UCS權(quán)限概述
UCS在統(tǒng)一身份認證服務(wù)（IAM）能力基礎(chǔ)上，為用戶提供細粒度的權(quán)限管理功能，幫助用戶靈活便捷地對租戶下的IAM用戶設(shè)置不同的UCS資源權(quán)限，結(jié)合權(quán)限策略和艦隊設(shè)計，可實現(xiàn)企業(yè)不同部門或項目之間的權(quán)限隔離，如圖1所示。
UCS權(quán)限類型
UCS權(quán)限管理是在IAM與Kubernetes的角色訪問控制（RBAC）的能力基礎(chǔ)上，打造的細粒度權(quán)限管理功能。支持UCS服務(wù)資源權(quán)限、集群中Kubernetes資源權(quán)限兩種維度的權(quán)限控制，這兩種權(quán)限針對的是不同類型的資源，在授權(quán)機制上也存在一些差異，具體如下：
●UCS服務(wù)資源權(quán)限：是基于IAM系統(tǒng)策略的授權(quán)。UCS服務(wù)資源包括容器艦隊、集群、聯(lián)邦實例等等，管理員可以針對用戶的角色（如開發(fā)、運維）進行差異化授權(quán)，精細控制他們對UCS資源的使用范圍。
●集群中Kubernetes資源權(quán)限：是基于Kubernetes RBAC能力的授權(quán)，可授予針對集群內(nèi)Kubernetes資源對象的細化權(quán)限，通過權(quán)限設(shè)置可以讓不同的用戶有操作不同Kubernetes資源對象（如工作負載、任務(wù)、服務(wù)等Kubernetes原生資源）的權(quán)限
UCS的權(quán)限可以從使用的階段來看，第一個階段是創(chuàng)建和管理基礎(chǔ)設(shè)施資源的權(quán)限，也就是擁有創(chuàng)建容器艦隊、注冊集群、開通集群聯(lián)邦等操作的權(quán)限；第二個階段是使用集群Kubernetes資源對象（如工作負載、服務(wù)等）的權(quán)限；第三個階段是監(jiān)控運維基礎(chǔ)設(shè)施資源以及Kubernetes資源的權(quán)限。其中，第一個和第三個階段屬于UCS服務(wù)資源權(quán)限，在IAM控制臺按照IAM系統(tǒng)策略的方式授予；第二個階段屬于集群中Kubernetes資源權(quán)限，由管理員在UCS控制臺“權(quán)限管理”頁面創(chuàng)建，并在“容器艦隊”頁面完成權(quán)限與特定艦隊或集群的關(guān)聯(lián)。
權(quán)限管理流程
新建IAM用戶的權(quán)限管理主要流程可參見圖2。
圖2 權(quán)限管理流程
基本概念說明
UCS權(quán)限管理包含如下基本概念，其關(guān)系如圖3所示。
UCS權(quán)限管理包含如下基本概念，其關(guān)系如圖3所示。
●用戶：由管理員帳號在統(tǒng)一身份認證服務(wù)（IAM）中創(chuàng)建的用戶，是云服務(wù)的使用人員，具有獨立的身份憑證（密碼和訪問密鑰），根據(jù)帳號授予的權(quán)限使用資源。
●用戶組：用戶組是用戶的集合，IAM可以通過用戶組功能實現(xiàn)用戶的授權(quán)。您創(chuàng)建的IAM用戶，加入特定用戶組后，將具備對應(yīng)用戶組的權(quán)限。例如，管理員為用戶組授予UCS FullAccess權(quán)限后，其中的用戶將具備UCS服務(wù)的管理員權(quán)限。當某個用戶加入多個用戶組時，此用戶同時擁有多個用戶組的權(quán)限，即多個用戶組權(quán)限的全集。
●權(quán)限：由UCS管理員定義的某個或某些用戶對集群中Kubernetes資源的操作范圍，UCS預置了幾個常用權(quán)限，包括管理員權(quán)限、只讀權(quán)限、開發(fā)權(quán)限，同時也支持用戶自定義權(quán)限。更多介紹請參見創(chuàng)建權(quán)限。
