更新时间:2024-09-11 GMT+08:00
分享

权限管理

如果您需要对购买的UCS资源,给企业中的员工设置不同的访问权限,以达到不同员工之间的权限隔离,您可以使用统一身份认证服务(Identity and Access Management,简称IAM)进行精细的权限管理。该服务提供用户身份认证、权限分配、访问控制等功能,可以帮助您安全的控制资源的访问。

通过IAM,您可以在账号中给员工创建IAM用户,并授权控制他们对资源的访问范围。例如您的员工中有负责软件开发的人员,您希望他们拥有UCS集群资源的使用权限,但是不希望他们拥有注销集群等高危操作的权限,那么您可以使用IAM为开发人员创建用户,通过授予仅能使用集群,但是不允许注销集群的权限策略,控制他们对UCS资源的使用范围。

UCS权限类型

UCS权限管理是在IAM与Kubernetes的角色访问控制(RBAC)的能力基础上,打造的细粒度权限管理功能。支持UCS服务资源权限、集群中Kubernetes资源权限两种维度的权限控制,这两种权限针对的是不同类型的资源,在授权机制上也存在一些差异,具体如下:

  • UCS服务资源权限:是基于IAM系统策略的授权。UCS服务资源包括容器舰队、集群、联邦实例等等,管理员可以针对用户的角色(如开发、运维)进行差异化授权,精细控制他们对UCS资源的使用范围。
  • 集群中Kubernetes资源权限:是基于Kubernetes RBAC能力的授权,可授予针对集群内Kubernetes资源对象的细化权限,通过权限设置可以让不同的用户有操作不同Kubernetes资源对象的权限(如工作负载、任务、服务等Kubernetes原生资源)。

如果您的团队主要使用UCS服务资源,那么IAM系统策略能够满足您的诉求;如果还需要集群内各个Kubernetes资源对象的细化权限,则必须结合Kubernetes RBAC一起使用。

UCS服务资源权限

默认情况下,管理员创建的IAM用户没有任何权限,需要将其加入用户组,并给用户组授予策略或角色,才能使得用户组中的用户获得对应的权限,这一过程称为授权。授权后,用户就可以基于被授予的权限对云服务进行操作。

UCS部署时不区分物理区域,为全局级服务。授权时,在全局级服务中设置权限,访问UCS时,不需要切换区域。

权限根据授权精细程度分为角色和策略。

  • 角色:IAM最初提供的一种根据用户的工作职能定义权限的粗粒度授权机制。该机制以服务为粒度,提供有限的服务相关角色用于授权。由于各云服务之间存在业务依赖关系,因此给用户授予角色时,可能需要一并授予依赖的其他角色,才能正确完成业务。角色并不能满足用户对精细化授权的要求,无法完全达到企业对权限最小化的安全管控要求。
  • 策略:IAM最新提供的一种细粒度授权的能力,可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式,能够满足企业对权限最小化的安全管控要求。例如:针对UCS服务,管理员能够控制IAM用户仅能对某一类舰队和集群资源进行指定的管理操作。

表1包括了UCS的所有系统权限。

表1 UCS系统权限

系统角色/策略名称

描述

类别

UCS FullAccess

UCS服务管理员权限,拥有该权限的用户拥有服务的所有权限(包含制定权限策略、安全策略等)。

系统策略

UCS CommonOperations

UCS服务基本操作权限,拥有该权限的用户可以执行创建工作负载、流量分发等操作。

系统策略

UCS CIAOperations

UCS服务容器智能分析管理员权限。

系统策略

UCS ReadOnlyAccess

UCS服务只读权限(除容器智能分析只读权限)。

系统策略

华为云各服务之间存在业务交互关系,UCS也依赖其他云服务实现一些功能(如镜像仓库、域名解析),因此,上述四种系统策略经常和其他云服务的角色或策略结合使用,以达到精细化授权的目的。管理员在为IAM用户授权时,应该遵循权限最小化的安全实践原则,表2列举了UCS各功能管理员、操作、只读权限所需要的最小权限。

表2 UCS功能所需的最小权限

功能

权限类型

权限范围

最小权限

容器舰队

管理员权限

  • 创建、删除舰队
  • 注册华为云集群(CCE集群、CCE Turbo集群)、本地集群或附着集群
  • 注销集群
  • 将集群加入、移出舰队
  • 为集群或舰队关联权限
  • 开通集群联邦、联邦管理相关操作(如创建联邦工作负载、创建域名访问等)

