使用RBAC授予集群内资源操作权限

RBAC工作原理

前提条件

RAM用户或RAM角色已获取目标集群的RAM只读权限，参考策略如下。具体操作，请参见使用自定义策略授权。

{
  "Statement": [
    {
      "Action": [
        "cs:Get*",
        "cs:List*",
        "cs:Describe*"
      ],
      "Effect": "Allow",
      "Resource": [
        "acs:cs:*:*:cluster/<yourclusterID>" 
      ]
    }
  ],
  "Version": "1"
}

授权说明

阿里云账号（主账号）可以对所有集群进行所有操作，RAM用户或RAM角色拥有自己创建的集群的所有操作权限，非集群创建者的RAM用户或RAM角色，需要额外进行RAM和RBAC授权，才能操作集群。

操作步骤

容器服务ACK默认提供管理员、运维人员、开发人员和受限用户这四种标准的集群资源RBAC访问权限，可满足大部分用户在容器服务控制台上的使用需求。如果您想自由定义集群资源的RBAC访问权限，请参见使用自定义RBAC限制集群内资源操作。

满足以下条件的账号才可以为其他RAM用户或RAM角色进行授权。

• 阿里云账号（主账号）。

• 拥有管理员权限的RAM用户或RAM角色。

{
    "Statement": [{
            "Action": [
                "ram:Get*",
                "ram:List*",
                "cs:Get*",
                "cs:Describe*",
                "cs:List*",
                "cs:GrantPermission"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Action": [
                "ram:AttachPolicyToUser",
                "ram:AttachPolicy"
            ],
            "Effect": "Allow",
            "Resource":  [
                "acs:ram:*:*:policy/xxxxxx",
                "acs:*:*:*:user/*"
            ]
        }
    ],
    "Version": "1"
}

自定义集群资源权限

如果您想自由定义集群资源的访问权限，可使用自定义集群资源权限功能。关于如何编写自定义集群资源RBAC权限，请参见使用自定义RBAC限制集群内资源操作。

阿里云容器服务内置了一些自定义集群资源权限。

您可登录到集群节点，执行以下命令，查看自定义权限的详情。

kubectl get clusterrole

预期输出：

NAME                                                                   AGE
admin                                                                  13d
alibaba-log-controller                                                 13d
alicloud-disk-controller-runner                                        13d
cluster-admin                                                          13d
cs:admin                                                               13d
edit                                                                   13d
flannel                                                                13d
kube-state-metrics                                                     22h
node-exporter                                                          22h
prometheus-k8s                                                         22h
prometheus-operator                                                    22h
system:aggregate-to-admin                                              13d
....  
system:volume-scheduler                                                13d
view                                                                   13d         

以超级管理员cluster-admin为例，执行以下命令，查看其权限详情。

kubectl get clusterrole cluster-admin -o yaml

预期输出：

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  annotations:
    rbac.authorization.kubernetes.io/autoupdate: "true"
  creationTimestamp: 2018-10-12T08:31:15Z
  labels:
    kubernetes.io/bootstrapping: rbac-defaults
  name: cluster-admin
  resourceVersion: "57"
  selfLink: /apis/rbac.authorization.k8s.io/v1/clusterroles/cluster-admin
  uid: 2f29f9c5-cdf9-11e8-84bf-00163e0b2f97
rules:
- apiGroups:
  - '*'
  resources:
  - '*'
  verbs:
  - '*'
- nonResourceURLs:
  - '*'
  verbs:
  - '*'

无权限错误码说明

当您通过控制台或OpenAPI所做的部分操作缺少所需的RBAC权限时，控制台或OpenAPI将返回相应的无权限错误码。各个错误码对应操作所需的集群RBAC权限说明如下表所示。

相关文档

• 如果预置的角色不能满足您的要求，您需要自定义RBAC获取集群内资源的访问权限，请参见使用自定义RBAC限制集群内资源操作。

• 当RAM用户或RAM角色需要进行集群运维和应用运维时，您需要依次对其进行RAM授权和RBAC授权。

  • 如果授权对象为集群与集群内应用的运维人员，请参见场景一：授权对象为集群与集群内应用的运维人员。

  • 如果授权对象为集群内应用的开发人员，请参见场景二：授权对象为集群内应用的开发人员。

  • 如果授权对象为集群内应用的权限管理员，请参见场景三：授权对象为集群内应用的权限管理员。

• 如需查看容器服务ACK的服务角色，请参见容器服务ACK服务角色。

• 授权过程问题，请参见授权管理FAQ。