O ACK One controla o acesso por meio de três camadas: funções vinculadas ao serviço, políticas do RAM e permissões RBAC.
Responsabilidades por função
|
Função |
Configuração necessária |
|
Titular da conta Alibaba Cloud |
Conclua a autorização da função vinculada ao serviço no primeiro uso. Sua conta tem permissões totais por padrão. |
|
Administrador de conta RAM |
Autorize a função vinculada ao serviço em nome da organização. Anexe políticas de sistema do RAM a usuários ou funções RAM e conceda permissões RBAC em cada cluster. |
|
Usuário RAM ou função RAM |
Solicite ao administrador que anexe políticas do RAM e conceda permissões RBAC. |
Tipos de permissão
As permissões do ACK One operam em dois níveis:
Permissões do plano de controle (camada RAM): Definem quem gerencia recursos de cluster do ACK One, como criar clusters, visualizar configurações e chamar APIs do ACK One. Funções vinculadas ao serviço e políticas de sistema do RAM cobrem esse nível.
Permissões do plano de dados (camada RBAC): Determinam quem gerencia objetos Kubernetes dentro de um cluster, incluindo implantação de aplicações, gerenciamento de pipelines GitOps e execução de workflows do Argo.
Ambos os níveis são obrigatórios. Políticas do RAM sozinhas não concedem acesso ao Kubernetes.
|
Tipo de permissão |
Quem precisa |
O que controla |
|
Configuração inicial: conta Alibaba Cloud ou administrador de conta RAM |
Acesso do ACK One a outros serviços da Alibaba Cloud |
|
|
Usuários e funções RAM (contas Alibaba Cloud têm permissões totais por padrão) |
Acesso aos recursos de cluster do ACK One via console e APIs |
|
|
Usuários e funções RAM (contas Alibaba Cloud têm permissões totais por padrão) |
Acesso aos recursos Kubernetes nos clusters do ACK One |
Funções vinculadas ao serviço
O ACK One assume funções vinculadas ao serviço para acessar outros serviços da Alibaba Cloud em seu nome, como criar instâncias de contêiner elásticas ou gerenciar recursos de VPC.
Para obter detalhes sobre as permissões de cada função, consulte Permissões das funções vinculadas ao serviço para o ACK One.
|
Nome da função |
O que habilita |
|
AliyunCSDefaultRole |
Gerenciamento de clusters no Elastic Compute Service (ECS), Virtual Private Cloud (VPC), Server Load Balancer (SLB), Resource Orchestration Service (ROS) e Auto Scaling. Obrigatória para todos os recursos do ACK One. |
|
AliyunServiceRoleForAdcp |
Gerenciamento de clusters no ECS, VPC e SLB. Necessária para todos os recursos do ACK One. |
|
AliyunAdcpServerlessKubernetesRole |
Instâncias de frota e clusters Kubernetes para workflows distribuídos do Argo com acesso a VPC, ECS, Alibaba Cloud DNS PrivateZone, Elastic Container Instance e Simple Log Service (SLS). Essencial para todos os recursos do ACK One. |
|
AliyunAdcpManagedMseRole |
Instâncias de frota com acesso ao Microservices Engine (MSE). Exigida apenas para gateways multicluster. |
|
AliyunCSManagedKubernetesRole |
Instâncias de frota com acesso aos recursos do ACK. |
|
AliyunCSManagedLogRole |
Componente de log com acesso a outros serviços da Alibaba Cloud. |
|
AliyunCSManagedCmsRole |
Componente CMS com acesso a outros serviços da Alibaba Cloud. |
|
AliyunCSManagedArmsRole |
Plug-in do Application Real-Time Monitoring Service (ARMS) com acesso a outros serviços da Alibaba Cloud. |
O sistema cria funções vinculadas ao serviço automaticamente. Ao abrir o console do ACK One pela primeira vez, siga as instruções na tela para concluir a autorização.
