Қолжетімділікті басқару

Шақырылған жоба қатысушыларының немесе сервистік есептік жазбалардың құқықтарын шектеу үшін Managed Containers сервисінде сәйкестендіру және қолжетімділікті басқарудың бірыңғай сервисі — IAM қолданылады. Қолжетімділіктерді VK Cloud жеке кабинетінен орталықтандырылған түрде басқаруға болады.

Managed Containers сервисінде жоба қатысушысына қолжетімді әрекеттер тізімін мыналар анықтайды:

• Базалық рөл — VK Cloud барлық сервистері деңгейінде пайдаланушы құқықтарын анықтайды.
• Мамандандырылған рөл — VK Cloud жекелеген сервистері деңгейінде пайдаланушы құқықтарын анықтайды.

Managed Containers үшін жеке рұқсаттарды баптауға қолдау көрсетілмейді.

Рөлдерді тек Жоба иесі, Суперадминистратор және Пайдаланушылар әкімшісі (IAM) рөлдері бар жоба қатысушылары ғана тағайындай алады. Рөлдерді таңдау кезінде ең аз артықшылықтар қағидатын ұстаныңыз: пайдаланушы өз міндеттерін орындау үшін қажет құқықтарға ғана ие болуы тиіс.

Жоба иесі, Суперадминистратор және Жоба әкімшісі базалық рөлдері Managed Containers сервисінің барлық операцияларына толық қолжетімділік алады, жекелеген рөлдерді баптаудың қажеті жоқ.

Жеке кабинеттегі атауы: Жоба иесі.

Жобадағы ең жоғары рұқсаттар жиынтығы бар рөл. Бұл рөл жобаны өзі құрған пайдаланушыға немесе аккаунтты тіркеу кезінде өзі үшін жоба автоматты түрде жасалған пайдаланушыға автоматты түрде тағайындалады.

Жобада тек бір ғана иесі болуы мүмкін. Бұл рөлді қолмен тағайындауға немесе оған шақыруға болмайды.

Жеке кабинеттегі атауы: Суперадминистратор.

Жоба ресурстарының барлығын басқаруға рұқсаттар беретін рөл. Бұл рөлді пайдаланушыға тек жоба иесі ғана тағайындай алады.

Жеке кабинеттегі атауы: Жоба әкімшісі.

Пайдаланушылар топтары мен баланстан басқа, жоба ресурстарының барлығын басқаруға рұқсаттар беретін рөл.

Жеке кабинеттегі атауы: Пайдаланушылар әкімшісі (IAM).

Қолжетімділікті басқару бетінде жоба қатысушыларын басқаруға арналған рөл. Пайдаланушылар әкімшісі қатысушыларды жобаға шақыра алады және одан жоя алады, қатысушыларға тағайындалған рөлдерді өңдей алады. Бұл рөл үшін сервистер мен жоба балансы туралы ақпарат қолжетімсіз.

Cloud Logging сервисінде рөл журналдарды қарауға мүмкіндік береді.

Cloud Monitoring сервисінде рөл дашбордтарды қарауға мүмкіндік береді.

Cloud Audit сервисінде рөл IAM сервисінің оқиғаларын және пайдаланушының өз әрекеттерін қарауға мүмкіндік береді.

Жеке кабинеттегі атауы: Бақылаушы.

Жоба мен ресурстар туралы ақпараттың басым бөлігін қарауға рұқсаттар беретін, бірақ оларды жасауға және өзгертуге рұқсаттары жоқ рөл.

Cloud Logging сервисінде рөл журналдарды қарауға мүмкіндік береді.

Cloud Monitoring сервисінде рөл дашбордтарды қарауға мүмкіндік береді.

Cloud Audit сервисінде рөл жобаның барлық оқиғаларын қарауға және осы деректерді экспорттауға мүмкіндік береді.

Managed Containers сервисінде рөл кластер және түйіндер топтары туралы ақпаратты қарауға, сондай-ақ Headlamp-қа қол жеткізу үшін құпияны алуға мүмкіндік береді.

Managed Containers сервисі үшін базалық рөлмен бірге немесе жеке пайдалануға болатын бірнеше мамандандырылған рөлдер қолжетімді.

Жеке кабинеттегі атауы: Kubernetes аудиторы.

Managed Containers сервисін қарауға арналған рұқсаттары бар рөл.

Осы рөлі бар пайдаланушы мыналарды орындай алады:

• кластер және түйіндер топтары туралы ақпаратты көрсету;
• kubeconfig файлын алу;
• Kubernetes Dashboard-қа қол жеткізуге арналған құпияны алу.

