Container Compute Service：授權概述

ACS授權體系

RAM授權

在企業對接RAM的帳號系統中，營運人員通過RAM使用者或RAM角色管理雲端服務資源是一個常見情境。然而預設情況下RAM使用者或RAM角色沒有任何許可權使用雲端服務OpenAPI，為了保證雲端服務功能的正常使用，需要對RAM使用者或RAM角色授權。

當您需要對叢集進行可見度、擴縮容、添加節點等操作時，需要進行RAM授權。更多資訊，請參見自訂RAM授權策略。

RAM授權支援以下兩種方式：

• RAM系統策略授權：用於指定全域資源的讀寫存取控制。當RAM使用者或RAM角色具有阿里雲帳號下所有叢集的營運系統管理權限時，建議使用系統策略進行快捷授權。具體操作，請參見為RAM使用者或RAM角色授權。

  容器計算服務的常用系統策略如下表所示，您可以根據業務需求添加對應的系統策略。

  系統策略名稱稱	說明
  AliyunCSFullAccess	使RAM使用者或RAM角色在建立ACS叢集時獲得訪問所有ACK OpenAPI的許可權。 重要 該許可權操作範圍包括除ACS類型以外ACK全部叢集，請謹慎使用。此系統策略僅包含針對ACK產品OpenAPI的RAM授權。如您需要對ACS叢集中的應用進行營運，還需要進行RBAC授權，請參見RBAC授權。
  AliyunCSReadOnlyAccess	使RAM使用者或RAM角色在建立ACS叢集時獲得訪問ACK 所有隻讀OpenAPI的許可權，該許可權操作範圍包括除ACS類型以外的所有ACK叢集，請謹慎使用。
  AliyunACCFullAccess	使RAM使用者或RAM角色獲得容器計算服務產品所有OpenAPI的存取權限。
  AliyunACCReadOnlyAccess	使RAM使用者或RAM角色獲得容器計算服務產品的所有隻讀OpenAPI許可權。
  AliyunVPCReadOnlyAccess	使RAM使用者或RAM角色在建立叢集時可以選擇並指定VPC。
  AliyunContainerRegistryFullAccess	使RAM使用者或RAM角色獲得阿里雲帳號內業務鏡像的全部許可權。
  AliyunLogReadOnlyAccess	使RAM使用者或RAM角色在建立叢集時可以選擇已有Log Project儲存審計日誌，或查看指定叢集的配置巡檢。
  AliyunRAMFullAccess	使RAM使用者或RAM角色獲得阿里雲帳號內的全域授權系統管理權限。
  AliyunEBSFullAccess	使RAM使用者或RAM角色獲得雲端硬碟儲存服務功能的全部許可權。
  AliyunARMSReadOnlyAccess	使RAM使用者或RAM角色可以查看叢集阿里雲Prometheus外掛程式的監控狀態。
  AliyunKMSReadOnlyAccess	允許RAM使用者或RAM角色在建立叢集時查看Key Management Service（KMS）中的密鑰。

• RAM自訂策略授權：用於對目標RAM使用者或RAM角色實現細粒度的雲資源存取控制。另外，如果目標RAM使用者或RAM角色有基於SDK的二次開發需求，還可實現API層級的許可權控制。

  • ACS叢集維度RAM自訂策略授權流程，請參見自訂RAM授權策略。

  • ACS應用維度存取控制，您可以通過為服務賬戶的RAM角色（RAM Roles for Service Accounts，簡稱RRSA）自訂策略，在叢集內實現Pod維度OpenAPI許可權隔離。更多資訊，請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。

  例如，當RAM使用者或RAM角色需要具有對指定OSS Bucket的讀取許可權時，可以參考以下策略。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                        "oss:ListBuckets",
                        "oss:GetBucketStat",
                        "oss:GetBucketInfo",
                        "oss:GetBucketTagging",
                        "oss:GetBucketAcl" 
                        ],    
              "Resource": "acs:oss:*:*:*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:ListObjects",
                  "oss:GetBucketAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:GetObject",
                  "oss:GetObjectAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos/*"
          }
      ]
  }

Role和ClusterRole

RBAC的Role或ClusterRole中包含一組代表相關許可權的規則。這些許可權是累加的（不存在拒絕某操作的規則）。

Role總是用來在某個命名空間內設定存取權限；在您建立Role時，您必須指定該Role所屬的命名空間。

與之相對，ClusterRole則是一個叢集範圍的資源。這兩種資源名字不同（Role和ClusterRole）是因為Kubernetes的對象是命名空間範圍或叢集範圍的，不可兩者兼具。

關於如何編寫Kubernetes的ClusterRole和Role，請參見自訂Kubernetes授權策略。

RBAC授權

當RAM使用者或RAM角色需要操作指定叢集內K8s資源時（例如擷取叢集Pod資訊），需要在容器計算服務控制台的授權管理頁面對指定RAM使用者或RAM角色進行資料平面資源的授權。