Somente contas Alibaba Cloud e administradores de conta RAM podem concluir a autorização de funções. Caso encontre um erro de permissão, mude para uma conta Alibaba Cloud ou entre em contato com o administrador da sua conta RAM.
Políticas de sistema do RAM
Usuários e funções RAM não têm permissões por padrão. Anexe uma ou mais das seguintes políticas de sistema para conceder acesso aos recursos de cluster do ACK One.
Consulte Anexar uma política de permissão de sistema a um usuário RAM ou função RAM.
|
Política de sistema do RAM |
Permissão |
Clusters registrados |
Instâncias de frota |
Clusters de workflow |
|
AliyunAdcpFullAccess |
Leitura e gravação em todos os recursos do ACK One |
Sim |
Sim |
Sim |
|
AliyunAdcpReadOnlyAccess |
Acesso somente leitura a todos os recursos do ACK One |
Sim |
Sim |
Sim |
|
AliyunCSFullAccess |
Leitura e gravação em todos os recursos do Container Service for Kubernetes (ACK) |
Sim |
Sim |
Não |
|
AliyunCSReadOnlyAccess |
Acesso somente leitura a todos os recursos do ACK |
Sim |
Sim |
Não |
|
AliyunVPCReadOnlyAccess |
Especifique uma VPC ao criar um cluster ACK |
Sim |
Sim |
Sim |
|
AliyunECIReadOnlyAccess |
Agendamento de pods em instâncias de contêiner elásticas |
Sim |
Sim |
Sim |
|
AliyunLogReadOnlyAccess |
Selecione um projeto de log para um cluster ou visualize dados de inspeção de configuração |
Sim |
Sim |
Sim |
|
AliyunARMSReadOnlyAccess |
Visualize dados de monitoramento do plug-in Managed Service for Prometheus |
Sim |
Sim |
Sim |
|
AliyunRAMReadOnlyAccess |
Visualize políticas RAM existentes |
Sim |
Sim |
Sim |
|
AliyunECSReadOnlyAccess |
Adição de nós existentes a um cluster ACK ou visualize detalhes do nó |
Sim |
Não |
Não |
|
AliyunContainerRegistryReadOnlyAccess |
Visualize imagens de aplicação em uma conta Alibaba Cloud |
Sim |
Não |
Não |
|
AliyunAHASReadOnlyAccess |
Uso do recurso de topologia de cluster |
Sim |
Não |
Não |
|
AliyunYundunSASReadOnlyAccess |
Visualize dados de monitoramento de runtime para um cluster ACK |
Sim |
Não |
Não |
|
AliyunKMSReadOnlyAccess |
Ative a criptografia de Secret ao criar um cluster ACK |
Sim |
Não |
Não |
|
AliyunESSReadOnlyAccess |
Visualize, modifique e dimensione pools de nós |
Sim |
Não |
Não |
Permissões RBAC
As políticas do RAM controlam o acesso ao ACK One como serviço, mas não aos recursos Kubernetes nos clusters. Conceda permissões RBAC em clusters e namespaces específicos para operações como implantar aplicações, gerenciar pipelines GitOps ou executar workflows do Argo.
O ACK One oferece as seguintes funções RBAC predefinidas:
Instâncias de frota e clusters de workflow
|
Função RBAC |
Escopo da permissão |
Instâncias de frota |
Clusters de workflow |
|
admin (administrador) |
Leitura e gravação em recursos de todo o cluster e de todos os namespaces |
Sim |
Sim |
|
dev (desenvolvedor) |
Leitura e gravação em recursos no namespace especificado |
Sim |
Sim |
|
gitops-dev (desenvolvedor GitOps) |
Leitura e gravação em recursos de aplicação no namespace argocd |
Sim |
Não |
Consulte Permissões RBAC em clusters registrados.
Consulte também Conceder permissões RBAC a um usuário RAM ou função RAM.