Container Service for Kubernetes:カスタムワーカー RAM ロールを使用したノードプール権限の詳細な管理

コンソール

「通常のサービスロールの作成」の手順に従います。信頼できるサービスの選択を求められたら、[Elastic Compute Service] を選択します。

OpenAPI または Terraform

OpenAPI または Terraform を使用してロールを作成し、次のように信頼ポリシーを設定します。 詳細については、「RAM ロールの信頼ポリシーを編集する」をご参照ください。

{
  "Statement": [
    {
      "Action": "sts:AssumeRole",
      "Effect": "Allow",
      "Principal": {
        "Service": [
          "ecs.aliyuncs.com"
        ]
      }
    }
  ],
  "Version": "1"
}

RAM ユーザーまたはロールへの ram:PassRole 権限の付与

RAM ユーザーまたは RAM ロールとして操作している場合は、ノードプールの作成時にワーカー RAM ロールを割り当てるために ram:PassRole 権限も必要です。

以下のいずれかの権限ポリシーの例を使用します。ポリシーの作成とアタッチの手順については、「カスタムポリシーの作成」、「RAM ユーザーへの権限付与」、および「RAM ロールへの権限付与」をご参照ください。

特定の RAM ロールの承認

<role_arn> をご自身の RAM ロールの ARN に置き換えます。ARN を確認するには、「RAM ロールの ARN を表示する方法」をご参照ください。

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": [
        "<role_arn>"
      ],
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}

すべての RAM ロールの承認

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "ram:PassRole",
      "Resource": "*",
      "Condition": {
        "StringEquals": {
          "acs:Service": [
            "cs.aliyuncs.com"
          ]
        }
      }
    }
  ]
}