备案控制台
文档
产品文档
输入文档关键字查找
首页

用户授权

更新时间：
一键部署
产品详情
相关技术圈
我的收藏

RAM用户被授权后，才可以进行工作流集群的相关查看和修改等操作。本文介绍如何为工作流集群的RAM用户授权。

索引

前提条件

已安装阿里云CLI并配置凭证，且CLI版本为3.0.159及以上。具体操作，请参见安装阿里云CLI和配置凭证。

授权说明

默认情况下，仅阿里云账号（即主账号）和工作流集群创建者账号拥有集群内Kubernetes资源的管理员权限。RAM用户（非工作流集群创建者）没有集群内任何Kubernetes资源的访问权限。

管理员或工作流集群创建者可通过以下方式为RAM用户授权，允许RAM访问操作工作流集群。

  1. 步骤一：为RAM用户授予RAM权限：授权后，RAM用户可以调用aliyun adcp命令行查看或修改工作流集群。
  2. 步骤二：为RAM用户授予工作流集群的RBAC权限：授权后，RAM用户可以通过kubectl或Argo CLI命令行或Argo UI查看操作工作流。

步骤一：为RAM用户授予RAM权限

工作流集群内置默认已创建AliyunAdcpFullAccess和AliyunAdcpReadOnlyAccess策略，可直接授权使用。关于授权具体操作，请参见为RAM用户授权。

系统策略系统权限说明
AliyunAdcpFullAccess具有工作流集群的所有权限，可以运行aliyun adcp的所有子命令，可以创建集群，删除集群，用户授权，查看集群。若RAM用户要成为工作流集群管理员，请授权AliyunAdcpFullAccess。
AliyunAdcpReadOnlyAccess具有工作流集群的只读权限，可以运行aliyun adcp的所有Describe子命令，可以查看集群，获取集群的KubeConfig。若RAM用户要成为工作流集群的使用者，仅提交工作流，则授权AliyunAdcpReadOnlyAccess。

步骤二：为RAM用户授予工作流集群的RBAC权限

工作流集群默认内置admin和dev的RBAC权限，可直接授权使用。

RBAC权限名称说明
admin具有所有用户命名空间下的dev的所有权限，并可以操作集群层面的Namespace等资源。
dev具有相应命名空间下工作流的所有权限。

为RAM用户授予工作流集群管理员admin和dev权限的方法如下。

授予工作流集群管理员admin权限

使用以下命令，为RAM用户授予工作流集群admin权限。

aliyun adcp GrantUserPermission --UserId 2176*** --ClusterId <clusterid> --RoleType cluster --RoleName admin
入参说明
字段类型是否必选备注
UserIdstring是RAM用户ID。
ClusterIdstring是授权目标工作流集群ID。
RoleTypestring是授权类型，取值：
  • cluster：集群维度。
  • namespace：命名空间维度。
说明 admin权限的授权类型必须为cluster集群维度，不可以为命名空间维度。
RoleNamestring是预置的角色名称，取值：
  • admin：管理员。
  • dev：开发人员。
Namespacestring否命名空间名称，集群维度授权时为空。

授予工作流集群命名空间dev权限

说明 dev权限的授权类型必须为namespace命名空间维度，不可以为主控实例维度。

使用以下命令，为RAM用户授予主控实例命名空间default的dev权限。

aliyun adcp GrantUserPermission --UserId 2176*** --ClusterId <clusterid> --RoleType namespace --Namespace default --RoleName dev

相关操作

查询RAM用户RBAC权限

CLI示例
aliyun adcp DescribeUserPermissions --UserId 2176***
入参说明
字段类型是否必选备注
UserIdstring是RAM用户ID。
出参说明
字段类型备注示例
RequestIdstring请求ID。EA06613B-37A3-549E-BAE0-E4AD8A6E93D7
PermissionsObject无无
RoleTypestring预置的角色类型。取值：
  • admin：管理员。
  • dev：开发人员。
dev
ResourceTypestring授权类型。取值：
  • cluster：集群维度。
  • namespace：命名空间维度。
namespace
ResourceIdstring集群访问配置。
  • 当集群维度授权时，格式为：{cluster_id}。
  • 当命名空间维度授权时，格式为：{cluster_id}/{namespace}。
cffef3c9c7ba145b083292942a2c3****/test

取消RAM用户RBAC权限

CLI示例
aliyun adcp DeleteUserPermission --UserId 2176*** --ClusterId <clusterid>
入参说明
字段类型是否必选备注
UserIdstring是RAM用户ID。
ClusterIdstring是授权工作流集群ID。
出参说明
字段类型备注示例
RequestIdstring请求ID。EA06613B-37A3-549E-BAE0-E4AD8A6E93D7
  • 本页导读 （1）
文档反馈