Container Service for Kubernetes:RBACを使用したクラスター内のリソースに対する操作権限の管理

Alibaba Cloudアカウントを使用してRBAC権限を付与する

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[権限付与] をクリックします。

2. On the承認ページ、権限を付与します。

   • RAM ユーザーへの権限付与

     [RAMユーザー] タブをクリックし、リストで管理するRAMユーザーを見つけ、[権限の変更] をクリックして [権限管理] パネルを開きます。 複数のRAMユーザーを選択して権限を付与することもできます。

   • RAMロールに権限を付与する

     [RAMロール] タブをクリックし、[RAMロール名] を指定し、[権限の変更] をクリックして権限管理パネルを開きます。

     説明

     RAMロールを手動で入力するか、ドロップダウンリストからRAMロールを選択できます。 [RAMロール名] フィールドの横にある空白のボックスをクリックできます。 既存のRAMロールのリストが表示されます。 次に、リストから既存のRAMロールを選択して権限を付与します。

3. クリック権限の追加を設定し、クラスター,名前空間、およびRAMユーザーまたはRAMロールの権限管理パラメーターをクリックし、送信.

   説明

   • クラスターまたは名前空間の1つの定義済みロールと複数のカスタムロールをRAMユーザーまたはRAMロールに割り当てることができます。 この場合、付与される権限は、複数のロールによって提供される権限の和集合です。

   • RAMユーザーまたはRAMロールにすべてのクラスター (新しく作成されたクラスターを含む) を管理する権限を付与する必要がある場合は、RAMユーザーまたはRAMロールに定義済みロールを割り当てるときに、[クラスター] 列の [すべてのクラスター] を選択します。

   事前定義済みロール	クラスターリソースに対するRBAC権限
   管理者	すべての名前空間のリソースに対する読み取りおよび書き込み権限。 ノード、ボリューム、名前空間、およびクォータに対する読み取りおよび書き込み権限。
   O&Mエンジニア	すべての名前空間のコンソールに表示されているKubernetesリソースに対する読み取りおよび書き込み権限、およびノード、永続ボリューム (PV) 、名前空間、クォータに対する読み取り専用権限。
   開発者	すべての名前空間または指定された名前空間のコンソールに表示されるKubernetesリソースに対するRBAC読み取りおよび書き込み権限。
   制限付きユーザー	すべての名前空間または指定された名前空間のコンソールに表示されるKubernetesリソースに対する読み取り専用のRBAC権限。
   カスタム	カスタムロールの権限は、選択したクラスターロールによって決まります。 クラスターロールを選択する前に、クラスターロールの権限を確認し、RAMユーザーまたはRAMロールに必要な権限のみを付与するようにしてください。 カスタムRAMユーザーまたはRAMロールを構成する方法の詳細については、「カスタムRBACを使用してクラスター内のリソース操作を制限する」をご参照ください。 重要 RAMユーザーまたはRAMロールにcluster-adminロールが割り当てられた後、RAMユーザーまたはRAMロールは、RAMユーザーまたはRAMロールが属するAlibaba Cloudアカウントと同じ権限を持ちます。 RAMユーザーまたはRAMロールは、クラスター内のすべてのリソースを完全に制御できます。 cluster-adminロールをRAMユーザーまたはRAMロールに割り当てる場合は注意が必要です。

RAMユーザーまたはRAMロールを使用したRBAC権限の付与

Alibaba Cloudアカウントには、アカウント内のリソースに対する完全な管理権限があります。 新規または既存のRAMユーザーまたはRAMロールに次のRAMおよびRBAC権限を付与することもできます。 次に、RAMユーザーまたはRAMロールが権限管理者として設定され、RAMユーザーまたはRAMロールを使用して、他のRAMユーザーまたはRAMロールにRBAC権限を付与できます。

手順1: RAMユーザーまたはRAMロールを権限管理者として指定する

1. RAM権限の付与権限

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx",
                "acs:*:*:*:user/*"
            ]
        }
    ],
    "Version": "1"
}

2. RBAC権限付与

上記のRAMおよびRBAC権限が付与されると、RAMユーザーまたはRAMロールが権限管理者として設定されます。 RAMユーザーまたはRAMロールを使用して、他のRAMユーザーまたはRAMロールにRAMおよびRBAC権限を付与できます。

手順2: 他のRAMユーザーまたはRAMロールにRBAC権限を付与

RAMユーザーまたはRAMロールに管理者権限が付与されている場合、RAMコンソールにログインして、他のRAMユーザーまたはRAMロールにRBAC権限を付与できます。 操作は、Alibaba Cloudアカウントを使用してRBAC権限を付与する場合と同じです。 詳細については、「Alibaba Cloudアカウントを使用したRBAC権限の付与」をご参照ください。