Container Service for Kubernetes:リソースグループを使用した ACK クラスタの詳細なリソース管理

リソースグループレベルの権限付与手順

次の例では、特定のリソースグループ内の ACK クラスタのリソースを管理する権限を RAM ユーザーに付与する方法について説明します。

1. RAM コンソール で RAM ユーザーを作成します。

   RAM ユーザーの作成方法の詳細については、「RAM ユーザーを作成する」をご参照ください。

2. リソース管理コンソール でリソースグループを作成します。

   詳細については、「リソースグループを作成する」をご参照ください。

3. リソースをリソースグループに分類します。

   • リソースを作成する場合、リソースを追加するリソースグループを指定します。

   • 既存のリソースを使用する場合は、リソースを対応するリソースグループに転送します。詳細については、「リソースグループ間でリソースを手動で転送する」をご参照ください。

4. RAM コンソール にログインし、カスタムポリシーを作成します。

   作成されたカスタムポリシーには、RAM ユーザーに必要な操作権限が含まれている必要があります。詳細については、「カスタムポリシーを作成する」をご参照ください。システムポリシーを RAM ユーザーにアタッチする場合は、この手順をスキップします。

   実際のビジネス環境では、最小権限の原則に基づいて、必要な権限のみを RAM ユーザーに付与することをお勧めします。これにより、過剰なユーザー権限によって引き起こされるセキュリティリスクを防ぎます。

   カスタムポリシーの例:

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["cs:DescribeClusterDetail"], // クラスタの詳細情報の取得を許可
         "Resource": "*"
       }
     ]
   }

5. 有効範囲がリソースグループであるカスタムポリシーを RAM ユーザーにアタッチします。

   次のいずれかの方法で RAM ユーザーに権限を付与できます。

   • リソース管理コンソール にログインし、[リソースグループ] ページでリソースグループを選択します。詳細については、「RAM 権限付与を追加する」をご参照ください。

     

   • RAM コンソール にログインし、[権限の付与] パネルで [リソース範囲] パラメーターを [リソースグループ] に設定します。詳細については、「RAM ユーザーに権限を付与する」をご参照ください。

     

リソースグループをサポートするリソースタイプ

次の表に、ACK でリソースグループをサポートするリソースタイプを示します。

リソースグループレベルの権限付与をサポートしていない操作

次の表に、ACK でグループレベルのリソース権限付与をサポートしていない操作を示します。権限ポリシーについては、このトピックの「カスタムポリシーの例」セクションをご参照ください。

ACK の RAM 権限付与の詳細については、「RAM 権限付与」をご参照ください。

カスタムポリシーの例

リソースグループをサポートしていないリソースタイプの場合、リソースグループに付与された権限は有効になりません。カスタムポリシーを作成し、RAM コンソールで [リソース範囲] パラメーターを [アカウント] に設定する必要があります。

次のサンプルコードは、2 つのカスタムポリシーの例を示しています。ビジネス要件に基づいてポリシーの内容を変更できます。

• 次のカスタムポリシーでは、リソースグループレベルの権限付与をサポートしていない読み取り専用操作が許可されます。

  カスタムポリシーでは、Action フィールドに、リソースグループ レベルの権限付与をサポートしていないすべての読み取り専用操作が含まれています。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:DescribeAddon",
          "cs:DescribeAddons",
          "cs:DescribeEvents",
          "cs:DescribeEventsForRegion",
          "cs:DescribeKubeConfigManagementTaskList",
          "cs:DescribeKubernetesVersionMetadata",
          "cs:DescribePatternTypes",
          "cs:DescribePolicies",
          "cs:DescribePolicyDetails",
          "cs:DescribeTaskInfo",
          "cs:DescribeTemplateAttribute",
          "cs:DescribeTemplates",
          "cs:DescribeUserInstances",
          "cs:DescribeUserPermission",
          "cs:ListAddons",
          "cs:ListHaveKubeconfigDeletedAccounts",
          "cs:ListKubeConfigRecycle",
          "cs:ListOperationPlans",
          "cs:ListUserKubeConfigStates",
          "cs:QueryAlertContact",
          "cs:QueryAlertContactGroup",
          "cs:CheckServiceRole",
          "cs:DescribeTasks",
          "cs:DescribeUserQuota",
          "cs:ListOperationPlans",
          "cs:CheckUserClustersActivity"
        ],
        "Resource": "*"
      }
    ]
  }

