents	cs:DescribeEvents	Mengambil peristiwa pengguna
StartAlert	cs:StartAlert	Mengaktifkan aturan peringatan
StopAlert	cs:StopAlert	Menonaktifkan aturan peringatan
DeleteAlertContact	cs:DeleteAlertContact	Menghapus kontak peringatan
DeleteAlertContactGroup	cs:DeleteAlertContactGroup	Menghapus grup kontak peringatan
OpenAckService	cs:OpenAckService	Mengaktifkan ACK
DescribeClusterResources	cs:DescribeClusterResources	Mengambil semua sumber daya dalam kluster berdasarkan ID kluster
DescribeUserQuota	cs:DescribeUserQuota	Mengambil kuota sumber daya
DescribeClustersV1	cs:DescribeClustersV1	Mengambil detail tentang semua kluster
DescribeExternalAgent	cs:DescribeExternalAgent	Mengambil proxy pendaftaran kluster berdasarkan ID kluster
DescribeKubernetesVersionMetadata	cs:DescribeKubernetesVersionMetadata	Mengambil versi Kubernetes yang didukung
DescribeClusterAddonUpgradeStatus	cs:DescribeClusterAddonUpgradeStatus	Mengambil kemajuan peningkatan add-on kluster
DescribeClusters	cs:DescribeClusters	Mengambil semua kluster dalam akun, termasuk kluster Kubernetes dan Swarm
DescribeClusterNamespaces	cs:DescribeClusterNamespaces	Mengambil namespace dalam kluster
ModifyCluster	cs:ModifyCluster	Memodifikasi konfigurasi kluster berdasarkan ID kluster
MigrateCluster	cs:MigrateCluster	Memigrasi kluster
UpdateK8sClusterUserConfigExpire	cs:UpdateK8sClusterUserConfigExpire	Memperbarui waktu kedaluwarsa konfigurasi kustom
DescribeClusterNodes	cs:DescribeClusterNodes	Mengambil detail tentang semua node dalam kluster berdasarkan ID kluster
DescribeClusterAttachScripts	cs:DescribeClusterAttachScripts	Mengambil skrip yang digunakan untuk menambahkan instance ke kluster
GetUpgradeStatus	cs:GetUpgradeStatus	Mengambil kemajuan peningkatan kluster berdasarkan ID kluster
UpgradeCluster	cs:UpgradeCluster	Meningkatkan kluster berdasarkan ID kluster
PauseClusterUpgrade	cs:PauseClusterUpgrade	Menghentikan sementara peningkatan kluster
CancelClusterUpgrade	cs:CancelClusterUpgrade	Membatalkan peningkatan kluster
CreateTemplate	cs:CreateTemplate	Membuat template orkestrasi
DescribeTemplates	cs:DescribeTemplates	Mengambil detail tentang semua template orkestrasi
DescribeTemplateAttribute	cs:DescribeTemplateAttribute	Mengambil detail tentang template orkestrasi berdasarkan ID template
UpdateTemplate	cs:UpdateTemplate	Memperbarui template orkestrasi berdasarkan ID template
DeleteTemplate	cs:DeleteTemplate	Menghapus template orkestrasi berdasarkan ID template
CreateKubernetesTrigger	cs:CreateKubernetesTrigger	Membuat pemicu untuk aplikasi
GetKubernetesTrigger	cs:GetKubernetesTrigger	Mengambil pemicu aplikasi berdasarkan nama aplikasi
DeleteKubernetesTrigger	cs:DeleteKubernetesTrigger	Menghapus pemicu berdasarkan ID pemicu
InstallClusterAddons	cs:InstallClusterAddons	Memasang komponen dalam kluster
DescribeAddons	cs:DescribeAddons	Mengambil detail tentang semua komponen yang didukung
DescribeClusterAddonsUpgradeStatus	cs:DescribeClusterAddonsUpgradeStatus	Mengambil kemajuan peningkatan komponen berdasarkan nama komponen
DescribeClusterAddonsVersion	cs:DescribeClusterAddonsVersion	Mengambil detail tentang semua komponen dalam kluster berdasarkan ID kluster
ModifyClusterConfiguration	cs:ModifyClusterConfiguration	Hanya berlaku untuk kluster terkelola
UpgradeClusterAddons	cs:UpgradeClusterAddons	Meningkatkan komponen ke versi tertentu berdasarkan nama komponen
PauseComponentUpgrade	cs:PauseComponentUpgrade	Menghentikan sementara peningkatan komponen
ResumeComponentUpgrade	cs:ResumeComponentUpgrade	Melanjutkan peningkatan komponen
CancelComponentUpgrade	cs:CancelComponentUpgrade	Membatalkan peningkatan komponen
UnInstallClusterAddons	cs:UnInstallClusterAddons	Menghapus komponen berdasarkan nama komponen
CreateAutoscalingConfig	cs:CreateAutoscalingConfig	Mengonfigurasi penskalaan otomatis

Memodifikasi kebijakan RAM

Contoh berikut menunjukkan cara memodifikasi kebijakan RAM yang dilampirkan pada pengguna atau peran RAM. Untuk informasi lebih lanjut tentang otorisasi RAM, lihat Gunakan RAM untuk Mengotorisasi Akses ke Kluster dan Sumber Daya Cloud.

Scenario 1: A RAM user can perform only the cs:Get* action on a cluster and requires permissions on all read-only operations related to the cluster

Blok kode berikut menunjukkan kebijakan RAM ketika pengguna RAM hanya dapat melakukan tindakan cs:Get* pada kluster:

{
    "Statement": [
        {
            "Action": "cs:Get*",
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

Jika pengguna RAM memerlukan izin untuk semua operasi baca-saja terkait kluster, modifikasi kebijakan RAM seperti yang ditunjukkan dalam blok kode berikut:

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

Catatan Tindakan cs:Get* tidak mencakup semua operasi baca-saja. Untuk memberikan izin kepada pengguna RAM untuk semua operasi baca-saja, Anda harus menambahkan tindakan cs:List* dan cs:Describe* ke dalam kebijakan RAM.

Scenario 2: Grant a RAM user the permissions on an individual operation related to a cluster

Untuk memberikan izin kepada pengguna RAM untuk operasi individual terkait kluster, tambahkan tindakan RAM yang sesuai dengan operasi tersebut ke dalam kebijakan RAM.

Blok kode berikut menunjukkan kebijakan RAM saat ini:

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

Untuk memberikan izin pada operasi ModifyCluster, tambahkan tindakan RAM yang sesuai cs:ModifyCluster ke dalam kebijakan RAM, seperti yang ditunjukkan dalam blok kode berikut:

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*",
                "cs:ModifyCluster"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

Scenario 3: Grant a RAM user permissions on operations that are not specific to individual clusters

Beberapa operasi API tidak spesifik untuk kluster individual, seperti CreateCluster, DescribeClusters, dan DescribeEvents. Untuk memberikan izin kepada pengguna RAM untuk operasi-operasi ini, jangan tentukan ID kluster di bagian Resource.

Blok kode berikut menunjukkan kebijakan RAM saat ini:

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

Untuk memberikan izin pada operasi DescribeEvents, tambahkan tindakan RAM yang sesuai cs:DescribeEvents ke dalam kebijakan RAM, seperti yang ditunjukkan dalam blok kode berikut:

{
    "Statement": [
        {
            "Action": [
                "cs:DescribeEvents"
            ],
            "Effect": "Allow",
            "Resource": [
              "*"
            ]
        },
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}