Container Service for Kubernetes (ACK) depende de múltiplos serviços do Alibaba Cloud. Quando um usuário RAM acessa o console ACK, determinados recursos exigem permissões sobre esses serviços dependentes. Consulte a tabela abaixo para identificar a política de sistema necessária para cada recurso.
Esta lista descreve apenas as permissões exigidas para outros cloud services dos quais o ACK depende. Você também deve conceder a permissão de sistema AliyunCSFullAccess ou outra permissão personalizada necessária a um usuário RAM para gerenciar o ACK. Para mais informações, consulte {{XREF_0}}.
Seguindo o princípio do menor privilégio, conceda apenas permissões somente leitura para os cloud services dependentes. Conceda permissões de criação em recursos cloud somente quando necessário. Por exemplo, ao Select Existing VPC durante a criação de um cluster, basta conceder permissões somente leitura para a VPC.
Após configurar as permissões para os cloud services dependentes, você também deve {{XREF_1}}. Isso permite que o usuário RAM gerencie os recursos internos do cluster.
|
Recurso |
Dependência |
Permissão de sistema |
Permissão personalizada Action |
Resource |
Ações no console |
|
Request Quota Increase |
Quota Center |
AliyunQuotasFullAccess |
quotas:ListProductQuotas |
* |
Lista as cotas de um cloud service. |
|
quotas:ListProductQuotaDimensions |
* |
Lista as dimensões de cota suportadas por um cloud service. |
|||
|
quotas:ListProductDimensionGroups |
* |
Lista os grupos de dimensão de um cloud service. |
|||
|
quotas:ListDependentQuotas |
* |
Lista as dependências de uma cota de destino. |
|||
|
quotas:CreateQuotaApplication |
* |
Envia uma solicitação de aumento de cota. |
|||
|
Criar um cluster |
Billing Management |
AliyunBSSFullAccess / AliyunBSSReadOnlyAccess |
bssapi:GetPayAsYouGoPrice |
* |
Obtém informações de preço do product. |
|
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVSwitches |
* |
Cluster Configurations > Network Settings > VPC > Existing |
|
|
vpc:DescribeVpcs |
* |
Cluster Configurations > Network Settings > vSwitch > Existing |
|||
|
AliyunVPCFullAccess |
vpc:CreateVpc |
* |
Cluster Configurations > Network Settings > VPC > Create VPC |
||
|
vpc:CreateVSwitch |
* |
Cluster Configurations > Network Settings > vSwitch > Create VPC |
|||
|
Server Load Balancer (SLB) |
AliyunSLBFullAccess / AliyunSLBReadOnlyAccess |
slb:DescribeLoadBalancers |
* |
Cluster Configurations > Network Settings > Access to API Server > SLB Source > Existing |
|
|
slb:DescribeLoadBalancerListeners |
* |
||||
|
AliyunSLBFullAccess |
slb:CreateLoadBalancer |
* |
Cluster Configurations > Network Settings > Access to API Server > SLB Source > New |
||
|
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeSecurityGroups |
* |
Cluster Configurations > Network Settings > Security Group > Select Existing Security Group |
|
|
ecs:DescribePrice |
* |
Necessário para visualizar informações de preço ao selecionar um tipo de instância em Node Pool Configurations > Instance and Image > Instance Type. |
|||
|
ecs:DescribeImages |
* |
Necessário para selecionar imagens personalizadas e do Marketplace em Node Pool Configurations > Instance and Image > Operating System. |
|||
|
ecs:DescribeKeyPairs |
* |
Node Pool Configurations > Instance and Image > Logon Type > Key Pair |
|||
|
ecs:DescribeDeploymentSets |
* |
Master Configurations > Deployment Set > Select a Deployment Set |
|||
|
