Container Service for Kubernetes:ノードプールでの詳細な権限コントロールにカスタムワーカー RAM ロールを使用する

コンソールでの RAM ロールの作成

コンソールで RAM ロールを作成する方法については、「通常のサービスロールの作成」をご参照ください。

OpenAPI または Terraform を使用した RAM ロールの作成

• OpenAPI を使用した RAM ロールの作成

• Terraform を使用した RAM ロールの作成

OpenAPI または Terraform を使用して RAM ロールを作成する際は、信頼ポリシーが次のように構成されていることを確認してください。詳細については、「RAM ロールの信頼ポリシーの編集」をご参照ください。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

ACK コンソールでクラスターまたはノードプールを作成する際、ノードプールの [詳細オプション] 構成で、[ワーカー RAM ロール] として「ステップ 1: RAM ロールの作成」で作成したカスタムロールを選択します。

詳細については、「クラスター作成時のノードプールの詳細オプション」および「ノードプール作成時の詳細構成」をご参照ください。

RAM ユーザーまたは RAM ロールへの必要な権限の付与

この機能を RAM ユーザーまたは RAM ロールとして使用する場合、指定された RAM ロールをワーカー RAM ロールとして使用することをユーザーまたはロールに許可するために、ram:PassRole 権限ポリシーも付与される必要があります。詳細については、「カスタムポリシーの作成」、「RAM ユーザーへの権限付与」、および「RAM ロールへの権限付与」をご参照ください。

RAM 権限ポリシーの例:

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": [
        "<role_arn>"  // RAM ロールの ARN に置き換えます。
      ],
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}