Estos contenidos se han traducido de forma automática para su comodidad, pero Huawei Cloud no garantiza la exactitud de estos. Para consultar los contenidos originales, acceda a la versión en inglés.

Centro de ayuda/ Cloud Container Engine/ Guía del usuario/ Permisos/ Dependencia de permisos de la consola de CCE

Actualización más reciente 2024-09-10 GMT+08:00

Ver PDF

Dependencia de permisos de la consola de CCE

Algunas políticas de permisos de CCE dependen de las políticas de otros servicios en la nube. Para ver o usar otros recursos en la nube en la consola de CCE, debe habilitar la función de control de acceso de políticas del sistema de IAM y asignar políticas de dependencia para los otros servicios en la nube.

Las políticas de dependencia se asignan según la política de FullAccess de CCE o de ReadOnlyAccess de CCE que configure. Para más detalles, consulte Permisos de clúster (basados en IAM).
Solo los usuarios y grupos de usuarios con permisos de espacio de nombres pueden obtener el acceso de visualización a los recursos en clústeres de v1.11.7-r2 y posteriores.
- Si se concede a un usuario el acceso de vista a todos los espacios de nombres de un clúster, el usuario puede ver todos los recursos de espacio de nombres (excepto los secretos) del clúster. Para ver secretos en el clúster, el usuario debe obtener el rol admin o edit en todos los espacios de nombres del clúster.
- Las políticas de CustomedHPA y de HPA solo tienen efecto después de que se hayan configurado los permisos de administrador del clúster para el espacio de nombres.
- El rol view dentro de un solo espacio de nombres permite a los usuarios ver recursos solo en el espacio de nombres especificado.

Configuración de política de dependencia

Para conceder a un usuario de IAM los permisos para ver o usar recursos de otros servicios en la nube en la consola de CCE, primero debe conceder a la política de CCE Administrator, CCE FullAccess o CCE ReadOnlyAccess al grupo de usuarios al que pertenece el usuario y, a continuación, conceda al usuario las políticas de dependencia enumeradas en Tabla 1. Estas políticas de dependencia permitirán al usuario de IAM acceder a los recursos de otros servicios en la nube.

Enterprise projects puede agrupar y gestionar recursos en diferentes proyectos de una empresa. Por lo tanto, los recursos quedan aislados. IAM le permite implementar la autorización de grano fino. Se recomienda encarecidamente que utilice IAM para la gestión de permisos.

Si utiliza un proyecto de empresa para establecer permisos para los usuarios de IAM, se aplicarán las siguientes restricciones:

En la consola de CCE, los proyectos empresariales no pueden invocar a la API utilizada para obtener datos de supervisión de AOM para la supervisión de clústeres. Por lo tanto, los usuarios de IAM en estos proyectos de empresa no pueden consultar datos de supervisión.
En la consola de CCE, los proyectos de empresa no pueden invocar a la API para consultar el par de claves creado durante la creación del nodo. Por lo tanto, los usuarios de IAM en estos proyectos de empresa no pueden usar el modo de inicio de sesión de par de claves. Solo se admite el modo de inicio de sesión con contraseña.
En la consola de CCE, los proyectos de empresa no se admiten durante la creación de plantillas. Por lo tanto, los subusuarios de proyectos de empresa no pueden utilizar la gestión de plantillas.
Después de asignar el permiso CCE FullAccess a un proyecto de empresa, debe configurar la acción ecs:availabilityZones:list en la consola de IAM para que los usuarios del proyecto de empresa puedan crear nodos. De lo contrario, el sistema le pedirá que no tenga el permiso.

CCE admite la configuración de permisos detallados, pero tiene las siguientes restricciones:

AOM no admite la supervisión a nivel de recursos. Después de configurar los permisos de operación en recursos específicos mediante la función de gestión de recursos de clústeres de IAM, los usuarios de IAM pueden ver la información de supervisión de clústeres en la página Panel de la consola de CCE, pero no pueden ver los datos en métricas no de grano fino.

