Container Compute Service:Visão geral da autorização

Escopo da autorização RAM

A autorização RAM concede permissões para operações de O&M do cluster:

• Crie, visualize e exclua clusters

• Gerencie a autorização RBAC

• Monitorar clusters e gerenciar logs e eventos

Escopo da autorização RBAC

A autorização RBAC concede permissões no nível do namespace ou em todo o cluster sobre recursos do Kubernetes:

• Recursos de carga de trabalho: Deployment, StatefulSet, Job, CronJob, pod, ReplicaSet e HorizontalPodAutoscaler (HPA)

• Recursos de rede: Service, Ingress e NetworkPolicy

• Recursos de armazenamento: persistent volume (PV), persistent volume claim (PVC) e StorageClass

• Outros recursos: Namespace, ConfigMap e Secret

Políticas do sistema

As políticas do sistema concedem permissões amplas e predefinidas, adequadas para acesso de O&M em todos os clusters de uma conta. Conceder permissões a um usuário ou função RAM.

Políticas personalizadas

Políticas personalizadas oferecem controle refinado sobre operações específicas da API e recursos. Utilize-as quando usuários ou funções RAM precisarem de permissões com escopo restrito para desenvolvimento baseado em SDK.

O exemplo a seguir concede acesso somente leitura a um bucket do Object Storage Service (OSS) chamado myphotos:

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListBuckets",
                "oss:GetBucketStat",
                "oss:GetBucketInfo",
                "oss:GetBucketTagging",
                "oss:GetBucketAcl"
            ],
            "Resource": "acs:oss:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListObjects",
                "oss:GetBucketAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:GetObjectAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos/*"
        }
    ]
}

Acesso no nível do pod com RRSA

O RAM Roles for Service Accounts (RRSA) associa uma função RAM a um ServiceAccount do Kubernetes. Assim, os pods que utilizam esse ServiceAccount podem chamar APIs designadas de serviços de nuvem. Usar RRSA para autorizar diferentes pods a acessar diferentes serviços de nuvem.

Funções predefinidas

O ACS fornece as seguintes funções predefinidas, além de uma opção personalizada. Cada uma corresponde a um ClusterRole. Conceder permissões RBAC a usuários ou funções RAM.

Roles e ClusterRoles

O RBAC do Kubernetes utiliza dois tipos de recursos de função:

• Role: recurso com escopo de namespace que define permissões dentro de um único namespace. Especifique o namespace de destino ao criar uma Role.

• ClusterRole: recurso sem escopo de namespace que define permissões em todo o cluster.

Um ClusterRole pode ser usado de três maneiras:

1. Conceder permissões em recursos com escopo de namespace dentro de namespaces individuais.

2. Conceder permissões em recursos com escopo de namespace em todos os namespaces.

3. Conceder permissões em recursos com escopo de cluster.

Use uma Role para limitar as permissões a um único namespace. Use um ClusterRole quando as permissões abrangerem todo o cluster.

Para criar um ClusterRole personalizado, consulte Personalizar uma função RBAC. Para anexar um ClusterRole a um usuário ou função RAM, consulte Conceder permissões RBAC a usuários ou funções RAM.