ACK のデフォルトおよびオプション権限付与サービスロール - Container Service for Kubernetes

Container Service for Kubernetes (ACK) がクラスター管理およびログ記録のためにお客様に代わってクラウドサービスにアクセスするには、RAM ロールが必要です。

ACK では、2 つのカテゴリのロールを使用します。

クイック権限付与ロール：初回使用時に RAM クイック権限付与を通じて割り当てられる 12 のロールであり、クラスター管理、ネットワーク、ストレージ、監視とログ記録、診断を対象とします。
オプションロール：自動スケーリング、バックアップ、エッジコンピューティングなどの機能向けにお客様が割り当てる 9 つのロールです。

クイック権限付与ロール

これらのロールは、初回使用時に RAM クイック権限付与を通じて ACK に割り当てられます。

クラスター管理ロール

ロール	説明	ポリシー詳細
AliyunCSDefaultRole	ACK がクラスターの管理中にお客様の他のサービスにあるリソースにアクセスするため、このロールを引き受けます。これには Elastic Compute Service (ECS)、Virtual Private Cloud (VPC)、Server Load Balancer (SLB)、Resource Orchestration Service (ROS)、Auto Scaling が含まれます。	AliyunCSDefaultRolePolicy
AliyunCSManagedKubernetesRole	ACK マネージドクラスターまたは ACK エッジクラスターが、ECS、VPC、SLB、Container Registry などのサービスにアクセスするため、このロールを引き受けます。	AliyunCSManagedKubernetesRolePolicy
AliyunCSServerlessKubernetesRole	ACK エッジクラスターまたは ACK サーバーレスクラスターが、ECS、VPC、SLB、Private Zone などのサービスにあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSServerlessKubernetesRolePolicy

ネットワークロール

ロール	説明	ポリシー詳細
AliyunCSManagedNetworkRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのネットワークアドオンが、ECS や VPC などのサービスにあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedNetworkRolePolicy

ストレージロール

ロール	説明	ポリシー詳細
AliyunCSManagedCsiRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのストレージアドオンが、ECS、NAS、OSS などのサービスにあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedCsiRolePolicy
AliyunCSManagedCsiProvisionerRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのストレージアドオン (csi-provisioner) が、ECS、NAS、OSS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedCsiProvisionerRolePolicy
AliyunCSManagedCsiPluginRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの CSI ストレージアドオンが、ECS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedCsiPluginRolePolicy

監視とログ記録ロール

ロール	説明	ポリシー詳細
AliyunCSKubernetesAuditRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの監査機能が、Simple Log Service (SLS) にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSKubernetesAuditRolePolicy
AliyunCSManagedCmsRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの監視アドオンが、CloudMonitor や SLS などのサービスにあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedCmsRolePolicy
AliyunCSManagedLogRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのログアドオンが、SLS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedLogRolePolicy
AliyunCSManagedArmsRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの Application Real-Time Monitoring Service (ARMS) アドオンが、ARMS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedArmsRolePolicy

診断ロール

ロール	説明	ポリシー詳細
AliyunCISDefaultRole	ACK Container Intelligence Service が診断と検査のために、ECS、VPC、SLB などのサービスにあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCISDefaultRolePolicy

オプションロール

重要

オプションロールを割り当てるには、Alibaba Cloud アカウントまたは管理者権限を持つ RAM ユーザーを使用する必要があります。

ロール	説明	ポリシー詳細
AliyunCSManagedAcrRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの認証情報なしのイメージプルアドオンが、Container Registry にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedAcrRolePolicy
AliyunCSManagedNlcRole	ACK マネージドクラスターまたは ACK エッジクラスターのノードライフサイクルコントローラーが、ECS および ACK にあるお客様のノードプールリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedNlcRolePolicy
AliyunCSManagedAutoScalerRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターの自動スケーリングアドオンが、Auto Scaling および ECS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedAutoScalerRolePolicy
AliyunCSManagedSecurityRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのディスク暗号化アドオンおよび認証情報管理アドオンが、Key Management Service (KMS) にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedSecurityRolePolicy
AliyunCSManagedCostRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのコスト分析アドオンが、Billing Management API、ECS、Elastic Container Instance (ECI) にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedCostRolePolicy
AliyunCSManagedNimitzRole	ACK Lingjun クラスターのネットワークアドオンが、Lingjun AI Computing Service にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedNimitzRolePolicy
AliyunCSManagedBackupRestoreRole	ACK マネージドクラスター、ACK エッジクラスター、または ACK サーバーレスクラスターのバックアップセンターアドオンが、Cloud Backup Service および OSS にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedBackupRestoreRolePolicy
AliyunCSManagedEdgeRole	ACK エッジクラスターのコントロールアドオンが、Smart Access Gateway (SAG)、VPC、Cloud Enterprise Network (CEN) にあるお客様のリソースにアクセスするため、このロールを引き受けます。	AliyunCSManagedEdgeRolePolicy
AliyunOOSLifecycleHook4CSRole	CloudOps Orchestration Service (OOS) が、ACK、ECS、PolarDB にあるお客様のリソースにアクセスするため、このロールを引き受けます。	以下のインラインポリシーをご参照ください。

AliyunOOSLifecycleHook4CSRole インラインポリシー

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "cs:DeleteClusterNodes",
                "cs:DescribeClusterNodes",
                "cs:DescribeTaskInfo"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ess:CompleteLifecycleAction"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "polardb:DescribeDBClusterAccessWhitelist",
                "polardb:ModifyDBClusterAccessWhitelist"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "ecs:DescribeInstances"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}