預設情況下，RAM使用者沒有使用雲端服務OpenAPI的任何許可權，若您通過RAM使用者或RAM角色使用ACK One時，需要為RAM使用者或RAM角色授予ACK One資源的操作許可權（例如建立艦隊叢集、關聯集群、建立工作流程叢集等），才能正常使用ACK One的功能。ACK One提供預設系統權限原則，用於指定全域資源的讀寫存取控制，本文為您介紹如何為RAM使用者或RAM角色授予系統權限原則。
注意事項
您需要使用阿里雲（主帳號）或Resource Access Management員帳號為RAM使用者或RAM角色授權，普通RAM使用者無授權操作的許可權。
ACK One支援的系統權限原則
RAM系統權限原則 | 許可權說明 | 叢集是否涉及 | ||
註冊叢集 | 多叢集艦隊 | 工作流程叢集 | ||
AliyunCSFullAccess | 當RAM使用者或RAM角色需要Container Service產品所有資源的讀寫權限。 | 是 | 是 | 不涉及 |
AliyunCSReadOnlyAccess | 當RAM使用者或RAM角色需要Container Service產品所有資源的唯讀許可權。 | 是 | 是 | 不涉及 |
AliyunVPCReadOnlyAccess | 當RAM使用者或RAM角色在建立叢集時選擇指定VPC。 | 是 | 是 | 是 |
AliyunECIReadOnlyAccess | 當RAM使用者或RAM角色需要將叢集Pod調度到ECI上。 | 是 | 是 | 是 |
AliyunLogReadOnlyAccess | 當RAM使用者或RAM角色在建立叢集時選擇已有Log Project儲存審計日誌，或查看指定叢集的配置巡檢。 | 是 | 是 | 是 |
AliyunARMSReadOnlyAccess | 當RAM使用者或RAM角色需要查看叢集阿里雲Prometheus外掛程式的監控狀態。 | 是 | 是 | 是 |
AliyunRAMReadOnlyAccess | 當RAM使用者或RAM角色需要查看已有的權限原則。 | 是 | 是 | 是 |
AliyunECSReadOnlyAccess | 當RAM使用者或RAM角色為叢集添加已有雲上節點或查看節點詳細資料。 | 是 | 不涉及 | 不涉及 |
AliyunContainerRegistryReadOnlyAccess | 當RAM使用者或RAM角色需要查看阿里雲帳號內的業務鏡像。 | 是 | 不涉及 | 不涉及 |
AliyunAHASReadOnlyAccess | 當RAM使用者或RAM角色需要使用叢集拓撲功能。 | 是 | 不涉及 | 不涉及 |
AliyunYundunSASReadOnlyAccess | 當RAM使用者或RAM角色需要查看指定叢集的運行時安全監控。 | 是 | 不涉及 | 不涉及 |
AliyunKMSReadOnlyAccess | 當RAM使用者或RAM角色在建立叢集時啟用Secret落盤加密能力。 | 是 | 不涉及 | 不涉及 |
AliyunESSReadOnlyAccess | 當RAM使用者或RAM角色需要執行雲上節點池的相關操作，例如查看、編輯和擴縮容等。 | 是 | 不涉及 | 不涉及 |
為RAM使用者或RAM角色授權
使用阿里雲帳號（主帳號）或Resource Access Management員登入RAM控制台。
在左側導覽列，選擇。
在使用者頁面，單擊目標RAM使用者操作列的添加許可權。
在添加許可權面板，為RAM使用者添加許可權。
選擇授權應用範圍。
整個雲帳號：許可權在當前阿里雲帳號內生效。
指定資源群組：許可權在指定的資源群組內生效。
說明指定資源群組授權生效的前提是該雲端服務已支援資源群組，詳情請參見支援資源群組的雲端服務。資源群組授權樣本，請參見使用資源群組限制RAM使用者管理指定的ECS執行個體。
指定授權主體。
授權主體即需要添加許可權的RAM使用者。
在選擇許可權地區，單擊系統策略，在搜尋方塊中輸入需要授權的系統策略，然後單擊策略名稱稱。
說明每次最多綁定5條策略，如需綁定更多策略，請分次操作。
單擊確定。
單擊完成。
相關文檔
RAM系統策略僅控制ACK One叢集資源的操作許可權，若RAM使用者或RAM角色需要操作指定叢集內的K8s資源（例如建立Pod、擷取Node資訊等），還需要擷取指定ACK叢集及其命名空間的操作許可權即RBAC許可權。具體授權操作，請參見為RAM使用者或RAM角色授予RBAC許可權。