日本熟妇hd丰满老熟妇,中文字幕一区二区三区在线不卡 ,亚洲成片在线观看,免费女同在线一区二区

AI 助理
備案控制臺
文檔
輸入文檔關鍵字查找
首頁 容器服務 Kubernetes 版 ACK ACK托管與專有集群 操作指南 授權 RAM授權 手動收斂ACK托管版集群的Worker RAM角色權限

手動收斂ACK托管版集群的Worker RAM角色權限

更新時間：
產品詳情
我的收藏

為了提升ACK托管集群節點的安全性，您可以基于最小化原則手動調整和優化已分配給Worker節點的RAM角色所具有的權限。

前提條件

步驟一：確認是否需要收斂

  1. 登錄容器服務管理控制臺，在左側導航欄選擇集群。

  2. 在集群列表頁面，單擊目標集群名稱。然后單擊基本信息頁簽。單擊Worker RAM 角色右側的鏈接進入RAM管理控制臺。

  3. 在角色頁面的權限管理頁簽，查看是否存在權限策略。

    • 若列表為空，則無需收斂。

    • 若列表不為空，例如k8sWorkerRolePolicy-db8ad5c7***，則Worker RAM角色權限可能需要收斂。請根據實際業務場景，基于最小化原則進一步判斷。

步驟二：升級系統組件版本

ACK托管集群中安裝的核心系統組件需升級到要求的最低版本或者組件的最新版本。具體操作，請參見管理組件。

重要

  • 請勿同時升級多個組件，請依次逐個組件升級，確認一個組件升級成功后再升級下一個組件。

  • 升級組件前，請注意查看每個組件的備注信息。

組件分為通過組件管理安裝和通過節點池安裝兩類，具體要求及升級方法如下。

通過組件管理安裝的組件

您可以參考以下表格，在組件管理頁面將當前集群已安裝的組件升級到要求的最低版本或者組件的最新版本。對于無需升級的組件，您需要參考以下表格中的重新部署組件命令來部署已安裝的組件，也可以通過控制臺重新部署組件。

組件名稱

最低組件版本要求

執行重新部署組件的命令

備注

metrics-server

v0.3.9.4-ff225cd-aliyun

kubectl -n kube-system rollout restart deployment/metrics-server

無

alicloud-monitor-controller

v1.5.5

kubectl -n kube-system rollout restart deployment/alicloud-monitor-controller

無

logtail-ds

v1.0.29.1-0550501-aliyun

kubectl -n kube-system rollout restart daemonset/logtail-ds
kubectl -n kube-system rollout restart deployment/alibaba-log-controller

terway

v1.0.10.333-gfd2b7b8-aliyun

kubectl -n kube-system rollout restart daemonset/terway

  • 根據您安裝的Terway模式的不同，選擇對應的Terway組件進行升級。關于Terway模式介紹，請參見使用Terway網絡插件。

  • 組件升級后，還需要手動修改Terway組件配置。具體操作，請參見檢查Terway組件配置。

terway-eni

v1.0.10.333-gfd2b7b8-aliyun

kubectl -n kube-system rollout restart daemonset/terway-eni

terway-eniip

v1.0.10.333-gfd2b7b8-aliyun

kubectl -n kube-system rollout restart daemonset/terway-eniip

terway-controlplane

v1.2.1

kubectl -n kube-system rollout restart deployment/terway-controlplane

無

flexvolume

v1.14.8.109-649dc5a-aliyun

kubectl -n kube-system rollout restart daemonset/flexvolume

建議遷移Flexvolume至CSI。

csi-plugin

v1.18.8.45-1c5d2cd1-aliyun

kubectl -n kube-system rollout restart daemonset/csi-plugin

無

csi-provisioner

v1.18.8.45-1c5d2cd1-aliyun

kubectl -n kube-system rollout restart deployment/csi-provisioner

無

storage-operator

v1.18.8.55-e398ce5-aliyun

kubectl -n kube-system rollout restart deployment/storage-auto-expander
kubectl -n kube-system rollout restart deployment/storage-cnfs
kubectl -n kube-system rollout restart deployment/storage-monitor
kubectl -n kube-system rollout restart deployment/storage-snapshot-manager
kubectl -n kube-system rollout restart deployment/storage-operator

無

alicloud-disk-controller

v1.14.8.51-842f0a81-aliyun

kubectl -n kube-system rollout restart deployment/alicloud-disk-controller

無

ack-node-problem-detector

1.2.16

kubectl -n kube-system rollout restart deployment/ack-node-problem-detector-eventer

無

aliyun-acr-credential-helper

v23.02.06.2-74e2172-aliyun

kubectl -n kube-system rollout restart deployment/aliyun-acr-credential-helper

組件升級前，您需要先進行授權。

  • 如果您沒有自定義RAM權限以及跨賬號拉取鏡像的需求，請前往組件管理頁面修改組件配置，確保tokenMode的值為managedRole。

  • 如果您不需要使用該組件提供的私有鏡像免密拉取功能，可以卸載該組件。

ack-cost-exporter

1.0.10

kubectl -n kube-system rollout restart deployment/ack-cost-exporter

組件升級前，您需要先進行授權。

mse-ingress-controller

1.1.5

kubectl -n mse-ingress-controller rollout restart deployment/ack-mse-ingress-controller

