容器计算服务 ACS：授权概述

ACS授权体系

ACS的授权体系包含对基础资源层的RAM授权以及对ACS集群层的RBAC授权。ACS授权体系如下图所示。

• RAM授权包括对集群的运维操作，因为ACS集群是 ACK 的一种 Serverless K8s 集群类型，对ACS集群的运维操作需要通过ACK OpenAPI执行，所以需要获取ACK产品及其所依赖的阿里云产品的OpenAPI操作权限，主要包括以下操作：

  • 集群：创建、查看、删除。

  • 集群RBAC授权管理。

  • 集群监控、日志、事件。

• RBAC授权对应的是运行于ACS集群中Kubernetes应用的运维操作，需要获取ACS集群及其命名空间的操作权限，主要包括对以下Kubernetes对象的增删改查操作：

  • 工作负载：Deployment、StatefulSet、Job、CronJob、Pod、ReplicaSet、HPA等。

  • 网络：Service、Ingress、NetworkPolicy等。

  • 存储：PV、PVC、StorageClass等。

  • Namespace、ConfigMap、Secrets等。

RAM授权

在企业对接RAM的账号系统中，运维人员通过RAM用户或RAM角色管理云服务资源是一个常见场景。然而默认情况下RAM用户或RAM角色没有任何权限使用云服务OpenAPI，为了保证云服务功能的正常使用，需要对RAM用户或RAM角色授权。

当您需要对集群进行可见性、扩缩容、添加节点等操作时，需要进行RAM授权。更多信息，请参见自定义RAM授权策略。

RAM授权支持以下两种方式：

• RAM系统策略授权：用于指定全局资源的读写访问控制。当RAM用户或RAM角色具有阿里云账号下所有集群的运维管理权限时，建议使用系统策略进行快捷授权。具体操作，请参见为RAM用户或RAM角色授权。

  容器计算服务的常用系统策略如下表所示，您可以根据业务需求添加对应的系统策略。

  系统策略名称	说明
  AliyunCSFullAccess	使RAM用户或RAM角色在创建ACS集群时获得访问所有ACK OpenAPI的权限。 重要 该权限操作范围包括除ACS类型以外ACK全部集群，请谨慎使用。此系统策略仅包含针对ACK产品OpenAPI的RAM授权。如您需要对ACS集群中的应用进行运维，还需要进行RBAC授权，请参见RBAC授权。
  AliyunCSReadOnlyAccess	使RAM用户或RAM角色在创建ACS集群时获得访问ACK 所有只读OpenAPI的权限，该权限操作范围包括除ACS类型以外的所有ACK集群，请谨慎使用。
  AliyunACCFullAccess	使RAM用户或RAM角色获得容器计算服务产品所有OpenAPI的访问权限。
  AliyunACCReadOnlyAccess	使RAM用户或RAM角色获得容器计算服务产品的所有只读OpenAPI权限。
  AliyunVPCReadOnlyAccess	使RAM用户或RAM角色在创建集群时可以选择并指定VPC。
  AliyunContainerRegistryFullAccess	使RAM用户或RAM角色获得阿里云账号内业务镜像的全部权限。
  AliyunLogReadOnlyAccess	使RAM用户或RAM角色在创建集群时可以选择已有Log Project存储审计日志，或查看指定集群的配置巡检。
  AliyunRAMFullAccess	使RAM用户或RAM角色获得阿里云账号内的全局授权管理权限。
  AliyunEBSFullAccess	使RAM用户或RAM角色获得云盘存储服务功能的全部权限。
  AliyunARMSReadOnlyAccess	使RAM用户或RAM角色可以查看集群阿里云Prometheus插件的监控状态。
  AliyunKMSReadOnlyAccess	允许RAM用户或RAM角色在创建集群时查看密钥管理服务（KMS）中的密钥。

• RAM自定义策略授权：用于对目标RAM用户或RAM角色实现细粒度的云资源访问控制。另外，如果目标RAM用户或RAM角色有基于SDK的二次开发需求，还可实现API级别的权限控制。

  • ACS集群维度的RAM自定义策略授权流程，请参见自定义RAM授权策略。

  • ACS应用维度的访问控制，您可以通过为服务账户的RAM角色（RAM Roles for Service Accounts，简称RRSA）自定义策略，在集群内实现Pod维度的OpenAPI权限隔离。更多信息，请参见通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离。

  例如，当RAM用户或RAM角色需要具有对指定OSS Bucket的读取权限时，可以参考以下策略。

  {
      "Version": "1",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": [
                        "oss:ListBuckets",
                        "oss:GetBucketStat",
                        "oss:GetBucketInfo",
                        "oss:GetBucketTagging",
                        "oss:GetBucketAcl" 
                        ],    
              "Resource": "acs:oss:*:*:*"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:ListObjects",
                  "oss:GetBucketAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos"
          },
          {
              "Effect": "Allow",
              "Action": [
                  "oss:GetObject",
                  "oss:GetObjectAcl"
              ],
              "Resource": "acs:oss:*:*:myphotos/*"
          }
      ]
  }

Role和ClusterRole

RBAC的Role或ClusterRole中包含一组代表相关权限的规则。这些权限是累加的（不存在拒绝某操作的规则）。

Role总是用来在某个命名空间内设置访问权限；在您创建Role时，您必须指定该Role所属的命名空间。

与之相对，ClusterRole则是一个集群作用域的资源。这两种资源名字不同（Role和ClusterRole）是因为Kubernetes的对象是命名空间作用域或集群作用域的，不可两者兼具。

关于如何编写Kubernetes的ClusterRole和Role，请参见自定义Kubernetes授权策略。

RBAC授权

当RAM用户或RAM角色需要操作指定集群内K8s资源时（例如获取集群Pod信息），需要在容器计算服务控制台的授权管理页面对指定RAM用户或RAM角色进行数据平面资源的授权。