# 示例：某公司权限设计及配置
假设A公司在华为云使用UCS服务管理多集群，公司中有多个职能团队，分别负责权限分配、资源管理、创建应用、流量分发、监控运维等。结合使用统一身份认证服务（IAM）与Kubernetes的角色访问控制（RBAC）的权限管理，可以实现精细化授权的目标。
图1组织结构示意图   
![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261545481.png "点击放大")
- 行管团队：负责管理公司所有资源的团队。
- 开发团队：负责业务开发的团队。
- 运维团队：负责查看并监控所有资源使用情况的团队。
- 访客：预留的只读权限团队，指那些仅具有查看资源权限的人员。
通过[表1]，给公司不同的职能团队设置不同的权限，可以实现各团队之间权限隔离，各司其职。
 表1权限设置 
| 职能团队 | 需要授予的策略              | 权限说明                                          |
|:---|:---|:---|
| 行管团队 | UCS FullAccess       | UCS服务管理员权限，拥有该权限的用户拥有服务的所有权限（包含制定权限策略、安全策略等）。 |
| 开发团队 | UCS CommonOperations | UCS服务基本操作权限，拥有该权限的用户可以执行创建工作负载、流量分发等操作。       |
| 运维团队 | UCS CIAOperations    | UCS服务容器智能分析管理员权限。                             |
| 访客   | UCS ReadOnlyAccess   | UCS服务只读权限（除容器智能分析只读权限）。                       |
   
#### 权限设计
公司不同的职能团队针对UCS资源的操作范围如下图所示：
图2UCS资源操作全景   
![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665389.png "点击放大")
- ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665393.png)：由Tenant Administrator角色的管理员为各个职能团队授权。
- ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226466008.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261545489.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226625824.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665397.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226466012.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261545493.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226625828.png)：拥有UCS FullAccess权限的行管团队负责创建容器舰队、注册集群、将集群加入容器舰队，以及开通集群联邦能力，搭建多集群联邦基础设施。同时，行管团队可以根据用户/用户组，以及不同的命名空间为集群/容器舰队添加权限，使不同的用户对具体的Kubernetes资源拥有相应的操作权限。
- ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665401.png)、![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226466016.png)：拥有UCS CommonOperations权限的开发团队执行创建工作负载、流量分发等操作。
- ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261545497.png)：拥有UCS CIAOperations权限的运维团队执行监控运维等操作。
- ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226625832.png)：拥有UCS ReadOnlyAccess权限的访客进行集群、容器舰队、工作负载等资源的查看操作。
 
#### 管理员：IAM授权
Tenant Administrator管理员按照[图3]方式为各个职能团队进行IAM授权，即：先创建四个用户组，分别为这些用户组授予UCS FullAccess、UCS CommonOperations、UCS CIAOperations和UCS ReadOnlyAccess权限，然后为各个用户组添加用户。
图3IAM授权方式   
![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665405.png "点击放大")
例如：为开发团队创建用户组dev，授予UCS CommonOperations权限，并添加devuser1、devuser2两个用户。
图4授权记录   
![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261545501.png "点击放大")
图5用户管理   
![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002261665413.png "点击放大")
详细的操作指导请参见[UCS服务资源权限（IAM授权）](https://support.huaweicloud.com/usermanual-ucs/zh-cn_topic_0000002492420662.html)。需要注意的是，UCS的一些功能依赖其他云服务实现，在使用这些功能时，还需要授予其他云服务的权限。例如，创建权限时需要获取IAM用户列表，因此，为行管团队授予UCS FullAccess权限的同时还需授予VDC ReadOnlyAccess权限。
#### 行管团队：搭建基础设施、配置权限策略
1. 选择集群/容器舰队。 
   容器舰队是多个集群的集合，容器舰队可以实现多集群的权限统一管理。行管人员为容器舰队添加开发权限，后续加入容器舰队的集群将拥有舰队的权限，这样开发人员就有操作容器舰队中集群资源（如创建工作负载）的权限了。详细的操作指导请参见[管理容器舰队](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0004.html)。
   
   
2. 添加权限。 
   为用户组人员添加开发权限。
   一个用户组中可以有多个用户，一个用户也可以加入多个用户组，用户拥有其所在用户组权限的合集。
   图6添加开发权限   
   ![](https://support.huaweicloud.com/usermanual-ucs/zh-cn_image_0000002226625840.png "点击放大")
   
   
   
3. 注册集群，并将它们添加到舰队中。 
   UCS服务支持注册华为云集群、本地集群及附着集群，行管人员可以根据实际需求选择。详细的操作指导请参见[华为云集群](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0154.html)、[附着集群概述](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0162.html)、[本地集群概述](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0161.html)。
   
   
4. 开通集群联邦。 
   集群联邦可以提供：多集群统一编排、跨集群弹性伸缩、跨集群服务发现等能力。集群联邦开通后，容器舰队内的成员集群将自动接入联邦。
   
   
 
#### 开发团队：创建工作负载、流量分发
行管人员将多集群联邦基础设施搭建完成后，开发人员就可以使用这些基础设施资源了，详细的操作指导请参见[工作负载](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0105.html)、[流量分发](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0019.html)。
#### 运维团队：查看并监控资源使用情况
运维人员利用容器智能分析提供的智能分析、仪表盘、通知配置、7x24小时守护功能，实时监控工作负载资源，分析应用健康状态，以及完成其他日常运维工作。详细的操作指导请参见[容器智能分析](https://support.huaweicloud.com/usermanual-ucs/ucs_01_0036.html)。
#### 访客：查看资源
访客（仅具有查看资源权限的人员）可执行集群、容器舰队、工作负载等资源的查看操作。