Container Service for Kubernetes:RAMを使用したクラスターおよびクラウドリソースへのアクセス許可

システムポリシーのアタッチ

この方法を使用して、Alibaba Cloudアカウントのすべてのクラスターに対するRAMユーザーとRAMロールの読み取りおよび書き込み権限を付与できます。 Alibaba CloudアカウントのすべてのACKクラスターでO&M権限が必要なRAMユーザーまたはRAMロールの場合、迅速な承認のためにシステムポリシーを使用することを推奨します。 次の表に、ACKで一般的に使用されるシステムポリシーを示します。

1. RAMコンソールRAM管理者として ログインします。

2. 左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。

3. ユーザーページで必要なRAMユーザーを見つけ、アクション列で権限の追加をクリックします。

   

   複数のRAMユーザーを選択し、ページ下部の [権限の追加] をクリックして、RAMユーザーに一度に権限を付与することもできます。

4. 権限付与パネルで、RAMユーザーに権限を付与します。

   1. [リソーススコープ] パラメーターを設定します。

      • アカウント: 権限付与は、現在のAlibaba Cloudアカウントで有効になります。

      • ResourceGroup: 特定のリソースグループに対して権限付与が有効になります。

        重要

        [リソーススコープ] パラメーターで [リソースグループ] を選択した場合、必要なクラウドサービスがリソースグループをサポートしていることを確認します。 詳細については、「リソースグループで動作するサービス」をご参照ください。 リソースグループに権限を付与する方法の詳細については、「リソースグループを使用してRAMユーザーに特定のECSインスタンスを管理する権限を付与する」をご参照ください。

   2. Principalパラメーターを設定します。

      プリンシパルは、権限を付与するRAMユーザーです。 現在のRAMユーザーが自動的に選択されます。

   3. アタッチするシステムポリシーを選択します。

   4. [権限付与] をクリックします。

5. クリック閉じる.

カスタムポリシーの例

例1: 指定したクラスターに読み取り専用権限を付与する

{
  "Statement": [
    {
      "Action": [
        "cs:Get*",
        "cs:List*",
        "cs:Describe*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/<yourclusterID>" # Target cluster ID.
      ]
    }
  ],
  "Version": "1"
}

例2: 指定したOSSバケットに読み取り権限を付与する

{
    "Version": "1",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                      "oss:ListBuckets",
                      "oss:GetBucketStat",
                      "oss:GetBucketInfo",
                      "oss:GetBucketTagging",
                      "oss:GetBucketAcl" 
                      ],    
            "Resource": "acs:oss:*:*:*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:ListObjects",
                "oss:GetBucketAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos"
        },
        {
            "Effect": "Allow",
            "Action": [
                "oss:GetObject",
                "oss:GetObjectAcl"
            ],
            "Resource": "acs:oss:*:*:myphotos/*"
        }
    ]
}

例3: 権限を付与してクラスター以外のAPI操作を呼び出す

RAMユーザーにDescribeEventsなどの非クラスター固有のAPIを呼び出す権限を付与する場合は、ポリシーコンテンツの [リソース] フィールドにクラスターIDを指定しないでください。 次の表は、変更前と変更後のRAMポリシーの比較を示しています。

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}

{
    "Statement": [
        {
            "Action": [
                "cs:DescribeEvents"
            ],
            "Effect": "Allow",
            "Resource": [
              "*"
            ]
        },
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/c2e63856bcd714197****"
            ]
        }
    ],
    "Version": "1"
}