容器服务
容器服务
容器服务
文档指南
请输入
容器服务 VKE
产品动态
Kubernetes 版本发布记录
组件发布记录
监控组件
DNS 组件
GPU 组件
Sandbox 组件
安全公告
产品公告
历史公告
用户指南
集群
节点池
授权
网络
容器网络
服务（Service）
路由（Ingress）
APIG Ingress
ALB Ingress
自定义转发规则配置示例
CLB Ingress
Nginx Ingress
Gateway API
工作负载
存储
数据管理中心（DMC）
对象存储（TOS）
FSX 访问方式
文件存储（NAS）
FSX 访问方式
弹性文件存储（EFS）
文件存储（vePFS）
FSX 访问方式
vePFS Client 访问方式
NFS 访问方式
大数据文件存储（CloudFS）
弹性伸缩
工作负载弹性伸缩
事件驱动伸缩（KEDA）
组件管理
网络组件
监控组件
DNS 组件
GPU 组件
Sandbox 组件
异构计算
调度管理
可观测性
基础观测
诊断与巡检
最佳实践
网络
可观测性
安全合规
API 参考
集群管理
节点池管理
组件管理
机型镜像管理
云原生观测
巡检诊断
弹性容器实例
附录
开发指南
常见问题
通用 FAQ
集群 FAQ
集群管理
集群升级
节点与节点池 FAQ
授权 FAQ
工作负载 FAQ
服务与路由 FAQ
存储 FAQ
弹性伸缩 FAQ
可观测性 FAQ
配额 FAQ
组件 FAQ
容器镜像 FAQ
AI 云原生
推理套件
Helm 模板 AI 应用
Deepseek 实践
Qwen 实践
最佳实践
MiniMax 模型部署
Qwen 模型部署
弹性容器实例 VCI
最新动态
用户指南
虚拟节点
VKE 集群使用虚拟节点
自建/跨云集群使用虚拟节点
创建 VCI 实例
VCI Agent Sandbox
安全合规
- 文档首页
容器服务容器服务 VKE产品动态产品公告历史公告【产品变更】跨服务授权权限策略收敛公告
复制全文
下载 pdf【产品变更】跨服务授权权限策略收敛公告
文档反馈
问问助手容器服务规范化并收敛了跨服务授权 ServiceRole（ServiceRoleForVKE）的权限策略 Policy（ServiceRolePolicyForVKE），避免因权限过大，而存在潜在的安全风险和安全审查漏洞。
收敛后的 ServiceRolePolicyForVKE 具体语法如下。
{
"Statement": [
{
"Effect": "Allow",
"Action": [
"ecs:Describe*",
"ecs:Get*",
"ecs:CreateInstances",
"ecs:DeleteInstance",
"ecs:DeleteVolume",
"ecs:AttachVolume",
"ecs:DetachVolume",
"ecs:ExtendVolume",
"ecs:ReplaceSystemVolume",
"ecs:ModifyInstanceAttribute",
"ecs:StartInstance",
"ecs:StopInstance",
"ecs:BindAssumeRole",
"ecs:UnbindAssumeRole",
"ecs:ListAssumeRoles"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"vpc:Describe*",
"vpc:CreateSecurityGroup",
"vpc:CreateNetworkInterface",
"vpc:CreateRouteTable",
"vpc:CreateRouteEntry",
"vpc:CreateNetworkInterfacePermission",
"vpc:AllocateEipAddress",
"vpc:AuthorizeSecurityGroupIngress",
"vpc:AuthorizeSecurityGroupEgress",
"vpc:RevokeSecurityGroupIngress",
"vpc:RevokeSecurityGroupEgress",
"vpc:ModifyNetworkInterfaceAttributes",
"vpc:AttachNetworkInterface",
"vpc:DetachNetworkInterface",
"vpc:DeleteSecurityGroup",
"vpc:DeleteNetworkInterface",
"vpc:DeleteRouteTable",
"vpc:DeleteRouteEntry",
"vpc:DeleteNetworkInterfacePermission",
"vpc:AssociateRouteTable",
"vpc:AssociateEipAddress",
"vpc:DisassociateEipAddress",
"vpc:DisassociateRouteTable",
"vpc:ReleaseEipAddress",
"vpc:ClientGroupAddClient",
"vpc:ClientGroupDeleteClient",
"vpc:ServerGroupAddServer",
"vpc:ServerGroupDeleteServer",
"vpc:AddBandwidthPackageIp",
"vpc:RemoveBandwidthPackageIp"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"clb:Describe*",
"clb:CreateLoadBalancer",
"clb:CreateRules",
"clb:CreateServerGroup",
"clb:CreateListener",
"clb:AddServerGroupBackendServers",
"clb:ModifyLoadBalancerAttributes",
"clb:ModifyListenerAttributes",
"clb:ModifyServerGroupAttributes",
"clb:ModifyRules",
"clb:RemoveServerGroupBackendServers",
"clb:DeleteLoadBalancer",
"clb:DeleteServerGroup",
"clb:DeleteListener",
"clb:DeleteRules"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"alb:Describe*",
"alb:CreateLoadBalancer",
"alb:CreateServerGroup",
"alb:CreateListener",
"alb:CreateRules",
"alb:AddServerGroupBackendServers",
"alb:ModifyLoadBalancerAttributes",
"alb:ModifyServerGroupBackendServers",
"alb:ModifyServerGroupAttributes",
"alb:ModifyListenerAttributes",
"alb:ModifyRules",
"alb:RemoveServerGroupBackendServers",
"alb:DeleteLoadBalancer",
"alb:DeleteServerGroup",
"alb:DeleteListener",
"alb:DeleteRules"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"natgateway:CreateNatGateway",
"natgateway:CreateSnatEntry",
"natgateway:Describe*",
"natgateway:DeleteNatGateway",
"natgateway:DeleteSnatEntry"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"cr:List*",
"cr:Get*"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"FileNAS:List*"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"tls:CreateProject",
"tls:CreateTopic",
"tls:CreateIndex",
"tls:CreateRule",
"tls:CreateHostGroup",
"tls:Describe*",
"tls:GetLogCollectorConfig",
"tls:LogCollectorHeartbeat",
"tls:PutLogs",
"tls:ModifyRule",
"tls:ApplyRuleToHostGroups",
"tls:DeleteRuleFromHostGroups",
"tls:DeleteRule"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"tos:ListBuckets"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"storage_ebs:Describe*",
"storage_ebs:CreateVolume",
"storage_ebs:AttachVolume",
"storage_ebs:DetachVolume",
"storage_ebs:ExtendVolume",
"storage_ebs:DeleteVolume"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"algalon:List*",
"algalon:CreateDatasource",
"algalon:UpdateDatasource",
"algalon:DeleteDatasource"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"vke:List*"
],
"Resource": [
"*"
]
},
{
"Effect": "Allow",
"Action": [
"iam:List*",
"iam:CreateRole",
"iam:CreatePolicy",
"iam:UpdatePolicy",
"iam:AttachRolePolicy",
"iam:DetachRolePolicy",
"iam:DeleteRole",
"iam:DeletePolicy"
],
"Resource": [
"*"
]
}
]
}
最近更新时间：2026.10.19 11:26:26
这个页面对您有帮助吗？
有用
有用
无用
无用