●艦隊：艦隊是多個集群的集合，管理員可以使用艦隊來實現(xiàn)關(guān)聯(lián)集群的分類。艦隊還可以實現(xiàn)多集群的統(tǒng)一管理，包括權(quán)限管理、安全策略、配置管理以及多集群編排等統(tǒng)一管理的能力。艦隊與權(quán)限是多對多的關(guān)系，即一個權(quán)限可以關(guān)聯(lián)多個艦隊，一個艦隊也可以關(guān)聯(lián)多個權(quán)限。
圖3 權(quán)限關(guān)系示意圖
約束與限制
●本地集群支持使用華為云IAM Token訪問Kube APIServer；同時，不對華為云UCS的系統(tǒng)策略（UCS FullAccess、UCS CommonOperations、UCS CIAOperations和UCS ReadOnlyAccess）進行識別。
●對于多云集群，目前只有華為云帳號可以執(zhí)行集群注冊的操作，暫不支持IAM系統(tǒng)策略。
華為云分布式云原生產(chǎn)品UCS
Ubiquitous Cloud-Native Service（UCS）的含義是無處不在的云原生服務(wù)，把云原生能力帶入企業(yè)的每一個業(yè)務(wù)場景
分布式云原生用戶場景
用戶場景
活動對象：華為云電銷客戶及渠道伙伴客戶可參與消費滿送活動，其他客戶參與前請咨詢客戶經(jīng)理
活動時間： 2020年8月12日-2020年9月11日
活動期間，華為云用戶通過活動頁面購買云服務(wù)，或使用上云禮包優(yōu)惠券在華為云官網(wǎng)新購云服務(wù)，累計新購實付付費金額達到一定額度，可兌換相應(yīng)的實物禮品。活動優(yōu)惠券可在本活動頁面中“上云禮包”等方式獲取，在華為云官網(wǎng)直接購買（未使用年中云鉅惠活動優(yōu)惠券）或參與其他活動的訂單付費金額不計入統(tǒng)計范圍內(nèi)；
活動對象：華為云電銷客戶及渠道伙伴客戶可參與消費滿送活動，其他客戶參與前請咨詢客戶經(jīng)理
金融場景——多層次數(shù)據(jù)聯(lián)動，跨云應(yīng)用遷移、彈性伸縮、容災管理
- 優(yōu)勢
- - 數(shù)據(jù)跟隨應(yīng)用流轉(zhuǎn)
圍繞云原生應(yīng)用構(gòu)建自動化的應(yīng)用遷移、克隆能力
- - 有狀態(tài)應(yīng)用跨云彈性
數(shù)據(jù)與應(yīng)用協(xié)同，按需跨云彈性伸縮
- - 多層次數(shù)據(jù)聯(lián)動
存儲層、容器層、中間件層等不同層次數(shù)據(jù)隨應(yīng)用場景實時聯(lián)動，支撐應(yīng)用容災、擴容、遷移
金融場景——多層次數(shù)據(jù)聯(lián)動，跨云應(yīng)用遷移、彈性伸縮、容災管理
- 優(yōu)勢
- - 數(shù)據(jù)跟隨應(yīng)用流轉(zhuǎn)
圍繞云原生應(yīng)用構(gòu)建自動化的應(yīng)用遷移、克隆能力
- - 有狀態(tài)應(yīng)用跨云彈性
數(shù)據(jù)與應(yīng)用協(xié)同，按需跨云彈性伸縮
- - 多層次數(shù)據(jù)聯(lián)動
存儲層、容器層、中間件層等不同層次數(shù)據(jù)隨應(yīng)用場景實時聯(lián)動，支撐應(yīng)用容災、擴容、遷移
金融場景——多層次數(shù)據(jù)聯(lián)動，跨云應(yīng)用遷移、彈性伸縮、容災管理
- 優(yōu)勢
- - 數(shù)據(jù)跟隨應(yīng)用流轉(zhuǎn)
圍繞云原生應(yīng)用構(gòu)建自動化的應(yīng)用遷移、克隆能力
- - 有狀態(tài)應(yīng)用跨云彈性
數(shù)據(jù)與應(yīng)用協(xié)同，按需跨云彈性伸縮
- - 多層次數(shù)據(jù)聯(lián)動
存儲層、容器層、中間件層等不同層次數(shù)據(jù)隨應(yīng)用場景實時聯(lián)動，支撐應(yīng)用容災、擴容、遷移