**Tabla 1** Políticas de dependencia
Función de consola	Servicios dependientes	Funciones o políticas requeridas
Panel	Application Operations Management (AOM)	Un usuario de IAM con el administrador de CCE asignado puede utilizar esta función solo después de que se asigne la política de FullAccess de AOM. Los usuarios de IAM con IAM ReadOnlyAccess, CCE FullAccess o CCE ReadOnlyAccess asignados pueden utilizar directamente esta función.
Gestión de la carga de trabajo	Elastic Load Balance (ELB) Application Performance Management (APM) Application Operations Management (AOM) NAT Gateway Object Storage Service (OBS) Scalable File Service (SFS)	Excepto en los siguientes casos, el usuario no requiere ningún rol adicional para crear cargas de trabajo. Para crear un Service mediante ELB, debe tener asignado el FullAccess ELB o el ELB Administrator más VPC Administrator. Para utilizar un sondeo de Java, debe tener asignado el FullAccess AOM y el FullAccess APM. Para crear un Service con NAT Gateway, debe tener asignado el NAT Gateway Administrator. Para usar OBS, debe tener asignado el OBS Administrator globalmente. NOTA: Debido a la caché, se tarda unos 13 minutos para que la política de RBAC entre en vigor después de concederse a los usuarios, proyectos de empresa y grupos de usuarios. Después de que se concede una política de sistema relacionada con OBS, se tarda unos 5 minutos para que la política entre en vigor. Para utilizar SFS, debe tener asignado el FullAccess de SFS.
Gestión de clúster	Application Operations Management (AOM) Billing Center (BSS)	La expansión o la ampliación automáticas requiere la política de FullAccess de AOM. Cambiar el modo de facturación a anual/mensual requiere el rol de BSS Administrator.
Gestión de nodos	Elastic Cloud Server (ECS)	Si el permiso asignado a un usuario de IAM es CCE Administrator, la creación o eliminación de un nodo requiere la política FullAccess de ECS o ECS Administrator y la política de VPC Administrator.
Gestión de red	Elastic Load Balance (ELB) NAT Gateway	Excepto en los siguientes casos, el usuario no requiere ningún rol adicional para crear un Service. Para crear un Service mediante ELB, debe tener asignado el FullAccess ELB o el ELB Administrator más VPC Administrator. Para crear un Service con NAT Gateway, debe tener asignado el NAT Administrator.
Gestión de almacenamiento	Object Storage Service (OBS) Scalable File Service (SFS) SFS Turbo	Para usar OBS, debe tener asignado el OBS Administrator globalmente. NOTA: Debido a la caché, se tarda unos 13 minutos para que la política de RBAC entre en vigor después de concederse a los usuarios, proyectos de empresa y grupos de usuarios. Después de que se concede una política de sistema relacionada con OBS, se tarda unos 5 minutos para que la política entre en vigor. Para utilizar SFS, debe tener asignado el FullAccess de SFS. El uso de SFS Turbo requiere el rol de SFS Turbo Admin. El rol CCE Administrator es necesario para importar dispositivos de almacenamiento.
Administración del espacio de nombres	/	/
Gestión de gráficos	/	Las cuentas en la nube y los usuarios de IAM con CCE Administrator asignado pueden usar esta función.
Gestión de complementos	/	Las cuentas en la nube y los usuarios de IAM con CCE Administrator, CCE FullAccess, or CCE ReadOnlyAccess asignados pueden usar esta función.
Gestión de permisos	/	Para las cuentas en la nube, no se requiere ninguna política o función adicional. Los usuarios de IAM que tengan asignado el CCE Administrator o Security Administrator global pueden utilizar esta función. Los usuarios de IAM con FullAccess CCE o ReadOnlyAccess CCE asignados pueden usar esta función.
Centro de configuración	/	La creación de ConfigMaps no requiere ninguna política adicional. La visualización de secretos requiere que el permiso de acluster-admin, admin o edit esté configurado para el espacio de nombres. Se debe asignar la política DEW KeypairFullAccess o DEW KeypairReadOnlyAccess a los servicios dependientes.
Centro de ayuda	/	/
Cambio a otros servicios relacionados	Software Repository for Container (SWR) Application Operations Management (AOM) Multi-Cloud Container Platform (MCP)	La consola de CCE proporciona enlaces a otros servicios relacionados. Para ver o utilizar estos servicios, se deben asignar los permisos necesarios a un usuario de IAM para los servicios.