RAM ユーザーまたは RAM ロールに RAM 権限を付与する - Container Compute Service

デフォルトでは、Resource Access Management (RAM) ユーザーまたは RAM ロールは、Alibaba Cloud サービスの API を呼び出す権限を持っていません。Container Service for Kubernetes (ACK) および Alibaba Cloud Container Compute Service (ACS) の API を使用し、ACS コンソールでクラスターを表示するには、RAM ユーザーまたは RAM ロールに権限を付与する必要があります。このトピックでは、システムポリシーまたはカスタムポリシーを使用して、RAM ユーザーまたは RAM ロールに権限を付与する方法について説明します。

前提条件

カスタムポリシーを作成する前に、ポリシー要素、構造、および構文の基本的な知識が必要です。詳細については、「ポリシー要素」をご参照ください。

システムポリシー

システムポリシーをアタッチする: この方法を使用すると、RAM ユーザーまたは RAM ロールに、現在の Alibaba Cloud アカウントに属するすべてのクラスターに対する読み取りおよび書き込み権限を付与できます。Alibaba Cloud に属するすべての ACK クラスターに対する O&M 権限を付与するには、システムポリシーを使用することをお勧めします。

ACS で一般的に使用されるシステムポリシーを表示する

システムポリシー	説明
AliyunAccFullAccess	このポリシーは、ACS のすべての API オペレーションを呼び出す権限を提供します。
AliyunCSFullAccess	このポリシーは、ACK のすべての API オペレーションを呼び出す権限を提供します。説明このポリシーは、ACK に関連する権限のみを提供します。ACK クラスターにデプロイされたアプリケーションを管理および保守するには、ロールベースのアクセス制御 (RBAC) 権限を付与する必要があります。詳細については、「カスタム RBAC ポリシー」をご参照ください。ACS クラスターを除くすべての ACK クラスターに対して、読み取りおよび書き込み権限が付与されます。注意して進めてください。
AliyunVPCReadOnlyAccess	このポリシーは、クラスターの作成時に仮想プライベートクラウド (VPC) を指定する権限を提供します。
AliyunECSReadOnlyAccess	このポリシーは、クラスターのノードの詳細を表示する権限を提供します。
AliyunContainerRegistryFullAccess	このポリシーは、Alibaba Cloud アカウント内のアプリケーションイメージを管理する権限を提供します。
AliyunLogReadOnlyAccess	このポリシーは、クラスターの作成時に監査ログを保存するために既存の Simple Log Service プロジェクトを選択したり、クラスターの構成検査設定を表示したりする権限を提供します。
AliyunAHASReadOnlyAccess	このポリシーは、クラスタートポロジを表示する権限を提供します。
AliyunRAMFullAccess	このポリシーは、Alibaba Cloud アカウント内の認証をグローバルに管理する権限を提供します。
AliyunYundunSASReadOnlyAccess	このポリシーは、クラスターのランタイムを監視する権限を提供します。
AliyunARMSReadOnlyAccess	このポリシーは、Managed Service for Prometheus プラグインのステータスを表示する権限を提供します。
AliyunKMSReadOnlyAccess	このポリシーは、ACK Pro クラスターの作成時に Key Management Service (KMS) のキーを表示する権限を提供します。
AliyunESSReadOnlyAccess	このポリシーは、ノードプールを表示する権限を提供します。

RAM ユーザーまたは RAM ロールにシステムポリシーをアタッチする

説明

Alibaba Cloud アカウントは、アカウント内のリソースに対する完全な管理権限を持っています。 RAM ユーザーを作成し、AdministratorAccess ポリシーをアタッチできます。その後、RAM ユーザーをアカウント管理者として使用して、Alibaba Cloud アカウントに属するすべてのクラウドリソースを管理できます。詳細については、「アカウント管理者として RAM ユーザーを作成する」をご参照ください。

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションペインで、[ID] > [ユーザー] を選択します。
[ユーザー] ページで、必要な RAM ユーザーを見つけ、権限の追加[アクション] 列のをクリックします。
複数の RAM ユーザーを選択し、ページの下部にある [権限の追加] をクリックして、一度に複数の RAM ユーザーに権限を付与することもできます。
[権限の付与] パネルで、RAM ユーザーに権限を付与します。
1. [リソーススコープ] パラメーターを設定します。
  - [アカウント]: 認証は現在の Alibaba Cloud アカウントに有効です。
  - [リソースグループ]: 認証は特定のリソースグループに有効です。
    重要
    [リソーススコープ] パラメーターで [リソースグループ] を選択した場合は、必要なクラウドサービスがリソースグループをサポートしていることを確認してください。詳細については、「リソースグループで動作するサービス」をご参照ください。リソースグループに権限を付与する方法の詳細については、「リソースグループを使用して RAM ユーザーに特定の ECS インスタンスを管理する権限を付与する」をご参照ください。
2. プリンシパルパラメーターを設定します。
  プリンシパルは、権限を付与する RAM ユーザーです。現在の RAM ユーザーが自動的に選択されます。
3. アタッチするシステムポリシーを選択します。
4. [権限の付与] をクリックし、次に [閉じる] をクリックします。

