Container Service for Kubernetes:クラスタ内のリソースに対する操作権限を RBAC を使用して管理する

Alibaba Cloud アカウントを使用して RBAC 権限を付与する

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[権限付与] をクリックします。

2. [権限付与] ページで、権限を付与します。

   • RAM ユーザーに権限を付与する

     [RAM ユーザー] タブをクリックし、リストで管理する RAM ユーザーを探し、[権限の変更] をクリックして [権限管理] パネルを開きます。複数の RAM ユーザーを選択して権限を付与することもできます。

   • RAM ロールに権限を付与する

     [RAM ロール] タブをクリックし、RAM ロールの名前 を指定して、[権限の変更] をクリックして [権限管理] パネルを開きます。

     説明

     RAM ロールを手動で入力するか、ドロップダウンリストから RAM ロールを選択できます。RAM ロールの名前 フィールドの横にある空白のボックスをクリックできます。既存の RAM ロールのリストが表示されます。次に、リストから既存の RAM ロールを選択して権限を付与します。

3. [権限の追加] をクリックし、RAM ユーザーまたは RAM ロールの [クラスタ]、[名前空間]、および権限管理パラメータを構成し、[送信] をクリックします。

   説明

   • 1 つの事前定義済みのロールと、クラスタまたは名前空間の複数のカスタムロールを、RAM ユーザーまたは RAM ロールに割り当てることができます。この場合、付与される権限は、複数のロールによって提供される権限の和集合です。

   • RAM ユーザーまたは RAM ロールにすべてのクラスタ（新しく作成されたクラスタを含む）を管理する権限を付与する必要がある場合は、事前定義済みのロールを RAM ユーザーまたは RAM ロールに割り当てるときに、[クラスタ] 列で [すべてのクラスタ] を選択します。

   • 読み取り専用管理者権限は、単一のクラスタにのみ付与でき、すべてのクラスタの選択はサポートされていません。

   事前定義済みのロール	クラスタリソースに対する RBAC 権限
   管理者	すべての名前空間のリソースに対する RBAC の読み取りおよび書き込み権限、ノード、ボリューム、名前空間、クォータに対する読み取りおよび書き込み権限。
   読み取り専用管理者	すべての名前空間の Kubernetes リソースに対する RBAC 読み取り専用権限。
   O&M エンジニア	すべての名前空間のコンソールに表示される Kubernetes リソースに対する読み取りおよび書き込み権限、ノード、永続ボリューム（PV）、名前空間、クォータに対する読み取り専用権限。
   開発者	すべての名前空間または指定された名前空間のコンソールに表示される Kubernetes リソースに対する RBAC の読み取りおよび書き込み権限。
   制限付きユーザー	すべての名前空間または指定された名前空間のコンソールに表示される Kubernetes リソースに対する RBAC 読み取り専用権限。
   カスタム	カスタム ロールの権限は、選択したクラスター ロールによって決まります。クラスター ロールを選択する前に、クラスター ロールの権限を確認し、RAM ユーザーまたは RAM ロールに必要な権限のみを付与するようにしてください。カスタム RAM ユーザーまたは RAM ロールの構成方法の詳細については、「カスタム RBAC を使用してクラスター内のリソース操作を制限する」をご参照ください。 重要 RAM ユーザーまたは RAM ロールに cluster-admin ロールが割り当てられると、RAM ユーザーまたは RAM ロールは、RAM ユーザーまたは RAM ロールが属する Alibaba Cloud アカウントと同じ権限を持ちます。RAM ユーザーまたは RAM ロールは、クラスタ内のすべてのリソースを完全に制御できます。cluster-admin ロールを RAM ユーザーまたは RAM ロールに割り当てる場合は注意してください。

RAM ユーザーまたは RAM ロールを使用して RBAC 権限を付与する

Alibaba Cloud アカウントは、アカウント内のリソースに対する完全な管理権限を持っています。新しいまたは既存の RAM ユーザーまたは RAM ロールに、以下の RAM 権限と RBAC 権限を付与することもできます。その後、RAM ユーザーまたは RAM ロールが権限管理者として設定され、RAM ユーザーまたは RAM ロールを使用して他の RAM ユーザーまたは RAM ロールに RBAC 権限を付与できます。

手順 1: RAM ユーザーまたは RAM ロールを権限管理者として指定する

1. RAM 権限付与権限を付与する権限

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"  // RAM ロールにポリシーをアタッチするために必要です。
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx", // RAM ポリシーを指定します。
                "acs:*:*:*:user/*" // RAM ユーザーを指定します。
            ]
        }
    ],
    "Version": "1"
}

2. RBAC 管理者権限を付与する権限

Alibaba Cloud アカウントで ACK コンソール にログインします。次に、すべてのクラスタの [管理者] ロールを RAM ユーザーまたは RAM ロールに割り当てます。詳細については、「Alibaba Cloud アカウントを使用して RBAC 権限を付与する」をご参照ください。

上記の RAM 権限と RBAC 権限が付与されると、承認された RAM ユーザーまたは RAM ロールが権限管理者として設定されます。それらを使用して、他の RAM ユーザーまたは RAM ロールに RAM 権限と RBAC 権限を付与できます。

手順 2: 他の RAM ユーザーまたは RAM ロールに RBAC 権限を付与する

RAM ユーザーまたは RAM ロールに管理者権限が付与されている場合は、RAM コンソールにログインして、他の RAM ユーザーまたは RAM ロールに RBAC 権限を付与できます。操作は、Alibaba Cloud アカウントを使用して RBAC 権限を付与する場合と同じです。詳細については、「Alibaba Cloud アカウントを使用して RBAC 権限を付与する」をご参照ください。