O ACK One (Distributed Cloud Container Platform for Kubernetes) usa funções de serviço vinculadas para acessar outros serviços da Alibaba Cloud em seu nome. Este tópico descreve as funções de serviço vinculadas do ACK One e suas permissões.
Atribuir a função de serviço vinculada
Para concluir a autorização, use uma conta Alibaba Cloud ou uma conta de administrador de conta RAM.
As funções de serviço vinculadas são criadas automaticamente, sem necessidade de criação manual. Ao abrir o console do ACK One pela primeira vez, o sistema solicitará a conclusão da autorização. Siga as instruções na tela para finalizar o processo.
Somente contas Alibaba Cloud e administradores de conta RAM podem concluir a autorização de funções. Usuários RAM comuns não têm permissão para executar essa operação. Caso o console exiba um erro de permissões, faça login com uma conta Alibaba Cloud ou com uma conta de administrador de conta RAM.
Funções de serviço vinculadas do ACK One
O ACK One usa as seguintes funções de serviço vinculadas:
|
Nome da função |
Finalidade |
Obrigatoriedade |
|
|
Permite que o ACK One acesse recursos do ECS, VPC, SLB, Resource Orchestration Service (ROS) e Auto Scaling durante o gerenciamento de clusters. |
Obrigatória para todos os recursos do ACK One |
|
|
Habilita o acesso do ACK One a recursos do ECS, VPC e SLB no gerenciamento de clusters. |
Obrigatória para todos os recursos do ACK One |
|
|
Concede às instâncias de frota do ACK One e aos clusters Kubernetes para fluxos de trabalho Argo distribuídos acesso a recursos de VPC, ECS, Alibaba Cloud DNS PrivateZone, Elastic Container Instance e Simple Log Service. |
Obrigatória para todos os recursos do ACK One |
|
|
Autoriza as instâncias de frota do ACK One a acessarem recursos do Microservices Engine (MSE). |
Necessária apenas para gateways multicluster |
A função AliyunAdcpManagedMseRole é necessária exclusivamente ao usar gateways multicluster. Ela não afeta nenhum outro recurso do ACK One.
Permissões das funções de serviço vinculadas
AliyunServiceRoleForAdcp
Esta função concede ao ACK One acesso para gerenciar grupos de segurança e interfaces de rede no ECS, tabelas de rotas e balanceadores de carga na VPC, topologia CEN, instâncias SLB, malhas de serviço ASM, aplicações RAM e monitoramento ARMS Prometheus.
Permissões relacionadas ao ECS
Permissões relacionadas à VPC
Permissões relacionadas ao CEN
Permissões relacionadas ao SLB
AliyunAdcpServerlessKubernetesRole
Esta função permite que instâncias de frota do ACK One e clusters de fluxo de trabalho Argo gerenciem endereços IP elásticos e vSwitches na VPC, interfaces de rede no ECS, zonas privadas de DNS, grupos de contêineres do Elastic Container Instance, além de projetos e Logstores do Simple Log Service.
AliyunAdcpManagedMseRole
Esta função autoriza instâncias de frota do ACK One a gerenciar gateways, origens de serviço e regras de controle de tráfego no Microservices Engine (MSE), além de permitir a coleta de dados do Simple Log Service e a criação de funções de serviço vinculadas adicionais.
AliyunCSManagedKubernetesRole
Esta função concede aos clusters do ACK One acesso para gerenciar instâncias, interfaces de rede e entradas de rota no ECS; balanceadores de carga e grupos de servidores no SLB; entradas de rota na VPC; projetos de log e Logstores no Simple Log Service; recursos ALB e NLB; além de métricas do CloudMonitor (CMS) e imagens do Container Registry (ACR).
AliyunCSManagedLogRole
Esta função concede aos clusters do ACK One o gerenciamento completo do ciclo de vida dos recursos do Simple Log Service — incluindo projetos de log, Logstores, configurações, grupos de máquinas, índices, buscas salvas, painéis e jobs — além da capacidade de publicar entradas de log e acionar eventos do EventBridge.
AliyunCSManagedCmsRole
Esta função permite que os clusters do ACK One gerenciem grupos de monitoramento, regras de métricas e grupos de tags dinâmicas no CloudMonitor (CMS), além de ler métricas do SLS e SLB e reportar dados via ARMS Sentinel.
AliyunCSManagedArmsRole
Esta função concede aos clusters do ACK One acesso total à API do Application Real-Time Monitoring Service (ARMS) — incluindo regras de alerta, grupos de contatos, regras de despacho, monitoramento Prometheus e gerenciamento de ambientes — além do gerenciamento de gateways MSE e escrita de logs no Simple Log Service.
Próximos passos
Para obter uma visão geral das permissões e cenários de autorização do ACK One, consulte Visão geral da autorização.
Para conceder permissões a um usuário RAM ou função RAM sobre recursos do ACK One, consulte Anexar uma política de permissão do sistema a um usuário RAM ou função RAM.
Para conceder permissões a um usuário RAM ou função RAM sobre recursos Kubernetes em um cluster específico, consulte Conceder permissões RBAC a um usuário RAM ou função RAM.