AliyunECSFullAccess |
ecs:CreateSecurityGroup |
* |
Necessário para criar automaticamente um grupo de segurança básico ou avançado na seção Cluster Configurations > Network Settings > Security Group. |
||
|
Key Management Service (KMS) |
AliyunKMSFullAccess / AliyunKMSReadOnlyAccess |
kms:ListKeys |
* |
Cluster Configurations > Advanced (Optional) > Secret Encryption > Select Key |
|
|
Auto Scaling (ESS) |
AliyunESSFullAccess / AliyunESSReadOnlyAccess |
ess:DescribePatternTypes |
* |
Node Pool Configurations > Instance Configuration Mode > Specify Instance Attributes |
|
|
ApsaraDB RDS |
AliyunRDSFullAccess / AliyunRDSReadOnlyAccess |
rds:DescribeDBInstances |
* |
Node Pool Configurations > Advanced Options (Optional) > RDS Whitelist > Select RDS Instance |
|
|
Application Load Balancer (ALB) |
AliyunALBFullAccess / AliyunALBReadOnlyAccess |
alb:ListLoadBalancers |
* |
Component Configuration > Ingress > ALB Ingress > Existing |
|
|
AliyunALBFullAccess |
alb:CreateLoadBalancer |
* |
Component Configuration > Ingress > ALB Ingress > Create Tags |
||
|
Microservices Engine (MSE) |
AliyunMSEFullAccess / AliyunMSEReadOnlyAccess |
mse:ListGateway |
* |
Component Configurations > Ingress > MSE Ingress > Existing |
|
|
AliyunMSEFullAccess |
mse:AddGateway |
* |
Component Configurations > Ingress > MSE Ingress > New |
||
|
Simple Log Service (SLS) |
AliyunLogFullAccess / AliyunLogReadOnlyAccess |
log:ListProject |
* |
|
|
|
AliyunLogFullAccess |
log:CreateProject |
* |
|
||
|
Cluster Information > Basic Information |
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVSwitches |
* |
Lista os vSwitches disponíveis para atribuição ao control plane. |
|
vpc:DescribeEipAddresses |
* |
Lista os EIPs disponíveis para substituir o endpoint público do API Server. |
|||
|
Key Management Service (KMS) |
AliyunKMSFullAccess / AliyunKMSReadOnlyAccess |
kms:ListKeys |
* |
Lista as chaves disponíveis para ativar a criptografia de secrets. |
|
|
Cluster Information > Cluster Monitoring |
Application Real-Time Monitoring Service (ARMS) |
AliyunARMSFullAccess / AliyunARMSReadOnlyAccess |
arms:ListDashboards |
* |
Lista os painéis Grafana de um cluster. |
|
Gerenciamento de Cluster no Cloud Shell |
Cloud Shell |
AliyunCloudShellFullAccess |
cloudshell:CreateEnvironment |
* |
Cria uma instância do Cloud Shell. |
|
cloudshell:AttachStorage |
* |
||||
|
cloudshell:DetachStorage |
* |
||||
|
cloudshell:CreateSession |
* |
||||
|
cloudshell:DownloadFile |
* |
Faz upload e download de arquivos. |
|||
|
cloudshell:UploadFile |
* |
||||
|
Apsara File Storage NAS (NAS) |
AliyunNASFullAccess |
nas:DescribeFileSystems |
* |
Cria e vincula um sistema de arquivos do Apsara File Storage NAS. |
|
|
nas:CreateFileSystem |
* |
||||
|
nas:DescribeAccessRules |
* |
||||
|
Node Pools > Create Node Pool |
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeImages |
* |
Necessário para selecionar imagens personalizadas e do Marketplace ao escolher um sistema operacional. |
|
ecs:DescribePrice |
* |
Obtém os preços mais recentes dos recursos ECS. |
|||
|
Node Pools > Create or Edit |
Virtual Private Cloud (VPC) |
AliyunVPCFullAccess / AliyunVPCReadOnlyAccess |
vpc:DescribeVpcs |
* |
Lista as VPCs. |
|
Node Pools > Logon Mode |
Elastic Compute Service (ECS) |
AliyunECSFullAccess / AliyunECSReadOnlyAccess |
ecs:DescribeKeyPairs |
* |
Lista os pares de chaves. |
|
Node Pools > Add Existing Node |
ecs:DescribeInstances |
* |