組件升級前，您需要先進行授權。

arms-prometheus

1.1.11

kubectl -n arms-prom rollout restart deployment/arms-prometheus-ack-arms-prometheus

無

ack-onepilot

3.0.11

kubectl -n ack-onepilot rollout restart deployment/ack-onepilot-ack-onepilot

組件升級前，您需要先進行授權。

通過節點池安裝的組件cluster-autoscaler

組件名稱

最低組件版本要求

執行以下重新部署命令

備注

cluster-autoscaler

v1.3.1-bcf13de9-aliyun

kubectl -n kube-system rollout restart deployment/cluster-autoscaler

您可以通過以下兩種方式查看cluster-autoscaler組件的版本。如需升級組件版本，請參見【組件升級】cluster-autoscaler升級公告。

檢查Terway組件配置

如果您的集群中安裝了terway、terway-eni或terway-eniip組件，您還需要手動檢查集群內Terway的配置文件，即檢查kube-system命名空間下名為eni-config的ConfigMap中eni_conf配置的內容。

  1. 執行以下命令，編輯查看Terway的配置ConfigMap。

    kubectl edit cm eni-config -n kube-system

    • 如果文件中包含配置項"credential_path": "/var/addon/token-config",則無需進行額外操作。

    • 如果文件中未包含配置項"credential_path": "/var/addon/token-config",則需要您手動修改eni_conf配置，在min_pool_size配置項下面新增一行"credential_path": "/var/addon/token-config",配置。

      "credential_path": "/var/addon/token-config",

  2. 根據以上Terway組件對應的部署命令，重新部署Terway組件工作負載。

步驟三：采集操作審計日志

您需要采集API操作審計日志，以便分析測試集群產生的日志，檢查集群內是否還有應用在依賴Worker RAM角色被授予的權限策略。關于操作審計功能支持的云服務，請參見支持的云服務。

說明

建議您至少采集一周以上的操作審計日志。

在操作審計控制臺創建集群所在地域的賬號跟蹤，同時在創建時選擇將事件投遞到日志服務SLS。具體操作，請參見創建單賬號跟蹤。

步驟四：測試集群功能

以上收斂操作完成后，您需要對集群的基礎功能進行測試，確保系統組件能正常工作。

基礎功能點

基礎測試點

參考文檔

計算

可以正常擴縮容節點。

擴縮容節點池

網絡

可以正常為Pod分配IP。

應用部署

存儲

可以正常部署使用外置存儲的工作負載（如果已使用該功能）。

存儲-CSI

監控

可以正常獲取監控告警數據。

可觀測性

彈性

可以正常實現節點的自動彈性伸縮（如果已使用該功能）。

啟用節點自動伸縮

安全

可以正常使用鏡像免密拉取功能（如果已使用該功能）。

使用免密組件拉取容器鏡像

重要

集群基礎功能測試完成后，請您根據實際的業務場景，再測試一下集群中部署應用的業務邏輯，確保業務正常工作。

步驟五：分析操作審計日志

  1. 登錄日志服務控制臺。

  2. 在Project列表區域，單擊目標Project。

    image

  3. 在日志存儲 > 日志庫頁簽中，單擊目標Logstore。

    查詢步驟三指定的日志Project中審計日志所屬的Logstore，即名為actiontrail_<跟蹤名稱>的日志庫（Logstore）中存儲的所有操作審計日志。

  4. 使用以下查詢統計語句，統計集群內應用使用Worker RAM角色的STS Token調用的OpenAPI列表。

    請將以下語句中的<worker_role_name>替換為集群的Worker RAM角色名稱。

    * and event.userIdentity.userName: <worker_role_name> | select "event.serviceName", "event.eventName", count(*) as total GROUP BY "event.eventName", "event.serviceName"

步驟六：收斂Worker RAM角色被授予的權限

  1. 登錄容器服務管理控制臺，在左側導航欄選擇集群。

  2. 在集群列表頁面，單擊目標集群名稱。然后單擊基本信息頁簽。單擊Worker RAM 角色右側的鏈接進入RAM管理控制臺。

  3. 在角色頁面的權限管理頁簽，單擊目標權限策略進入策略內容頁簽，然后單擊修改策略內容。

    重要

    修改策略內容變更操作前，請您備份當前已有的權限策略內容，便于及時回滾權限配置。

    修改策略內容時，根據實際需求結合步驟五審計日志的分析結果，決策是否刪除不再需要的權限，例如刪除未出現在統計結果中的權限action。如果確認不需要任何權限的話，可以解除授權的所有權限策略。

  4. 重新部署系統組件的工作負載。具體操作，請參見步驟二中的重新部署命令。

  5. 依次重復步驟四、步驟五和步驟六的收斂操作，直至確保Worker RAM角色僅被授予組件或應用所需的最小權限。

相關文檔

如需了解ACK的整體授權體系，請參見授權最佳實踐。