Cloud Logging сервисінде рөл журналдарды қарауға және есептік деректерді генерациялауға мүмкіндік береді.

Cloud Monitoring сервисінде рөл дашбордтарды қарауға, жасауға және өңдеуге, сондай-ақ мониторинг жүйесіне жазба жасауға мүмкіндік береді.

Cloud Audit сервисінде рөл Managed Containers сервисінің оқиғаларын және пайдаланушының өз әрекеттерін қарауға, сондай-ақ осы деректерді экспорттауға мүмкіндік береді.

Жеке кабинеттегі атауы: Kubernetes операторы.

Managed Containers сервисімен жұмыс істеуге арналған рұқсаттары бар рөл. Кейбір әрекеттер тек кластердің белгілі бір күйінде қолжетімді. Мысалы, аддондарды орнату және жою тек кластер іске қосылған кезде ғана мүмкін.

Осы рөлі бар пайдаланушы мыналарды орындай алады:

• кластерлерді іске қосу және тоқтату;
• кластер және түйіндер топтары туралы ақпаратты көрсету;
• kubeconfig файлын алу;
• Kubernetes Dashboard-қа қол жеткізуге арналған құпияны алу;
• кластер нұсқасын жаңарту;
• виртуалды машина түрін өзгерту;
• Prometheus дискісінің өлшемін өзгерту;
• түйіндер тобын қосу немесе жою;
• түйіндер топтарының масштабтау баптауларын өзгерту;
• белгілерді (labels) және шектеулерді (taints) өзгерту;
• аддондарды орнату немесе жою.

Cloud Logging сервисінде рөл журналдарды қарауға және есептік деректерді генерациялауға мүмкіндік береді.

Cloud Monitoring сервисінде рөл дашбордтарды қарауға, жасауға және өңдеуге, сондай-ақ мониторинг жүйесіне жазба жасауға мүмкіндік береді.

Cloud Audit сервисінде рөл Managed Containers сервисінің оқиғаларын және пайдаланушының өз әрекеттерін қарауға, сондай-ақ осы деректерді экспорттауға мүмкіндік береді.

Жеке кабинеттегі атауы: Kubernetes әкімшісі.

Managed Containers сервисімен жұмыс істеу үшін ең кең рұқсаттар жиынтығы бар рөл. Кейбір әрекеттер тек кластердің белгілі бір күйінде қолжетімді. Мысалы, аддондарды орнату және жою тек кластер іске қосылған кезде ғана мүмкін.

Осы рөлі бар пайдаланушы мыналарды орындай алады:

• кластерлерді жасау және жою;
• кластерлерді іске қосу және тоқтату;
• кластер және түйіндер топтары туралы ақпаратты көрсету;
• kubeconfig файлын алу;
• Kubernetes Dashboard-қа қол жеткізуге арналған құпияны алу;
• кластер нұсқасын жаңарту;
• виртуалды машина түрін өзгерту;
• Prometheus дискісінің өлшемін өзгерту;
• түйіндер тобын қосу немесе жою;
• түйіндер топтарының масштабтау баптауларын өзгерту;
• белгілерді (labels) және шектеулерді (taints) өзгерту;
• аддондарды орнату немесе жою.

Cloud Logging сервисінде рөл журналдарды қарауға және есептік деректерді генерациялауға мүмкіндік береді.

Cloud Monitoring сервисінде рөл дашбордтарды қарауға, жасауға және өңдеуге, сондай-ақ мониторинг жүйесіне жазба жасауға мүмкіндік береді.

Cloud Audit сервисінде рөл Managed Containers сервисінің оқиғаларын және пайдаланушының өз әрекеттерін қарауға, сондай-ақ осы деректерді экспорттауға мүмкіндік береді.

Пайдаланушы VK Cloud жеке кабинетіне кіру кезіндегідей бірыңғай кіру технологиясы (Single Sign-On, SSO) арқылы сол реквизиттермен Kubernetes кластерінде аутентификациядан өтеді. Әрбір мамандандырылған рөл — Kubernetes әкімшісінің, операторының немесе аудиторының рөлі — пайдаланушыға қолжетімді ішкі Kubernetes рөлін де анықтайды. Kubernetes рөлі пайдаланушыға кластердің қандай объектілері қолжетімді екенін және осы объектілермен қандай әрекеттерді орындауға рұқсат етілгенін анықтайды.

Рөл үшін қолжетімді ресурстар тізімін қарау үшін кластерге қосылып, мына команданы орындаңыз:

 
kubectl describe clusterrole <KUBERNETES_РӨЛІ>