权限管理-凯发k8国际娱乐官网入口

如果您需要对购买的ucs资源，给企业中的员工设置不同的访问权限，以达到不同员工之间的权限隔离，您可以使用统一身份认证服务（identity and access management，简称iam）进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能，可以帮助您安全的控制资源的访问。

通过iam，您可以在帐号中给员工创建iam用户，并授权控制他们对资源的访问范围。例如您的员工中有负责软件开发的人员，您希望他们拥有ucs集群资源的使用权限，但是不希望他们拥有注销集群等高危操作的权限，那么您可以使用iam为开发人员创建用户，通过授予仅能使用集群，但是不允许注销集群的权限策略，控制他们对ucs资源的使用范围。

ucs权限类型

ucs权限管理是在iam与kubernetes的角色访问控制（rbac）的能力基础上，打造的细粒度权限管理功能。支持ucs服务资源权限、集群中kubernetes资源权限两种维度的权限控制，这两种权限针对的是不同类型的资源，在授权机制上也存在一些差异，具体如下：

ucs服务资源权限：是基于iam系统策略的授权。ucs服务资源包括容器舰队、集群、联邦实例等等，管理员可以针对用户的角色（如开发、运维）进行差异化授权，精细控制他们对ucs资源的使用范围。
集群中kubernetes资源权限：是基于kubernetes rbac能力的授权，可授予针对集群内kubernetes资源对象的细化权限，通过权限设置可以让不同的用户有操作不同kubernetes资源对象的权限（如工作负载、任务、服务等kubernetes原生资源）。

如果您的团队主要使用ucs服务资源，那么iam系统策略能够满足您的诉求；如果还需要集群内各个kubernetes资源对象的细化权限，则必须结合kubernetes rbac一起使用。

ucs服务资源权限

默认情况下，管理员创建的iam用户没有任何权限，需要将其加入用户组，并给用户组授予策略或角色，才能使得用户组中的用户获得对应的权限，这一过程称为授权。授权后，用户就可以基于被授予的权限对云服务进行操作。

ucs部署时不区分物理区域，为全局级服务。授权时，在全局级服务中设置权限，访问ucs时，不需要切换区域。

权限根据授权精细程度分为角色和策略。

角色：iam最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度，提供有限的服务相关角色用于授权。由于各云服务之间存在业务依赖关系，因此给用户授予角色时，可能需要一并授予依赖的其他角色，才能正确完成业务。角色并不能满足用户对精细化授权的要求，无法完全达到企业对权限最小化的安全管控要求。
策略：iam最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。例如：针对ucs服务，管理员能够控制iam用户仅能对某一类舰队和集群资源进行指定的管理操作。

表1包括了ucs的所有系统权限。

表1 ucs系统权限
系统角色/策略名称	描述	类别
ucs fullaccess	ucs服务管理员权限，拥有该权限的用户拥有服务的所有权限（包含制定权限策略、安全策略等）。	系统策略
ucs commonoperations	ucs服务基本操作权限，拥有该权限的用户可以执行创建工作负载、流量分发等操作。	系统策略
ucs ciaoperations	ucs服务容器智能分析管理员权限。	系统策略
ucs readonlyaccess	ucs服务只读权限（除容器智能分析只读权限）。	系统策略

华为云各服务之间存在业务交互关系，ucs也依赖其他云服务实现一些功能（如镜像仓库、域名解析），因此，上述四种系统策略经常和其他云服务的角色或策略结合使用，以达到精细化授权的目的。管理员在为iam用户授权时，应该遵循权限最小化的安全实践原则，表2列举了ucs各功能管理员、操作、只读权限所需要的最小权限。

