凯发k8国际娱乐官网入口-k8凯发> 云容器引擎 cce> > 权限和授权项
更新时间：2024-01-10 gmt 08:00

权限和授权项-凯发k8国际娱乐官网入口

如果您需要对您所拥有的云容器引擎（cce）进行精细的权限管理，您可以使用统一身份认证服务（identity and access management，简称iam），如果账号已经能满足您的要求，不需要创建独立的iam用户，您可以跳过本章节，不影响您使用cce服务的其它功能。

默认情况下，新建的iam用户没有任何权限，您需要将其加入用户组，并给用户组授予策略或角色，才能使用户组中的用户获得相应的权限，这一过程称为授权。授权后，用户就可以基于已有的权限对云服务进行操作。关于策略的语法结构及示例，请参见iam权限管理说明。

权限根据授权的精细程度，分为和。角色以服务为粒度，是iam最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。策略以api接口为粒度进行权限拆分，授权更加精细，可以精确到某个操作、资源和条件，能够满足企业对权限最小化的安全管控要求。

如果您要允许或是禁止某个接口的操作权限，请使用策略。

账号具备所有接口的调用权限，如果使用账号下的iam用户发起api请求时，该iam用户必须具备调用该接口所需的权限，否则，api请求将调用失败。每个接口所需要的权限，与各个接口所对应的授权项相对应，只有发起请求的用户被授予授权项所对应的策略，该用户才能成功调用该接口。例如，用户要调用接口来查询云服务器列表，那么这个iam用户被授予的策略中必须包含允许“ecs:servers:list”的授权项，该接口才能调用成功。

iam支持的授权项

策略包含系统策略和自定义策略，如果系统策略不满足授权要求，管理员可以创建自定义策略，并通过给用户组授予自定义策略来进行精细的访问控制。策略支持的操作与api相对应，授权项列表说明如下：

  • 权限：允许或拒绝某项操作。
  • 对应api接口：自定义策略实际调用的api接口。
  • 授权项：自定义策略中支持的action，在自定义策略中的action中写入授权项，可以实现授权项对应的权限功能。
  • 依赖的授权项：部分action存在对其他action的依赖，需要将依赖的action同时写入授权项，才能实现对应的权限功能。
  • iam项目(project)/企业项目(enterprise project)：自定义策略的授权范围，包括iam项目与企业项目。授权范围如果同时支持iam项目和企业项目，表示此授权项对应的自定义策略，可以在iam和企业管理两个服务中给用户组授权并生效。如果仅支持iam项目，不支持企业项目，表示仅能在iam中给用户组授权并生效，如果在企业管理中授权，则该自定义策略不生效。关于iam项目与企业项目的区别，详情请参见：。

“√”表示支持，“x”表示暂不支持。

云容器引擎（cce）支持的自定义策略授权项如下所示：

表1 cluster

权限

对应api接口

授权项（action）

iam项目(project)

企业项目 (enterprise project)