• 次のカスタムポリシーでは、リソースグループレベルの権限付与をサポートしていない書き込み操作が許可されます。

  カスタムポリシーでは、Action フィールドに、リソースグループレベルの権限付与をサポートしていないすべての操作が含まれています。

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "cs:AddOrUpdateAlertContact", // アラート連絡先の追加または更新
          "cs:AddOrUpdateAlertContactGroup", // アラート連絡先グループの追加または更新
          "cs:CancelOperationPlan", // オペレーションプランのキャンセル
          "cs:CancelTask", // タスクのキャンセル
          "cs:CheckServiceRole", // サービスロールの確認
          "cs:CheckUserClustersActivity", // ユーザー クラスタ アクティビティの確認
          "cs:CleanUserPermissions", // ユーザー権限のクリーンアップ
          "cs:CreateKubernetesTrigger", // Kubernetes トリガーの作成
          "cs:CreateSessionMessage", // セッションメッセージの作成
          "cs:CreateTemplate", // テンプレートの作成
          "cs:DeleteAlertContact", // アラート連絡先の削除
          "cs:DeleteAlertContactGroup", // アラート連絡先グループの削除
          "cs:DeleteKubeConfigRecycleItem", // KubeConfig リサイクルアイテムの削除
          "cs:DeleteTemplate", // テンプレートの削除
          "cs:DeleteTriggerHook", // トリガーフックの削除
          "cs:DescribeAddon", // アドオンの記述
          "cs:DescribeAddons", // アドオンの記述
          "cs:DescribeEvents", // イベントの記述
          "cs:DescribeEventsForRegion", // リージョンごとのイベントの記述
          "cs:DescribeKubeConfigManagementTaskList", // KubeConfig 管理タスクリストの記述
          "cs:DescribeKubernetesVersionMetadata", // Kubernetes バージョンメタデータの記述
          "cs:DescribePatternTypes", // パターンの種類の記述
          "cs:DescribePolicies", // ポリシーの記述
          "cs:DescribePolicyDetails", // ポリシー詳細の記述
          "cs:DescribeTaskInfo", // タスク情報の記述
          "cs:DescribeTemplateAttribute", // テンプレート属性の記述
          "cs:DescribeTemplates", // テンプレートの記述
          "cs:DescribeUserInstances", // ユーザーインスタンスの記述
          "cs:DescribeUserPermission", // ユーザー権限の記述
          "cs:ListAddons", // アドオンの一覧表示
          "cs:ListHaveKubeconfigDeletedAccounts", // Kubeconfig が削除されたアカウントの一覧表示
          "cs:ListKubeConfigRecycle", // KubeConfig リサイクルの一覧表示
          "cs:ListOperationPlans", // オペレーションプランの一覧表示
          "cs:ListUserKubeConfigStates", // ユーザー KubeConfig 状態の一覧表示
          "cs:OpenAckService", // ACK サービスの開始
          "cs:DescribeTasks", // タスクの記述
          "cs:PauseTask", // タスクの一時停止
          "cs:QueryAlertContact", // アラート連絡先のクエリ
          "cs:QueryAlertContactGroup", // アラート連絡先グループのクエリ
          "cs:RestoreKubeConfigRecycleItem", // KubeConfig リサイクルアイテムの復元
          "cs:RestoreMultiKubeConfigRecycleItems", // 複数の KubeConfig リサイクルアイテムの復元
          "cs:ResumeTask", // タスクの再開
          "cs:UpdateMessageFeedback", // メッセージフィードバックの更新
          "cs:DescribeUserQuota", // ユーザー クォータの記述
          "cs:ListOperationPlans", // オペレーションプランの一覧表示
          "cs:CancelOperationPlan", // オペレーションプランのキャンセル
          "cs:UpdateTemplate", // テンプレートの更新
          "cs:UpdateUserPermissions" // ユーザー権限の更新
        ],
        "Resource": "*"
      }
    ]
  }