カスタムポリシー

ACK によって提供されるシステムポリシーは粗粒度です。システムポリシーが要件を満たしていない場合は、カスタムポリシーを作成して、ACK クラスターに対してきめ細かいアクセス制御を実装できます。たとえば、指定されたクラスターに対する操作権限を制御する場合、きめ細かい管理のためにこの要件を満たすカスタムポリシーを作成する必要があります。

手順 1: カスタムポリシーを作成する

RAM 管理者として RAM コンソールにログインします。
左側のナビゲーションペインで、[権限] > [ポリシー] を選択します。
[ポリシー] ページで、[ポリシーの作成] をクリックします。

[ポリシーの作成] ページで、[JSON] タブをクリックし、ポリシーの内容を入力します。

{
 "Statement": [{
     "Action": [
         "cs:Get*",
         "cs:List*",
         "cs:Describe*",
         "cs:ScaleCluster",
         "cs:DeleteCluster"
     ],
     "Effect": "Allow",
     "Resource": [
         "acs:cs:*:*:cluster/Cluster ID" // クラスター ID を指定します
     ]
 }],
 "Version": "1"
}

パラメーター

説明

Action

付与する権限。ワイルドカード文字がサポートされています。

Resource

Cluster ID をクラスターの実際の ID（cae93341766c843479ae986b3305xxxxx など）に置き換えます。

1 つのクラスターに権限を付与する

"Resource": [
     "acs:cs:*:*:cluster/Cluster ID"
 ]

複数のクラスターに権限を付与する

"Resource": [
     "acs:cs:*:*:cluster/Cluster ID",
     "acs:cs:*:*:cluster/Cluster ID"
 ]

すべてのクラスターに権限を付与する
```
"Resource": [
     "*"
 ]
```

内容を入力した後、[OK] をクリックします。表示されるダイアログボックスで、ポリシー名を入力し、[OK] をクリックしてポリシーを作成します。
[ポリシー] ページに戻り、ポリシーの名前または説明を検索ボックスに入力して、ポリシーを検索できます。

手順 2: カスタムポリシーを RAM ユーザーまたは RAM ロールにアタッチする

システムポリシーをアタッチするのと同じ方法で、カスタムポリシーをアタッチできます。詳細については、「RAM ユーザーまたは RAM ロールにシステムポリシーをアタッチする」をご参照ください。

例

RAM ユーザーまたは RAM ロールにクラスター固有ではない API オペレーションを呼び出す権限を付与する

DescribeEvents などのクラスター固有ではない API オペレーションを呼び出す権限を RAM ユーザーまたは RAM ロールに付与する場合は、ポリシーコンテンツの Resource フィールドにクラスター ID を指定しないでください。

次のコードブロックは、現在の RAM ポリシーを示しています。

{
    "Statement": [
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/Cluster ID" // クラスター ID を指定します
            ]
        }
    ],
    "Version": "1"
}

DescribeEvents オペレーションを呼び出す権限を付与するには、次のコードブロックに示すように、対応する RAM アクション cs:DescribeEvents を RAM ポリシーに追加する必要があります。

{
    "Statement": [
        {
            "Action": [
                "cs:DescribeEvents"
            ],
            "Effect": "Allow",
            "Resource": [
              "*"
            ]
        },
        {
            "Action": [
                "cs:Get*",
                "cs:List*",
                "cs:Describe*"
            ],
            "Effect": "Allow",
            "Resource": [
                "acs:cs:*:*:cluster/Cluster ID" // クラスター ID を指定します
            ]
        }
    ],
    "Version": "1"
}

次のステップ

このトピックの手順を完了した後、RAM ユーザーまたは RAM ロールがクラスター内の内部リソースを管理できるように、Kubernetes リソースに対する RBAC 権限を付与する必要があります。詳細については、「RAM ユーザーまたは RAM ロールに RBAC 権限を付与する」をご参照ください。

RAM ユーザーまたは RAM ロールに対して RBAC 認証を実行する前に、RAM ユーザーまたは RAM ロールが管理するクラスターに対する読み取り専用権限を持っていることを確認してください。

{
  "Statement": [
    {
      "Action": [
        "cs:Get*",
        "cs:List*",
        "cs:Describe*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/Cluster ID" // クラスター ID を指定します
      ]
    }
  ],
  "Version": "1"
}