使用RBAC授予集群内资源操作权限

使用阿里云账号授权

1. 登录容器服务管理控制台，在左侧导航栏选择授权管理。

2. 在授权管理页面配置管理权限。

   • 为RAM用户授权

     单击RAM 用户页签，在RAM用户列表中，单击目标RAM用户右侧的管理权限，进入权限管理页面，您也可以选择多个目标RAM用户进行批量授权。

   • 为RAM角色授权

     单击RAM 角色页签，输入RAM 角色名称，然后单击管理权限，进入权限管理页面。

     说明

     RAM角色支持手动输入，也支持在下拉列表中选择。您可以单击RAM角色右侧空白框，将会显示已有的RAM角色列表，然后从列表中选择已有的RAM角色进行授权。

3. 单击+ 添加权限，为目标RAM用户或RAM角色添加集群和命名空间级别的权限配置，并选择相应的预置角色，然后单击提交授权。

   说明

   • 在一个目标集群或命名空间中为RAM用户或RAM角色的授权时，支持配置一个预置角色、多个自定义角色，此时，所获得的权限为多个角色权限的并集。

   • 如果您需要在所有集群维度为RAM用户或RAM角色进行一键授权，使得后续新创建的集群也会为被授权的RAM用户或RAM角色自动绑定已经授权的预置角色，您可以选择集群为所有集群。

   预置角色	集群内RBAC权限
   管理员	对集群所有命名空间下Kubernetes资源的RBAC读写权限，以及对集群节点、存储卷、命名空间、配额的读写权限。
   运维人员	对所有命名空间下控制台可见Kubernetes资源的读写权限，对集群节点、存储卷、命名空间、配额的只读权限。
   开发人员	对所有命名空间或所选命名空间下控制台可见Kubernetes资源的RBAC读写权限。
   受限用户	对所有命名空间或所选命名空间下控制台可见Kubernetes资源的RBAC只读权限。
   自定义	权限由您所选择的ClusterRole决定，请在确定所选ClusterRole对各类资源的操作权限后再进行授权，以免RAM用户或RAM角色获得不符合预期的权限。关于自定义权限的授权，请参见使用自定义RBAC限制集群内资源操作。 重要 RAM用户或RAM角色被授予cluster-admin权限后，在该集群内可视为与阿里云账号有相同权限的超级账号，拥有操作集群内所有资源的任意权限。请谨慎授予。

使用RAM用户或RAM角色授权

阿里云账号（主账号）对账号中的资源具有完全管理权限，您也可以将新建或已有的RAM用户或角色授予如下RAM权限和RBAC权限，使其成为一个权限管理员，后续使用该RAM用户或RAM角色进行为其他用户或角色授权。

步骤一：将RAM用户或RAM角色设置为权限管理员

1、获取RAM授权权限

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx",
                "acs:*:*:*:user/*"
            ]
        }
    ],
    "Version": "1"
}

2、获取RBAC授权权限

完成上述RAM权限和RBAC权限授权之后，该RAM用户或RAM角色成为一个权限管理员，拥有给其他RAM用户或RAM角色进行RAM授权和RBAC授权的能力。

步骤二：为其他RAM用户或RAM角色授权

RAM用户或RAM角色获取管理员权限之后，即可登录为其他用户或角色授权，具体操作和阿里云账号授权操作一致，请参见使用阿里云账号授权。