Container Service for Kubernetes:権限付与の概要

ACK認証システム

RAM の権限付与

企業がシステムをRAMとインターフェースする場合、O&MエンジニアはRAMユーザーまたはRAMロールを使用してクラウドリソースを管理する必要があります。 デフォルトでは、RAMユーザーまたはRAMロールにはクラウドサービスAPIを使用する権限がありません。 まず、RAMユーザーまたはRAMロールに必要な権限を付与する必要があります。 RAM権限を使用すると、システムポリシーまたはカスタムポリシーをRAMユーザーまたはRAMロールにアタッチできます。

クラスターのスケーリング、クラスターへのノードの追加、またはRAMユーザーとしてクラスターにアクセスする場合は、RAM権限付与を実行する必要があります。 詳細については、「カスタムRAMポリシーの作成」をご参照ください。

システムポリシーのアタッチ

この方法を使用して、RAMユーザーまたはRAMロールにグローバルリソースの読み取りおよび書き込み権限を付与できます。 システムポリシーを使用して、Alibaba Cloudに属するすべてのACKクラスターにO&M権限を付与することを推奨します。 RAMユーザーまたはRAMロールにシステムポリシーをアタッチする方法の詳細については、「RAMユーザーへの権限の付与」をご参照ください。

カスタムポリシーのアタッチ

この方法を使用して、クラウドリソースに対するRAMユーザーまたはRAMロールの権限をきめ細かく制御できます。 RAMユーザーまたはRAMロールがSDKに基づいてアプリケーションを開発する必要がある場合は、カスタムポリシーを使用してAPI操作のアクセス許可を制御できます。

• クラスターレベルのアクセス制御のためにRAMユーザーまたはRAMロールにカスタムポリシーをアタッチする方法の詳細については、「カスタムRAMポリシーの作成」をご参照ください。

• アプリケーションレベルのアクセス制御を適用するには、RAM Roles for Service Accounts (RRSA) を使用してポッドのAPI権限制御を実行する必要があります。 詳細については、「RRSAを使用して異なるポッドに異なるクラウドサービスへのアクセスを許可する」をご参照ください。

たとえば、次のカスタムポリシーを使用して、Object Storage Service (OSS) バケットのRAMユーザーまたはRAMロールに読み取り権限を付与できます。

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                      "oss:ListBuckets",
                      "oss:GetBucketStat",
                      "oss:GetBucketInfo",
                      "oss:GetBucketTagging",
                      "oss:GetBucketAcl" 
                      ],    
            "Resource": "acs:oss:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListObjects",
                "oss:GetBucketAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:GetObjectAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos/*"
        }
    ]
}

RBAC認証

RAMポリシーは、ACKクラスターリソースに対する権限のみを制御できます。 ポッドとノード情報の取得など、RAMユーザーまたはRAMロールにACKクラスター内の指定されたKubernetesリソースの管理を許可するには、ACKコンソールの許可ページに移動し、クラスターリソースに対するRAMユーザーまたはRAMロールの権限を付与する必要があります。

事前定義済みロール

ロールとClusterRoles

RBACのRoleまたはClusterRoleには、一連の権限を表すルールが含まれています。 これらの権限には、操作を禁止するルールは含まれません。

Roleは名前空間リソースであり、特定の名前空間内の権限を定義します。 ロールを作成するときは、ロールが属する名前空間を指定する必要があります。

ClusterRoleは名前間隔のないリソースであり、クラスター全体のアクセス許可を定義します。 Kubernetesオブジェクトは名前空間または非名前空間である必要があるため、2種類のロールの名前は異なります。

Kubernetes ClusterRoleまたはRoleの作成方法の詳細については、「RBACロールのカスタマイズ」をご参照ください。