获取指定项目下的集群

get /api/v3/projects/{project_id}/clusters

cce:cluster:list

√

√

获取指定的集群

get /api/v3/projects/{project_id}/clusters/{cluster_id}

cce:cluster:get

√

√

创建集群

post /api/v3/projects/{project_id}/clusters

cce:cluster:create

√

√

更新指定的集群

put /api/v3/projects/{project_id}/clusters/{cluster_id}

cce:cluster:update

√

√

删除集群

delete /api/v3/projects/{project_id}/clusters/{cluster_id}

cce:cluster:delete

√

√

升级集群

post /api/v2/projects/:projectid/clusters/:clusterid/upgrade

cce:cluster:upgrade

√

√

唤醒集群

post /api/v3/projects/{project_id}/clusters/{cluster_id}/operation/awake

cce:cluster:start

√

√

休眠集群

post /api/v3/projects/{project_id}/clusters/{cluster_id}/operation/hibernate

cce:cluster:stop

√

√

变更集群规格

post /api/v2/projects/{project_id}/clusters/:clusterid/resize

cce:cluster:resize

√

√

获取集群证书

post /api/v3/projects/{project_id}/clusters/{cluster_id}/clustercert

cce:cluster:get

√

√
表2 node

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

获取集群下所有节点

get /api/v3/projects/{project_id}/clusters/{cluster_id}/nodes

cce:node:list

√

√

获取指定的节点

get /api/v3/projects/{project_id}/clusters/{cluster_id}/nodes/{node_id}

cce:node:get

√

√

创建节点

post /api/v3/projects/{project_id}/clusters/{cluster_id}/nodes

cce:node:create

√

√

说明：

使用企业项目授权创建节点需额外添加evs:quota:get的全局权限。

更新指定的节点

put /api/v3/projects/{project_id}/clusters/{cluster_id}/nodes/{node_id}

cce:node:update

√

√

删除节点

delete /api/v3/projects/{project_id}/clusters/{cluster_id}/nodes/{node_id}

cce:node:delete

√

√
表3 job

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

获取任务信息

get /api/v3/projects/{project_id}/jobs/{job_id}

cce:job:get

√

√

列出所有任务

get /api/v2/projects/{project_id}/jobs

cce:job:list

√

√

删除所有任务或删除单个任务

delete /api/v2/projects/{project_id}/jobs

delete /api/v2/projects/{project_id}/jobs/{job_id}

cce:job:delete

√

√
表4 nodepool

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

获取集群下所有节点池

get /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools

cce:nodepool:list

√

√

获取节点池

get /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools/{nodepool_id}

cce:nodepool:get

√

√

创建节点池

post /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools

cce:nodepool:create

√

√

更新节点池信息

put /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools/{nodepool_id}

cce:nodepool:update

√

√

删除节点池

delete /api/v3/projects/{project_id}/clusters/{cluster_id}/nodepools/{nodepool_id}

cce:nodepool:delete

√

√
表5 chart

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

更新模板

put /v2/charts/{id}

cce:chart:update

√

×

上传模板

post /v2/charts

cce:chart:upload

√

×

列出所有模板

get /v2/charts

cce:chart:list

√

×

获取模板信息

get /v2/charts/{id}

cce:chart:get

√

×

删除模板

delete /v2/charts/{id}

cce:chart:delete

√

×
表6 release

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

更新升级模板实例

put /v2/releases/{name}

cce:release:update

√

√

列出所有模板实例

get /v2/releases

cce:release:list

√

√

创建模板实例

post /v2/releases

cce:release:create

√

√

获取模板实例信息

get /v2/releases/{name}

cce:release:get

√

√

删除模板实例

delete /v2/releases/{name}

cce:release:delete

√

√
表7 storage

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

创建persistentvolumeclaim

post /api/v1/namespaces/{namespace}/cloudpersistentvolumeclaims

cce:storage:create

√

√

删除persistentvolumeclaim

delete /api/v1/namespaces/{namespace}/cloudpersistentvolumeclaims/{name}

cce:storage:delete

√

√

列出所有磁盘

get /storage/api/v1/namespaces/{namespace}/listvolumes

cce:storage:list

√

√
表8 addon

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

创建插件实例

post /api/v3/addons

cce:addoninstance:create

√

√

获取插件实例

get /api/v3/addons/{id}?cluster_id={cluster_id}

cce:addoninstance:get

√

√

列出所有插件实例

get /api/v3/addons?cluster_id={cluster_id}

cce:addoninstance:list

√

√

删除插件实例

delete /api/v3/addons/{id}?cluster_id={cluster_id}

cce:addoninstance:delete

√

√

更新升级插件实例

put /api/v3/addons/{id}

cce:addoninstance:update

√

√
表9 quota

权限

对应api接口

授权项

iam项目(project)

企业项目 (enterprise project)

查询配额详情

get /api/v3/projects/{project_id}/quotas

cce:quota:get

√

√
分享：
网站地图