RBAC工作原理

前提條件

RAM用戶(hù)或RAM角色已獲取目標(biāo)集群的RAM只讀權(quán)限，參考策略如下。具體操作，請(qǐng)參見(jiàn)使用自定義策略授權(quán)。

{
  "Statement": [
    {
      "Action": [
        "cs:Get*",
        "cs:List*",
        "cs:Describe*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/<yourclusterID>" 
      ]
    }
  ],
  "Version": "1"
}

授權(quán)說(shuō)明

阿里云賬號(hào)（主賬號(hào)）可以對(duì)所有集群進(jìn)行所有操作，RAM用戶(hù)或RAM角色擁有自己創(chuàng)建的集群的所有操作權(quán)限，非集群創(chuàng)建者的RAM用戶(hù)或RAM角色，需要額外進(jìn)行RAM和RBAC授權(quán)，才能操作集群。

操作步驟

容器服務(wù)ACK默認(rèn)提供管理員、運(yùn)維人員、開(kāi)發(fā)人員和受限用戶(hù)這四種標(biāo)準(zhǔn)的集群資源RBAC訪(fǎng)問(wèn)權(quán)限，可滿(mǎn)足大部分用戶(hù)在容器服務(wù)控制臺(tái)上的使用需求。如果您想自由定義集群資源的RBAC訪(fǎng)問(wèn)權(quán)限，請(qǐng)參見(jiàn)使用自定義RBAC限制集群內(nèi)資源操作。

滿(mǎn)足以下條件的賬號(hào)才可以為其他RAM用戶(hù)或RAM角色進(jìn)行授權(quán)。

• 阿里云賬號(hào)（主賬號(hào)）。

• 擁有管理員權(quán)限的RAM用戶(hù)或RAM角色。

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx",
                "acs:*:*:*:user/*"
            ]
        }
    ],
    "Version": "1"
}

自定義集群資源權(quán)限

如果您想自由定義集群資源的訪(fǎng)問(wèn)權(quán)限，可使用自定義集群資源權(quán)限功能。關(guān)于如何編寫(xiě)自定義集群資源RBAC權(quán)限，請(qǐng)參見(jiàn)使用自定義RBAC限制集群內(nèi)資源操作。

阿里云容器服務(wù)內(nèi)置了一些自定義集群資源權(quán)限。

您可登錄到集群節(jié)點(diǎn)，執(zhí)行以下命令，查看自定義權(quán)限的詳情。

kubectl get clusterrole

預(yù)期輸出：

NAME                                                                   AGE
admin                                                                  13d
alibaba-log-controller                                                 13d
alicloud-disk-controller-runner                                        13d
cluster-admin                                                          13d
cs:admin                                                               13d
edit                                                                   13d
flannel                                                                13d
kube-state-metrics                                                     22h
node-exporter                                                          22h
prometheus-k8s                                                         22h
prometheus-operator                                                    22h
system:aggregate-to-admin                                              13d
....  
system:volume-scheduler                                                13d
view                                                                   13d         

以超級(jí)管理員cluster-admin為例，執(zhí)行以下命令，查看其權(quán)限詳情。

kubectl get clusterrole cluster-admin -o yaml

預(yù)期輸出：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  annotations:
    rbac.authorization.kubernetes.io/autoupdate: "true"
  creationTimestamp: 2018-10-12T08:31:15Z
  labels:
    kubernetes.io/bootstrapping: rbac-defaults
  name: cluster-admin
  resourceVersion: "57"
  selfLink: /apis/rbac.authorization.k8s.io/v1/clusterroles/cluster-admin
  uid: 2f29f9c5-cdf9-11e8-84bf-00163e0b2f97
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'

無(wú)權(quán)限錯(cuò)誤碼說(shuō)明

當(dāng)您通過(guò)控制臺(tái)或OpenAPI所做的部分操作缺少所需的RBAC權(quán)限時(shí)，控制臺(tái)或OpenAPI將返回相應(yīng)的無(wú)權(quán)限錯(cuò)誤碼。各個(gè)錯(cuò)誤碼對(duì)應(yīng)操作所需的集群RBAC權(quán)限說(shuō)明如下表所示。

相關(guān)文檔

• 如果預(yù)置的角色不能滿(mǎn)足您的要求，您需要自定義RBAC獲取集群內(nèi)資源的訪(fǎng)問(wèn)權(quán)限，請(qǐng)參見(jiàn)使用自定義RBAC限制集群內(nèi)資源操作。

• 當(dāng)RAM用戶(hù)或RAM角色需要進(jìn)行集群運(yùn)維和應(yīng)用運(yùn)維時(shí)，您需要依次對(duì)其進(jìn)行RAM授權(quán)和RBAC授權(quán)。

  • 如果授權(quán)對(duì)象為集群與集群內(nèi)應(yīng)用的運(yùn)維人員，請(qǐng)參見(jiàn)場(chǎng)景一：授權(quán)對(duì)象為集群與集群內(nèi)應(yīng)用的運(yùn)維人員。

  • 如果授權(quán)對(duì)象為集群內(nèi)應(yīng)用的開(kāi)發(fā)人員，請(qǐng)參見(jiàn)場(chǎng)景二：授權(quán)對(duì)象為集群內(nèi)應(yīng)用的開(kāi)發(fā)人員。

  • 如果授權(quán)對(duì)象為集群內(nèi)應(yīng)用的權(quán)限管理員，請(qǐng)參見(jiàn)場(chǎng)景三：授權(quán)對(duì)象為集群內(nèi)應(yīng)用的權(quán)限管理員。

• 如需查看容器服務(wù)ACK的服務(wù)角色，請(qǐng)參見(jiàn)容器服務(wù)ACK服務(wù)角色。

• 授權(quán)過(guò)程問(wèn)題，請(qǐng)參見(jiàn)授權(quán)管理FAQ。