Container Compute Service：Ikhtisar Otorisasi

Sistem Otorisasi ACS

Otorisasi RAM

Ketika sebuah perusahaan mengintegrasikan sistemnya dengan RAM, insinyur pemeliharaan perlu menggunakan pengguna RAM atau peran RAM untuk mengelola sumber daya cloud. Secara default, pengguna RAM atau peran RAM tidak memiliki izin untuk memanggil API layanan cloud. Anda harus memberikan izin yang diperlukan kepada pengguna RAM atau peran RAM terlebih dahulu.

Anda dapat melakukan Otorisasi RAM dengan salah satu metode berikut:

• Lampirkan kebijakan sistem: Metode ini digunakan untuk memberikan izin baca dan tulis pada sumber daya global kepada pengguna RAM atau peran RAM. Kami merekomendasikan penggunaan kebijakan sistem untuk memberikan izin pemeliharaan pada semua klaster yang dimiliki oleh akun Alibaba Cloud Anda. Untuk informasi lebih lanjut, lihat Berikan izin kepada pengguna RAM atau peran RAM.

  Tabel berikut menjelaskan kebijakan sistem umum yang terkait dengan ACS. Pilih kebijakan sistem sesuai dengan kebutuhan Anda.

  Kebijakan sistem	Deskripsi
  AliyunCSFullAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk memanggil semua operasi API ACK saat membuat klaster ACS. Penting Ruang lingkup izin ini mencakup semua klaster ACK kecuali klaster ACS. Gunakan kebijakan ini dengan hati-hati. Kebijakan ini hanya melibatkan Otorisasi RAM untuk operasi API ACK. Jika Anda ingin mengelola aplikasi dalam klaster ACS, Anda harus melakukan Otorisasi RBAC. Untuk informasi lebih lanjut, lihat Otorisasi RBAC.
  AliyunCSReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk memanggil semua operasi API baca-saja ACK. Ruang lingkup izin ini mencakup semua klaster ACK kecuali klaster ACS. Gunakan kebijakan ini dengan hati-hati.
  AliyunACCFullAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin akses untuk semua operasi API ACS.
  AliyunACCReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin baca-saja untuk semua operasi API ACS.
  AliyunVPCReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk menentukan virtual private cloud (VPC) untuk klaster ACS yang akan dibuat.
  AliyunContainerRegistryFullAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk gambar bisnis dalam akun Alibaba Cloud.
  AliyunLogReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk memilih proyek log yang ada untuk menyimpan log audit klaster ACS yang akan dibuat atau melihat informasi pemeriksaan konfigurasi klaster ACS.
  AliyunRAMFullAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk mengelola otorisasi global dalam akun Alibaba Cloud.
  AliyunEBSFullAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk menggunakan semua fitur layanan penyimpanan disk.
  AliyunARMSReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk melihat data pemantauan plugin Managed Service for Prometheus.
  AliyunKMSReadOnlyAccess	Kebijakan ini memberikan pengguna RAM atau peran RAM izin untuk melihat kunci dalam Key Management Service (KMS) untuk klaster ACS yang akan dibuat.

• Lampirkan kebijakan kustom: Metode ini digunakan untuk mengontrol izin pengguna RAM atau peran RAM pada sumber daya cloud secara rinci. Jika pengguna RAM atau peran RAM perlu mengembangkan aplikasi berdasarkan SDK, Anda dapat menggunakan kebijakan kustom untuk mengontrol izin pada operasi API.

  • Untuk menerapkan kontrol akses tingkat aplikasi, Anda dapat menggunakan RAM Roles for Service Accounts (RRSA) untuk memberikan izin kepada pod yang berbeda agar dapat mengakses layanan cloud yang berbeda. Untuk informasi lebih lanjut, lihat Gunakan RRSA untuk memberikan izin kepada pod yang berbeda untuk mengakses layanan cloud yang berbeda.

  Sebagai contoh, Anda dapat menggunakan kebijakan berikut untuk memberikan izin baca kepada pengguna RAM atau peran RAM pada bucket Object Storage Service (OSS):

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                        "oss:ListBuckets",
                        "oss:GetBucketStat",
                        "oss:GetBucketInfo",
                        "oss:GetBucketTagging",
                        "oss:GetBucketAcl" 
                        ],    
              "Resource": "acs:oss:*:*:*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:ListObjects",
                  "oss:GetBucketAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:GetObject",
                  "oss:GetObjectAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos/*"
          }
      ]
  }

Peran dan ClusterRoles

Role atau ClusterRole dalam RBAC berisi aturan yang mewakili serangkaian izin. Izin ini bersifat tambahan dan tidak mencakup aturan yang melarang operasi.

Role adalah sumber daya bernama ruang yang mendefinisikan izin dalam namespace tertentu. Saat membuat Role, Anda harus menentukan namespace tempat Role tersebut berada.

ClusterRole adalah sumber daya tanpa namespace yang mendefinisikan izin di seluruh klaster. Kedua jenis peran memiliki nama yang berbeda karena objek Kubernetes harus berupa bernama ruang atau tanpa namespace.

Untuk informasi lebih lanjut tentang cara membuat Kubernetes ClusterRole atau Role, lihat Sesuaikan peran RBAC.

Kontrol akses berbasis RBAC

Untuk memberikan izin kepada pengguna RAM atau peran RAM dalam mengelola sumber daya Kubernetes tertentu di klaster, seperti mendapatkan informasi pod dan node, buka halaman otorisasi konsol ACS dan berikan izin kepada pengguna RAM atau peran RAM pada sumber daya bidang data.