All Products
Search

This Product

    Cloud Monitor:Otorisasi akses layanan untuk layanan manajemen CloudMonitor pada kluster kontainer

    Document Center

    Cloud Monitor:Otorisasi akses layanan untuk layanan manajemen CloudMonitor pada kluster kontainer

    Last Updated:Nov 05, 2025

    Untuk menggunakan fitur integrasi data dari Pusat Integrasi CloudMonitor dengan Container Service for Kubernetes (ACK), Anda harus memberikan izin kepada CloudMonitor untuk mengelola sumber daya kluster Anda. Otorisasi ini hanya diperlukan selama operasi manajemen dan dapat dicabut setelah operasi selesai tanpa memengaruhi pengumpulan data. Untuk informasi lebih lanjut tentang cara mencabut izin, lihat Konfigurasikan Izin untuk Menolak Produk Cloud Mengakses Kluster ACK.

    Izin

    Nama Peran Layanan: AliyunCmsIntegrationForCSRole.

    Otorisasi ini mencakup izin OpenAPI dan izin ClusterRole di dalam kluster. Izin OpenAPI memungkinkan layanan CloudMonitor mendapatkan otorisasi untuk terhubung ke kluster target. Izin ClusterRole memungkinkan layanan CloudMonitor menerapkan probe pengumpulan data dan sumber daya konfigurasi pengumpulan ke kluster.

    Izin OpenAPI Alibaba Cloud

    {
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "cs:DescribeClusterInnerServiceKubeconfig",
        "adcp:GrantUserPermission",
        "adcp:DescribeHubClusterKubeconfig"
      ],
      "Resource": "*"
    }
  ]
}

    Izin ClusterRole di dalam kluster

    Layanan manajemen CloudMonitor menggunakan ClusterRole berikut untuk membuat sumber daya yang diperlukan oleh probe. Anda dapat mencabut ClusterRole setelah sumber daya dibuat.

    Sumber daya yang dibuat biasanya hanya berada di namespace berikut:

    • arms-prom, kube-system, dan cms-prom.

    apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: cloudmonitor-cms-integrationforcs-clusterrole
rules:
  # Grup API kustom (semua sumber daya dan operasi diizinkan), digunakan untuk mengirimkan konfigurasi ekstensi observabilitas
  - apiGroups:
    - vector.oam.dev
    - o11y.aliyun.dev
    - monitoring.coreos.com
    - monitor.aliyun.com
    - log.alibabacloud.com
    - telemetry.alibabacloud.com
    resources:
    - '*'
    verbs:
    - '*'
  
  # Sumber daya yang diperlukan untuk pengiriman beban kerja Exporter, digunakan untuk mengirimkan probe beban kerja
  - apiGroups: [""]
    resources:
    - services
    - configmaps
    - serviceaccounts
    - namespaces
    - events
    - secrets
    verbs:
    - '*'

  # Sumber daya aplikasi (semua operasi), digunakan untuk mengirimkan probe beban kerja
  - apiGroups: [apps, extensions]
    resources:
    - deployments
    - daemonsets
    - statefulsets
    verbs:
    - '*'

  # Sumber daya penemuan jaringan, digunakan untuk pemeriksaan penemuan layanan
  - apiGroups: [discovery.k8s.io]
    resources:
    - endpointslices
    verbs:
    - get
    - list
  - apiGroups: [""]
    resources:
    - node
    - pods
    - endpoints
    - services/proxy
    verbs:
    - get
    - list

  # Sumber daya ekstensi API, digunakan untuk menginstal CRD terkait observabilitas
  - apiGroups: [apiextensions.k8s.io]
    resources:
    - customresourcedefinitions
    verbs:
    - create
    - list
    - get

  # Sumber daya RBAC, digunakan untuk membuat sumber daya RBAC yang diperlukan oleh probe
  - apiGroups: [rbac.authorization.k8s.io]
    resources:
    - rolebindings
    - roles
    - clusterroles
    - clusterrolebindings
    verbs:
    - create
    - list
    - get

    Referensi

    CloudMonitor juga memerlukan izin bidang data untuk memantau kluster kontainer. Untuk informasi lebih lanjut, lihat Izin untuk Pengumpulan Data CloudMonitor pada Kluster Kontainer.