Container Service for Kubernetes:Controle granular de recursos com grupos de recursos

Como funciona

Use grupos de recursos para organizar e gerenciar os recursos da sua conta Alibaba Cloud. Por exemplo, crie um grupo de recursos para cada projeto e mova os recursos correspondentes para esse grupo, facilitando o gerenciamento centralizado. Para mais informações, consulte O que é um grupo de recursos?.

Após agrupar seus recursos, conceda permissões sobre um grupo específico a diferentes entidades, como usuários RAM, grupos de usuários RAM ou funções RAM. Isso garante que a entidade gerencie apenas os recursos contidos naquele grupo. Para mais detalhes, consulte Agrupamento e autorização de recursos.

Esse método de autorização oferece as seguintes vantagens:

• Permissões granulares: Garante que cada identidade tenha exatamente os direitos de acesso necessários e isola os recursos entre projetos.

• Escalabilidade: Ao adicionar novos recursos, basta incluí-los no grupo de recursos. A entidade obtém automaticamente as permissões necessárias para esses novos itens.

Conceder permissões de grupo de recursos a um usuário RAM

Este procedimento usa um RAM user como exemplo para demonstrar como conceder permissões sobre recursos do ACK One em um grupo de recursos específico.

Tipos de recursos compatíveis com grupos de recursos

A tabela a seguir lista os tipos de recursos do ACK One gerenciáveis por meio de grupos de recursos.

Operações sem autorização no nível de grupo de recursos

A tabela abaixo lista as ações do ACK One incompatíveis com autorização no nível de grupo de recursos.

Para operações incompatíveis com autorização no nível de grupo de recursos, definir o escopo do recurso como Resource Group não surte efeito. Se um usuário RAM ainda precisar de permissões para executar essas operações, crie uma política de permissões personalizada e defina o escopo do recurso como Account ao conceder as permissões.

O código a seguir apresenta dois exemplos de políticas de permissões personalizadas. Modifique as políticas conforme as necessidades do seu negócio.

• Permitir todas as operações somente leitura incompatíveis com autorização no nível de grupo de recursos: O elemento Action lista todas essas operações de leitura.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "adcp:CheckServiceRole",
          "adcp:DescribeClusterEvents",
          "adcp:DescribeComponentBaselineDeployJobDetail",
          "adcp:DescribeComponentBaselineDeployJobs",
          "adcp:DescribeComponentBaselineDetail",
          "adcp:DescribeComponentBaselines",
          "adcp:DescribeComponentListOfHubCluster",
          "adcp:DescribeHubClusterKubeconfig",
          "adcp:DescribeHubClusterLogs",
          "adcp:DescribeManagedClusters",
          "adcp:DescribePolicies",
          "adcp:DescribePolicyDetails",
          "adcp:DescribePolicyGovernanceInCluster",
          "adcp:DescribePolicyInstances",
          "adcp:DescribePolicyInstancesStatus",
          "adcp:DescribeUserPermissions",
          "adcp:ListTagResources"
        ],
        "Resource": "*"
      }
    ]
  }
  

• Permitir todas as operações incompatíveis com autorização no nível de grupo de recursos: O elemento Action lista todas essas operações.

  {
    "Version": "1",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": [
          "adcp:AbortComponentBaselineDeployBatch",
          "adcp:AbortComponentBaselineDeployJob",
          "adcp:AttachClusterToHub",
          "adcp:ChangeResourceGroup",
          "adcp:CheckSLRExists",
          "adcp:CheckServiceRole",
          "adcp:ComponentBaselinePreCheck",
          "adcp:CreateComponentBaseline",
          "adcp:CreateComponentBaselineDeployJob",
          "adcp:DeleteComponentBaseline",
          "adcp:DeleteComponentBaselineDeployJob",
          "adcp:DeletePolicyInstance",
          "adcp:DeleteUserPermission",
          "adcp:DeployPolicyInstance",
          "adcp:DescribeClusterEvents",
          "adcp:DescribeComponentBaselineDeployJobDetail",
          "adcp:DescribeComponentBaselineDeployJobs",
          "adcp:DescribeComponentBaselineDetail",
          "adcp:DescribeComponentBaselines",
          "adcp:DescribeComponentListOfHubCluster",
          "adcp:DescribeHubClusterKubeconfig",
          "adcp:DescribeHubClusterLogs",
          "adcp:DescribeManagedClusters",
          "adcp:DescribePolicies",
          "adcp:DescribePolicyDetails",
          "adcp:DescribePolicyGovernanceInCluster",
          "adcp:DescribePolicyInstances",
          "adcp:DescribePolicyInstancesStatus",
          "adcp:DescribeUserPermissions",
          "adcp:DetachClusterFromHub",
          "adcp:GrantUserPermission",
          "adcp:GrantUserPermissions",
          "adcp:ListTagResources",
          "adcp:ResumeComponentBaselineDeployJob",
          "adcp:RollbackComponentBaselineDeployBatch",
          "adcp:StartComponentBaselineDeployBatch",
          "adcp:StartComponentBaselineDeployJob",
          "adcp:SuspendComponentBaselineDeployJob",
          "adcp:TagResources",
          "adcp:UntagResources",
          "adcp:UpdateClusterTags",
          "adcp:UpdateComponentBaseline",
          "adcp:UpdateUserPermission"
        ],
        "Resource": "*"
      }
    ]
  }
  

FAQ