表2 ucs功能所需的最小权限
功能	权限类型	权限范围	最小权限
容器舰队	管理员权限	创建、删除舰队注册华为云集群（cce集群、cce turbo集群）、本地集群或附着集群注销集群将集群加入、移出舰队为集群或舰队关联权限开通集群联邦、联邦管理相关操作（如创建联邦工作负载、创建域名访问等）	ucs fullaccess
容器舰队	只读权限	查询集群、舰队的列表或详情	ucs readonlyaccess
华为云集群	管理员权限	对华为云集群及集群下所有kubernetes资源对象（包含节点、工作负载、任务、服务等）的读写权限。	ucs fullaccess cce administrator
	操作权限	对华为云集群及集群下大多数kubernetes资源对象的读写权限，对命名空间、资源配额等kubernetes资源对象的只读权限。	ucs commonoperations cce administrator
	只读权限	对华为云集群及集群下所有kubernetes资源对象（包含节点、工作负载、任务、服务等）的只读权限。	ucs readonlyaccess cce administrator
本地/附着/多云/伙伴云集群	管理员权限	本地/附着/多云/伙伴云集群及集群下所有kubernetes资源对象（包含节点、工作负载、任务、服务等）的读写权限。	ucs fullaccess
	操作权限	本地/附着/多云/伙伴云集群及集群下大多数kubernetes资源对象的读写权限，对命名空间、资源配额等kubernetes资源对象的只读权限。	ucs commonoperations ucs rbac权限（需要包含namespaces资源对象的list权限）
	只读权限	本地/附着/多云/伙伴云集群及集群下所有kubernetes资源对象（包含节点、工作负载、任务、服务等）的只读权限。	ucs readonlyaccess ucs rbac权限（需要包含namespaces资源对象的list权限）
镜像仓库	管理员权限	容器镜像服务的所有权限，包括创建组织、上传镜像、查看镜像列表或详情、下载镜像等操作。	swr administrator
权限管理	管理员权限	创建、删除权限查看权限列表或详情说明：创建权限需要同时授予子用户iam readonlyaccess权限（iam服务的只读权限），用于获取iam用户列表。	ucs fullaccess iam readonlyaccess
权限管理	只读权限	查看权限列表或详情	ucs readonlyaccess iam readonlyaccess
策略中心	管理员权限	启用策略中心创建、停用策略实例查看策略列表查看策略实施详情	ucs fullaccess
策略中心	只读权限	对于已启用策略中心的舰队和集群，拥有该权限的用户可以查看策略列表和查看策略实施详情。	ucs commonoperations 或 ucs readonlyaccess
服务网格	管理员权限	应用服务网格的所有权限，包括创建网格、添加集群、sidecar注入、查看网格列表或详情、卸载网格等。	cce administrator
流量分发	管理员权限	创建流量策略、暂停调度策略、删除调度策略等操作。	（推荐）ucs commonoperations dns administrator 或 ucs fullaccess dns administrator
流量分发	只读权限	查看流量策略列表或详情	ucs readonlyaccess dns administrator
容器智能分析	管理员权限	接入、取消接入集群查看基础设施、应用负载等多维度监控数据	ucs ciaoperations
云原生服务中心	管理员权限	云原生服务中心的所有权限，包括订阅服务、查看服务列表或详情、创建服务实例、查看实例列表或详情、删除服务实例、退订服务等操作。	ucs fullaccess
云原生服务中心	只读权限	云原生服务中心的只读权限，包括查看服务列表或详情、查看实例列表或详情等操作。	ucs readonlyaccess

集群中kubernetes资源权限

集群中kubernetes资源权限是基于kubernetes rbac能力的授权，管理员可授予用户针对集群内特定kubernetes资源对象的细化权限。这些资源包括集群级资源和命名空间级资源，细化的操作权限包括get、list、watch、create、update、patch，以及delete，权限最终作用在舰队或未加入舰队的集群的命名空间上。操作权限的说明如下：

get：按名称检索特定的资源对象。
list：检索命名空间中特定类型的所有资源对象。
watch：响应资源变化。
create：创建资源。
update：更新资源。
patch：局部更新资源。
delete：删除资源。

关于集群级资源、命名空间级资源的解释，请参考kubernetes资源对象。

例如，按照图1所示的方案配置权限后，用户a仅能对舰队的命名空间a中的deployment、pod、service执行get、list、watch（只读操作）权限，而用户b可以对舰队的命名空间b中的全部资源执行全部操作。

图1 kubernetes资源授权示意图

在ucs控制台中内置了三种常见的权限类型：管理员权限、开发权限、只读权限，您可以直接使用这些权限类型为用户授权。当然，如果现有权限类型无法满足您的需求，也可以自定义权限，只需要指定操作类型和资源对象即可。

表3 权限类型说明
权限类型	说明
管理员权限	对所有kubernetes资源对象的读写权限
开发权限	对大多数kubernetes资源对象的读写权限，对命名空间、资源配额等kubernetes资源对象的只读权限
只读权限	对所有kubernetes资源对象的只读权限

意见反馈

文档内容是否对您有帮助？

提交成功！非常感谢您的反馈，我们会继续努力做到更好！您可在查看反馈及问题处理状态。

系统繁忙，请稍后重试

在使用文档中是否遇到以下问题

内容与产品页面不一致

内容不易理解

缺失示例代码

步骤不可操作

搜不到想要的内容

缺少最佳实践

意见反馈（选填）

0/500

请至少选择一项反馈信息并填写问题反馈

字符长度不能超过500

如您有其它疑问，您也可以通过华为云社区问答频道来与我们联系探讨