授权管理概述

分布式云原生平台的用户授权包括 IAM （Identity and Access Management，基于身份的权限控制）授权和联邦集群的 RBAC （Role-Based Access Control ，基于角色的权限控制）授权。

IAM 授权

Identity and Access Management（IAM）是基于身份的权限控制，系统包含了不同产品模块的 IAM 预设策略。在多用户协同管理资源的场景下，IAM 子用户操作分布式云原生平台资源时，需要授予相应的权限和策略。

系统预设策略

系统预设策略统一由火山引擎创建，您只能使用不能修改，策略的版本更新由火山引擎维护，分布式云原生平台提供 3 种系统预设策略。

用户自定义策略

自定义策略是由用户创建的更精细化描述资源管理的权限集合，可以灵活满足用户的差异化权限管理需求，用户可自主创建、更新和删除策略，以及维护策略的版本。自定义策略通过 JSON 格式的 PolicyDocument 表达，由一系列 Statement 组成，Statement 由 Effect、Action、Resource 组成，详细写作语法参见：策略语法。

以下是分布式云原生平台中普通用户权限的策略示例，具体自定义策略可按需配置。

{
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "dcp:Get*",
        "dcp:List*",
        "dcp:Check*",
        "dcp:CreateResourceByYaml",
        "dcp:UpdateResourceByYaml",
        "dcp:DeleteResource"
      ],
      "Resource": [
        "*"
      ]
    }
  ]
}

RBAC 授权

Role-Based Access Control (RBAC) 是基于角色的权限控制，联邦集群中提供 RBAC 授权功能，允许基主控实例或容器集群对 IAM 子用户进行 Kubernetes 集群资源授权。

• 主控实例 RBAC 授权：属于联邦授权，是分布式云原生平台授予主控实例的 RBAC 权限。
• 容器集群 RBAC 授权：属于集群授权，是分布式云原生平台授予注册集群的 RBAC 权限。属于集群纳管到分布式云原生平台后授予的 RBAC 权限，归分布式云原生平台管理。
• VKE 集群 RBAC 授权：属于集群授权，是火山引擎容器服务授予 VKE 集群的 RBAC 权限。属于集群纳管到分布式云原生平台前授予的 RBAC 权限，不归分布式云原生平台管理。

RBAC 权限生效原则

• 联邦授权和集群授权独立生效，互不影响，授权用户主控实例的 RBAC 访问权限将同步授予所有成员集群。
• 集群授权同时存在，授权结果取并集。例如：容器集群 RBAC 授权、VKE 集群 RBAC 授权同时存在时，RBAC 授权结果取并集。

主控实例 RBAC 角色

分布式云原生平台基于主控实例预置 4 种 RBAC 角色，详细描述如下。

容器集群 RBAC 角色

分布式云原生平台基于容器集群预置 4 种 RBAC 角色，除此之外，还支持使用自定义角色，详细描述如下。