【产品变更】托管集群节点RAM角色收敛公告 - 容器服务 Kubernetes 版 ACK

当前托管集群节点默认的WorkerRolePolicy权限较大，为了进一步加强托管集群节点在多租户场景下的安全隔离性，容器服务Kubernetes版ACK（Container Service for Kubernetes）已于2020年05月20日起收敛托管集群节点RAM角色绑定的权限。

重要

从2023年07月17日起，新创建的1.22.15-aliyun.1及以上版本的ACK托管集群的Worker RAM角色默认将不再被授予任何权限策略。具体信息，请参见【产品变更】托管版集群Worker RAM角色权限收敛公告。

角色授权

原有的RAM角色绑定权限被收敛后，原有节点角色中用于集群系统组件的权限策略将被删除，同时增加各组件对应的ACK系统角色。角色权限收敛后您在ACK控制台创建托管集群时，系统会提示进行以下系统角色授权，您可以使用主账号或具有AliyunRAMFullAccess或AdministratorAccess授权的子账号单击前往RAM进行授权，进入RAM的批量授权页面进行授权。

说明

如果您使用OpenAPI创建集群，请使用授权链接进行授权。

错误提示对话框显示错误码为 ErrManagedAddonRoleNotAttach，授权链接地址为 https://ur.alipay.com/1paTcxSWdAEW70GVH5TZiO。

在批量授权页面最下方，单击确认授权后，重新登录容器服务管理控制台即可创建集群。

上述批量授权将增加以下系统角色的授权，用于集群组件的OpenAPI调用：

AliyunCSManagedLogRole
AliyunCSManagedCmsRole
AliyunCSManagedCsiRole
AliyunCSManagedVKRole
AliyunCSManagedNetworkRole
AliyunCSManagedArmsRole

收敛后的默认WorkerRole的RAM策略定义如下。

{
  "Version": "1",
  "Statement": [{
      "Action": [
        "ecs:DescribeInstanceAttribute",
        "ecs:DescribeInstanceTypesNew",
        "ecs:DescribeInstances"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
        "log:GetProject",
        "log:GetLogStore",
        "log:GetConfig",
        "log:GetMachineGroup",
        "log:GetAppliedMachineGroups",
        "log:GetAppliedConfigs",
        "log:GetIndex",
        "log:GetSavedSearch",
        "log:GetDashboard",
        "log:GetJob"
      ],
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
    },
    {
      "Action": [
       "cr:GetAuthorizationToken",
       "cr:ListInstanceEndpoint",
       "cr:PullRepository"
      ],  
      "Resource": [
        "*"
      ],
      "Effect": "Allow"
     }
  ]
}