Grant permissions to an MSE Ingress controller in Container Service - Microservices Engine: Central de Documentação do Alibaba Cloud

Para acessar serviços em um cluster usando um MSE Ingress, conceda ao controlador de MSE Ingress as permissões necessárias para acessar o MSE antes de implantar os serviços.

Conceder permissões ao controlador de MSE Ingress para um cluster gerenciado ACK ou um cluster serverless ACK

É possível conceder permissões a um controlador de MSE Ingress em um cluster gerenciado ACK ou em um cluster serverless ACK de duas maneiras.

Para usar um MSE Ingress em um cluster gerenciado ACK ou cluster serverless ACK existente, consulte Método 1 e conceda as permissões necessárias.
Para usar um MSE Ingress ao criar um novo cluster gerenciado ACK ou cluster serverless ACK, consulte Método 2 e conceda as permissões necessárias.

Método 1: Conceder permissões ao controlador de MSE Ingress no Gerenciamento de Componentes

Ao instalar o controlador de MSE Ingress no Gerenciamento de Componentes, o sistema realiza automaticamente uma verificação de permissão. Se a pré-verificação falhar, siga estas etapas para conceder as permissões necessárias.

Passe o ponteiro sobre a mensagem Precheck failed e clique em Visualize Check Report.
Na página Check Report, clique na caixa vermelha na coluna Abnormal e, em seguida, clique no link no painel exibido.

Nos resultados da verificação de Cluster Authorization, a linha ManagedRamRole apresenta um erro. Clique no ícone de caixa à esquerda da linha para expandir o painel de detalhes. A mensagem de erro para AliyunCSManagedMseRole é "RamRole does not exist". Um link de autorização está disponível na correção recomendada.
Na página Access Control Quick Authorization, clique em Confirme Authorization.

Essa ação concede as funções AliyunServiceRoleForMSE e AliyunCSManagedMseRole. A política de acesso associada é AliyunCSManagedMseRolePolicy, uma política de sistema.
Instale o componente novamente.

Método 2: Conceder permissões ao controlador de MSE Ingress durante a criação do cluster

Ao instalar o controlador de MSE Ingress durante a criação de um novo cluster, acesse a seção Dependency Check da etapa Confirm Configuration. Verifique se o Status da MSE Ingress Role Authorization Check está como Passed. Se o Status for Failed, clique em Acesse Authorization.
Na página Access Control Quick Authorization, clique em Confirme Authorization.

Essa ação cria as funções vinculadas ao service AliyunServiceRoleForMSE e AliyunCSManagedMseRole. A política de acesso associada é AliyunCSManagedMseRolePolicy.
Após concluir a autorização, retorne à página Confirm Configuration e clique em Recheck. Após a aprovação da verificação, clique em Crie Cluster.

Conceder permissões ao controlador de MSE Ingress em um cluster dedicado ACK

Faça login no console do Container Service.
No painel de navegação à esquerda, clique em Cluster List e, em seguida, clique no nome do cluster de destino.
Na página Cluster Information, na seção Cluster Resources da aba Basic Information, clique no link à direita de Worker RAM Role.
No console do RAM, adicione a permissão AliyunMSEFullAccess à função.
1. Na aba Permissions da página Role, clique em Grant Permission.
2. Na página Grant Permission, selecione System Policy na lista suspensa da seção Access Policy. Em seguida, insira o nome da política de acesso na caixa de pesquisa para realizar uma busca aproximada.
  
  Por exemplo, insira mse para encontrar AliyunMSEFullAccess.
  
  À direita da caixa de pesquisa de políticas de acesso, filtre os resultados selecionando System Policy como o tipo de política.
3. Selecione a política de acesso AliyunMSEFullAccess e clique em OK para conceder a permissão.
  
  Verifique se a permissão AliyunMSEFullAccess foi adicionada com sucesso à função.
  
  Na página de detalhes da função, clique na aba Permissions. Na lista de políticas de acesso, confirme se a política de sistema AliyunMSEFullAccess foi adicionada. O escopo do recurso está no nível da conta.
No namespace mse-ingress-controller do cluster de destino, localize a aplicação ack-mse-ingress-controller, clique em na coluna Actions, selecione Redeploy e clique em OK.

Após concluir a reimplantação, clique na aplicação ack-mse-ingress-controller e confirme se o pod recriado está no estado Running.

(Opcional) Criar uma política de acesso do SLS e conceder permissões relacionadas ao SLS ao cluster

Para ativar o service de entrega de logs do Simple Log Service (SLS) para um gateway nativo da cloud MSE usando MseIngressConfig, conceda permissões adicionais relacionadas ao SLS à Worker RAM role dos recursos do cluster.

Faça login no console do RAM como administrador do RAM.
No painel de navegação à esquerda, escolha .
Na página Policies, clique em Crie Policy.

Na página Create Policy, clique na aba Script Editor, insira o seguinte documento de política e clique em Continue to edit basic information.

{
    "Version": "1",
    "Statement": [
        {
            "Action": [
                "log:CloseProductDataCollection",
                "log:OpenProductDataCollection",
                "log:GetProductDataCollection"
            ],
            "Resource": [
                "acs:mse:*:*:instance/*",
                "acs:log:*:*:project/*/logstore/mse_*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": "ram:PassRole",
            "Resource": "acs:ram::*:role/aliyunserviceroleforslsaudit",
            "Effect": "Allow"
        },
        {
            "Action": "ram:CreateServiceLinkedRole",
            "Resource": "*",
            "Effect": "Allow",
            "Condition": {
                "StringEquals": {
                    "ram:ServiceName": "audit.log.aliyuncs.com"
                }
            }
        }
    ]
}

Na página Create Policy, especifique um Policy Name e uma Note e clique em OK.
Conceda permissões relacionadas ao SLS à Worker RAM role dos recursos do cluster.
1. Faça login no console do Container Service.
2. No painel de navegação à esquerda, clique em Cluster List e, em seguida, clique no nome do cluster de destino.
3. Na página Cluster Information, na seção Cluster Resources da aba Basic Information, clique no link à direita de Worker RAM Role.
4. No console do RAM, adicione a permissão relacionada ao SLS à função.
  1. Na aba Permissions da página Role, clique em Grant Permission.
  2. Na página Grant Permission, selecione Custom Policy na lista suspensa da seção Access Policy. Em seguida, insira o nome da política de acesso criada na caixa de pesquisa para realizar uma busca aproximada.
    
    Nota
    O nome da política de acesso do SLS corresponde ao nome especificado durante a criação da política.
    
    Defina Resource Scope como Account Level e confirme se a Authorized Entity é a worker role correta.
  3. Selecione a política de acesso de destino e clique em OK para conceder a permissão.

Conceder permissões ao controlador de MSE Ingress em um cluster ACS

Para usar um MSE Ingress ao criar um novo cluster ACS, conceda as permissões necessárias ao controlador de MSE Ingress durante o processo de criação do cluster.

Ao instalar o controlador de MSE Ingress durante a criação de um novo cluster, acesse a seção Dependency Check da etapa Confirm Configuration. Verifique se o Status da MSE Ingress Role Authorization Check está como Passed. Se o Status for Failed, clique em Acesse Authorization.
Na página Access Control Quick Authorization, clique em Confirme Authorization.
Após concluir a autorização, retorne à página Confirm Configuration e clique em Recheck. Após a aprovação da verificação, clique em Crie Cluster.

Próximos passos

Para mais informações, consulte Access services in Container Service and Container Compute Service using an MSE Ingress.