使用阿里云賬號授權(quán)

1. 登錄容器服務(wù)管理控制臺，在左側(cè)導(dǎo)航欄選擇授權(quán)管理。

2. 在授權(quán)管理頁面配置管理權(quán)限。

   • 為RAM用戶授權(quán)

     單擊RAM 用戶頁簽，在RAM用戶列表中，單擊目標(biāo)RAM用戶右側(cè)的管理權(quán)限，進(jìn)入權(quán)限管理頁面，您也可以選擇多個目標(biāo)RAM用戶進(jìn)行批量授權(quán)。

   • 為RAM角色授權(quán)

     單擊RAM 角色頁簽，輸入RAM 角色名稱，然后單擊管理權(quán)限，進(jìn)入權(quán)限管理頁面。

     說明

     RAM角色支持手動輸入，也支持在下拉列表中選擇。您可以單擊RAM角色右側(cè)空白框，將會顯示已有的RAM角色列表，然后從列表中選擇已有的RAM角色進(jìn)行授權(quán)。

3. 單擊+ 添加權(quán)限，為目標(biāo)RAM用戶或RAM角色添加集群和命名空間級別的權(quán)限配置，并選擇相應(yīng)的預(yù)置角色，然后單擊提交授權(quán)。

   說明

   • 在一個目標(biāo)集群或命名空間中為RAM用戶或RAM角色的授權(quán)時，支持配置一個預(yù)置角色、多個自定義角色，此時，所獲得的權(quán)限為多個角色權(quán)限的并集。

   • 如果您需要在所有集群維度為RAM用戶或RAM角色進(jìn)行一鍵授權(quán)，使得后續(xù)新創(chuàng)建的集群也會為被授權(quán)的RAM用戶或RAM角色自動綁定已經(jīng)授權(quán)的預(yù)置角色，您可以選擇集群為所有集群。

   預(yù)置角色	集群內(nèi)RBAC權(quán)限
   管理員	對集群所有命名空間下Kubernetes資源的RBAC讀寫權(quán)限，以及對集群節(jié)點、存儲卷、命名空間、配額的讀寫權(quán)限。
   運(yùn)維人員	對所有命名空間下控制臺可見Kubernetes資源的讀寫權(quán)限，對集群節(jié)點、存儲卷、命名空間、配額的只讀權(quán)限。
   開發(fā)人員	對所有命名空間或所選命名空間下控制臺可見Kubernetes資源的RBAC讀寫權(quán)限。
   受限用戶	對所有命名空間或所選命名空間下控制臺可見Kubernetes資源的RBAC只讀權(quán)限。
   自定義	權(quán)限由您所選擇的ClusterRole決定，請在確定所選ClusterRole對各類資源的操作權(quán)限后再進(jìn)行授權(quán)，以免RAM用戶或RAM角色獲得不符合預(yù)期的權(quán)限。關(guān)于自定義權(quán)限的授權(quán)，請參見使用自定義RBAC限制集群內(nèi)資源操作。 重要 RAM用戶或RAM角色被授予cluster-admin權(quán)限后，在該集群內(nèi)可視為與阿里云賬號有相同權(quán)限的超級賬號，擁有操作集群內(nèi)所有資源的任意權(quán)限。請謹(jǐn)慎授予。

使用RAM用戶或RAM角色授權(quán)

阿里云賬號（主賬號）對賬號中的資源具有完全管理權(quán)限，您也可以將新建或已有的RAM用戶或角色授予如下RAM權(quán)限和RBAC權(quán)限，使其成為一個權(quán)限管理員，后續(xù)使用該RAM用戶或RAM角色為其他用戶或角色進(jìn)行授權(quán)。

步驟一：將RAM用戶或RAM角色設(shè)置為權(quán)限管理員

1、獲取RAM授權(quán)權(quán)限

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx",
                "acs:*:*:*:user/*"
            ]
        }
    ],
    "Version": "1"
}

2、獲取RBAC管理員權(quán)限

使用阿里云賬號登錄容器服務(wù)管理控制臺，為該RAM用戶或RAM角色在所有集群維度授予預(yù)置角色管理員。具體操作，請參見使用阿里云賬號授權(quán)。

完成上述RAM權(quán)限和RBAC權(quán)限授權(quán)之后，該RAM用戶或RAM角色成為一個權(quán)限管理員，擁有給其他RAM用戶或RAM角色進(jìn)行RAM授權(quán)和RBAC授權(quán)的能力。

步驟二：為其他RAM用戶或RAM角色授權(quán)

RAM用戶或RAM角色獲取管理員權(quán)限之后，即可登錄為其他用戶或角色授權(quán)，具體操作和阿里云賬號授權(quán)操作一致，請參見使用阿里云賬號授權(quán)。