Container Compute Service:RAMユーザーまたはRAMロールのカスタムポリシー

背景情報

Alibaba Cloud Container Compute Service (ACS) によって提供されるシステムポリシーは粗粒度であり、ビジネス要件を満たせない場合があります。 ACS できめ細かい管理を実装するために、カスタムポリシーを作成できます。 たとえば、特定のクラスターに対する操作権限を制御する場合、この要件を満たしてきめ細かい管理を実現するためにカスタムポリシーを作成する必要があります。

{
  "Statement": [
    {
      "Action": [
        "cs:Describe*" // Describe* アクションを許可します
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/Cluster ID" // クラスターIDを指定します
      ]
    }
  ],
  "Version": "1"
}

RAMユーザーに必要なクラスターに対するRAM権限を付与した後、RBACを使用してRAMユーザーにクラスターリソースを管理するための権限を付与します。

カスタムポリシー

ACK によって提供されるシステムポリシーは粗粒度です。 システムポリシーが要件を満たせない場合は、カスタムポリシーを作成して ACK クラスターへのきめ細かいアクセス制御を実装できます。 たとえば、指定されたクラスターに対する操作権限を制御する場合は、きめ細かい管理のためにこの要件を満たすカスタムポリシーを作成する必要があります。

手順 1：カスタムポリシーを作成する

1. RAM管理者として RAMコンソール にログインします。

2. 左側のナビゲーションペインで、[権限] > [ポリシー] を選択します。

3. [ポリシー] ページで、[ポリシーの作成] をクリックします。

   

4. [ポリシーの作成] ページで、[JSON] タブをクリックし、ポリシーの内容を入力します。

   {
    "Statement": [{
        "Action": [
            "cs:Get*", // Get* アクションを許可します
            "cs:List*", // List* アクションを許可します
            "cs:Describe*", // Describe* アクションを許可します
            "cs:ScaleCluster", // ScaleCluster アクションを許可します
            "cs:DeleteCluster" // DeleteCluster アクションを許可します
        ],
        "Effect": "Allow",
        "Resource": [
            "acs:cs:*:*:cluster/Cluster ID" // クラスターIDを指定します
        ]
    }],
    "Version": "1"
   }

   パラメーター	説明
   Action	付与する権限。 ワイルドカード文字がサポートされています。
   Resource	Cluster ID をクラスターの実際の ID に置き換えます。 1 つのクラスターに権限を付与する "Resource": [ "acs:cs:*:*:cluster/Cluster ID" // 1つのクラスターIDを指定します ] 複数のクラスターに権限を付与する "Resource": [ "acs:cs:*:*:cluster/Cluster ID", // 複数のクラスターIDを指定します "acs:cs:*:*:cluster/Cluster ID" // 複数のクラスターIDを指定します ] すべてのクラスターに権限を付与する "Resource": [ "*" // 全てのクラスターを指定します ]

5. [ポリシー情報の編集に進む] をクリックし、ポリシーの名前を入力して、[OK] をクリックします。

6. [ポリシー] ページに戻ると、ポリシーの名前または説明を検索ボックスに入力してポリシーを検索できます。

手順 2：カスタムポリシーを RAMユーザーまたは RAMロールにアタッチする

システムポリシーをアタッチするのと同じ方法で、カスタムポリシーをアタッチできます。 詳細については、「システムポリシーをRAMユーザーまたはRAMロールにアタッチする」をご参照ください。