首页 华为云动态正文

【华为云技术分享】云容器引擎 CCE权限管理实践

云返利网 华为云动态 2020-08-22 06:39:15 13 0 华为云服务
随着容器化的快速发展,大数据原有的分布式任务调度模式,正在被基于Kubernetes的技术架构所取代。CCE云容器引擎是华为云推出的支持Kubernetes社区原生应用和工具,应用级自动弹性伸缩,自动化搭建云上容器平台。用户通过云容器引擎可以快速高效的将微服务部署在云端。   为方便管理员对CCE资源的权限管理,后台提供了多种维度的细粒度权限管理。CCE的权限管理包括“集群权限”和“命名空间权限”两种能力,分别从集群和命名空间层面对用户组或用户进行细粒度授权,具体解释如下:   集群权限: 是基于IAM系统策略的授权,可以让用户组拥有“集群管理”、“节点管理”、“节点池管理”、“模板市场”、“插件管理”权限。 命名空间权限: 是基于Kubernetes RBAC能力的授权。可以让用户或用户组拥有“工作负载”、“网络管理”、“存储管理”、“命名空间”权限。   基于IAM系统策略的“集群权限”与基于Kubernetes RBAC能力的命名空间权限,两者是完全独立的,互不影响,但要配合使用。同时,为用户组设置的权限将作用于用户组下的全部用户。当给用户或用户组添加多个权限时,多个权限会同时生效(取并集)。 通常一个公司中有多个部门或项目,每个部门又有多个成员。所以,在配置权限时需要进行详细设计。如下图所示的组织架构图,权限该如何设置呢?

主管:DAVID

由于DAVID需要配置CCE相关的所有权限(包括集群、k8s资源等)。所以,单独为DAVID创建用户组“cce-admin”,并配置所有项目的权限:“CCE Administrator”。 温馨提示 CCE Administrator:CCE的管理员权限,拥有该服务的所有权限,不需要再赋予其他权限。 CCE FullAccess、CCE ReadOnlyAccess:CCE的集群管理权限,仅针对与集群相关的资源(如集群、节点)有效,您必须确保同时配置了“命名空间权限”,才能有操作Kubernetes资源(如工作负载、Service等)的权限。

运维组长:JAMES

为JAMES创建用户组“cce-sre”,并配置所有项目的权限:“CCE FullAccess”。自此,便有了所有项目的集群管理权限。 由于很多工程师都需要只读权限,所以,应创建只读用户组“read_only”。然后,将相关用户都添加到此用户组。最后,在CCE的“权限管理”、“命名空间权限”界面为此用户组逐个赋予所有集群的“view”权限。

开发组长:ROBERT

由于开发组成员并不需要配置集群管理权限,但也要有界面的只读权限,所以,应赋予只读用户组“read_only”CCE界面的只读权限。 同时,再另外赋予其k8s资源的管理员权限。

运维工程师:WILLIAM

为WILLIAM创建用户组“cce-sre-b4”,然后配置北京四项目的“CCE FullAccess”。

开发工程师:LINDA、PETER

由于前面已经在用户组“read-only”中为两位工程师配置的全局的只读权限,这里只需要再另外配置相应的管理权限即可。

小问题:

能否只配置命名空间权限,不配置集群管理权限? 由于界面权限是由IAM系统策略进行判断,所以,如果未配置集群管理权限,就没有打开界面的权限。   那是否可以使用API呢? 答案也是否定的,因为API都需要进行IAM的token认证。   那是否可以使用kubectl命令呢?  

【关于云返利网】

云返利网是阿里云、腾讯云、华为云产品推广返利平台,在各个品牌云产品官网优惠活动之外,云返利网还提供返利。您可以无门槛获得阿里云、华为云、腾讯云所有产品返利,在官网下单后就可以领取,无论是自己用、公司用还是帮客户采购,您个人都可以获得返利。云返利网的目标是让返利更多、更快、更简单!详情咨询13121395187(微信同号)