授權(quán)概述
服務(wù)網(wǎng)格ASM實例的授權(quán)分為RAM授權(quán)和RBAC授權(quán)兩部分。本文介紹兩種授權(quán)的內(nèi)容以及如何進行授權(quán)。
服務(wù)網(wǎng)格產(chǎn)品授權(quán)
如果您想要完整地使用服務(wù)網(wǎng)格ASM的各項能力，您必須為ASM授權(quán)，使其能夠訪問您的其他云產(chǎn)品，例如ASM需要訪問日志服務(wù)為您創(chuàng)建審計日志Project和LogStore，您才能使用日志服務(wù)采集數(shù)據(jù)平面的AccessLog。ASM通過服務(wù)關(guān)聯(lián)角色獲取相應(yīng)的云產(chǎn)品權(quán)限，您需要創(chuàng)建服務(wù)關(guān)聯(lián)角色，完成對服務(wù)網(wǎng)格產(chǎn)品的授權(quán)。具體操作，請參見管理ASM服務(wù)關(guān)聯(lián)角色。
RAM用戶授權(quán)
通過RAM用戶使用服務(wù)網(wǎng)格時涉及RAM權(quán)限和RBAC權(quán)限，您需要根據(jù)需求為RAM用戶針對兩種權(quán)限分別進行授權(quán)。
RAM授權(quán)
在企業(yè)對接RAM的賬號系統(tǒng)中，運維人員通過RAM用戶（即子賬號）管理云服務(wù)資源是一個常見場景。然而默認情況下RAM用戶沒有使用云服務(wù)OpenAPI的任何權(quán)限，為了保證RAM用戶的正常使用，需要對RAM用戶授權(quán)。
您可以通過授予RAM用戶OpenAPI的權(quán)限，控制RAM用戶ASM控制臺操作的權(quán)限和OpenAPI操作的權(quán)限，實現(xiàn)細粒度的云資源訪問控制。更多信息，請參見為RAM用戶和RAM角色授權(quán)。
RBAC授權(quán)
RBAC授權(quán)是網(wǎng)格維度的權(quán)限控制，用于控制RAM用戶ASM自定義資源（例如虛擬服務(wù)、目標(biāo)規(guī)則等）的操作權(quán)限，一個RAM用戶對不同的網(wǎng)格實例可以有不同的RBAC權(quán)限。
ASM內(nèi)置了以下四種角色，分別對應(yīng)不同的RBAC權(quán)限。您可以通過ASM控制臺給RAM用戶授予以下預(yù)置角色。
角色 | 集群內(nèi)RBAC權(quán)限 |
網(wǎng)格管理人員 | 對所有命名空間下所有資源（即ASM的自定義資源）的讀寫權(quán)限。 |
Istio資源管理人員 | 對所有命名空間下除ASM網(wǎng)關(guān)（IstioGateway）之外的資源擁有讀寫權(quán)限。 |
網(wǎng)格管理受限人員 | 對所有命名空間或所選命名空間下控制臺可見資源（即ASM的自定義資源）的只讀權(quán)限。 |
無權(quán)限 | 對所有命名空間下所有資源（即ASM的自定義資源）沒有任何讀寫權(quán)限。 |
為RAM用戶授權(quán)
在RAM控制臺創(chuàng)建RAM用戶。具體操作，請參見創(chuàng)建RAM用戶。
根據(jù)需要授予RAM用戶相應(yīng)的RBAC權(quán)限。具體操作，請參見授予RAM用戶和RAM角色RBAC權(quán)限。
根據(jù)需要授予RAM用戶相應(yīng)的RAM策略。具體操作，請參見為RAM用戶和RAM角色授權(quán)。