UCS FullAccess

只读权限

查询集群、舰队的列表或详情

UCS ReadOnlyAccess

华为云集群

管理员权限

对华为云集群及集群下所有Kubernetes资源对象(包含节点、工作负载、任务、服务等)的读写权限。

UCS FullAccess + CCE Administrator

操作权限

对华为云集群及集群下大多数Kubernetes资源对象的读写权限,对命名空间、资源配额等Kubernetes资源对象的只读权限。

UCS CommonOperations + CCE Administrator

只读权限

对华为云集群及集群下所有Kubernetes资源对象(包含节点、工作负载、任务、服务等)的只读权限。

UCS ReadOnlyAccess + CCE Administrator

本地/附着/多云/伙伴云集群

管理员权限

本地/附着/多云/伙伴云集群及集群下所有Kubernetes资源对象(包含节点、工作负载、任务、服务等)的读写权限。

UCS FullAccess

操作权限

本地/附着/多云/伙伴云集群及集群下大多数Kubernetes资源对象的读写权限,对命名空间、资源配额等Kubernetes资源对象的只读权限。

UCS CommonOperations + UCS RBAC权限(需要包含namespaces资源对象的list权限)

只读权限

本地/附着/多云/伙伴云集群及集群下所有Kubernetes资源对象(包含节点、工作负载、任务、服务等)的只读权限。

UCS ReadOnlyAccess + UCS RBAC权限(需要包含namespaces资源对象的list权限)

镜像仓库

管理员权限

容器镜像服务的所有权限,包括创建组织、上传镜像、查看镜像列表或详情、下载镜像等操作。

SWR Administrator

权限管理

管理员权限

  • 创建、删除权限
  • 查看权限列表或详情
说明:

创建权限需要同时授予子用户IAM ReadOnlyAccess权限(IAM服务的只读权限),用于获取IAM用户列表。

UCS FullAccess + IAM ReadOnlyAccess

只读权限

查看权限列表或详情

UCS ReadOnlyAccess + IAM ReadOnlyAccess

策略中心

管理员权限

  • 启用策略中心
  • 创建、停用策略实例
  • 查看策略列表
  • 查看策略实施详情

UCS FullAccess

只读权限

对于已启用策略中心的舰队和集群,拥有该权限的用户可以查看策略列表和查看策略实施详情。

UCS CommonOperations 或 UCS ReadOnlyAccess

服务网格

管理员权限

应用服务网格的所有权限,包括创建网格、添加集群、sidecar注入、查看网格列表或详情、卸载网格等。

CCE Administrator

流量分发

管理员权限

创建流量策略、暂停调度策略、删除调度策略等操作。

(推荐)UCS CommonOperations + DNS Administrator

UCS FullAccess + DNS Administrator

只读权限

查看流量策略列表或详情

UCS ReadOnlyAccess + DNS Administrator

容器智能分析

管理员权限

  • 接入、取消接入集群
  • 查看基础设施、应用负载等多维度监控数据

UCS CIAOperations

云原生服务中心

管理员权限

云原生服务中心的所有权限,包括订阅服务、查看服务列表或详情、创建服务实例、查看实例列表或详情、删除服务实例、退订服务等操作。

UCS FullAccess

只读权限

云原生服务中心的只读权限,包括查看服务列表或详情、查看实例列表或详情等操作。

UCS ReadOnlyAccess

集群中Kubernetes资源权限

集群中Kubernetes资源权限是基于Kubernetes RBAC能力的授权,管理员可授予用户针对集群内特定Kubernetes资源对象的细化权限。这些资源包括集群级资源和命名空间级资源,细化的操作权限包括get、list、watch、create、update、patch,以及delete,权限最终作用在舰队或未加入舰队的集群的命名空间上。操作权限的说明如下:

  • get:按名称检索特定的资源对象。
  • list:检索命名空间中特定类型的所有资源对象。
  • watch:响应资源变化。
  • create:创建资源。
  • update:更新资源。
  • patch:局部更新资源。
  • delete:删除资源。

关于集群级资源、命名空间级资源的解释,请参考Kubernetes资源对象

例如,按照图1所示的方案配置权限后,用户A仅能对舰队的命名空间A中的Deployment、Pod、Service执行get、list、watch(只读操作)权限,而用户B可以对舰队的命名空间B中的全部资源执行全部操作。

图1 Kubernetes资源授权示意图

在UCS控制台中内置了三种常见的权限类型:管理员权限、开发权限、只读权限,您可以直接使用这些权限类型为用户授权。当然,如果现有权限类型无法满足您的需求,也可以自定义权限,只需要指定操作类型和资源对象即可。

表3 权限类型说明

权限类型

说明

管理员权限

对所有Kubernetes资源对象的读写权限

开发权限

对大多数Kubernetes资源对象的读写权限,对命名空间、资源配额等Kubernetes资源对象的只读权限

只读权限

对所有Kubernetes资源对象的只读权限

相关文档