コンテナ監視のセキュリティを向上させ、権限管理を標準化するために、Prometheus エージェントおよび Entity Collector コンポーネントの ClusterRole 権限モデルが更新されます。これらの変更は、コントロールプレーンとデータプレーンの両方に影響します。具体的な ClusterRole の変更点を以下に示します。
Prometheus エージェントのデータプレーンの変更
V1.1.35 以降、Prometheus エージェントのデータプレーン権限に以下の変更が適用されます。
arms-prometheus-oper3(ClusterRole) は、cms-prometheus-operator-cluster-role(セルフマネージドシナリオの場合) およびcms-prometheus-operator-managed-role(マネージドシナリオの場合) に名前が変更されます。新しいロールのアクセスポリシーはarms-prometheus-oper3から継承されます。このポリシーは、Prometheus オペレーターに、特定名前空間内のリソースを読み取り、ワークロード (Deployment や Pod など) を管理する権限を付与します。arms-pilot-prom-k8s(ClusterRole) は非推奨になりました。arms-pilot-prom-k8s-arms_config(Role) はcms-prometheus-operator-roleに名前が変更されます。このロールは、Prometheus オペレーターに、特定名前空間内のワークロードを管理する権限を付与します。arms-kube-state-metrics(ClusterRole) は、cms-kube-meta-role(セルフマネージドシナリオの場合) およびcms-kube-meta-managed-role(マネージドシナリオの場合) に名前が変更されます。新しいロールのアクセスポリシーはarms-kube-state-metricsから継承されます。このポリシーは、kube-state-metricsにクラスタリソースを読み取る権限を付与します。
Entity Collector のデータプレーンの変更
v2.0.7 以降、マネージド Entity Collector のデータプレーン権限に以下の変更が適用されます。
entity-collector-manager-role (ClusterRole) は非推奨になりました。マネージド Entity Collector は、kube-state-metrics と ClusterRole を共有するようになりました: cms-kube-meta-role または cms-kube-meta-managed-role。この共有ロールは、Meta メトリックとエンティティを生成するために必要なクラスタリソースに対する読み取り権限を付与します。
Cloud Monitor 統合センターのコントロールプレーンの変更
2025 年 11 月 10 日以降、コンテナクラスター用の Cloud Monitor 統合センターで必要とされるコントロールプレーン権限は、次のように更新されます。
CloudLens for Container に必要なコントロールプレーン権限のために、新しい専用の ClusterRole が追加されます: cloudmonitor-cms-integrationforcs-clusterrole。対応する Alibaba Cloud サービスロールは AliyunCmsIntegrationForCSRole です。詳細については、「コンテナクラスターでの Cloud Monitor データ収集の権限」および「コンテナクラスター上の Cloud Monitor 管理サービスへのサービスアクセス権限付与」をご参照ください。