文档中心

容器服务

请输入

授权

使用 VKE 新版 RBAC 授权系统

VKE 在原有 RBAC 授权系统能力上新增和优化了更多权限管理能力。本文主要介绍如何有效地利用 VKE 最新版本 RBAC 授权系统，提升权限管理的灵活性和效率。

使用场景

VKE 新版 RBAC 授权系统增加了对如下业务场景的权限管理能力：

业务场景	场景描述
批量授予某个 IAM 子用户或角色全部集群的权限	授予集群管理员权限：使某个子用户或角色作为集群的“权限管理员”，从而收敛每次需要主账号授权的情况，简化权限管理流程。授予最小角色权限：为主账号下全部子用户授予默认的“最小权限”，可只读其他子用户所创建的 VKE 集群基本信息以及创建新的 VKE 集群，无需反复重新授权。
集群 RBAC 权限收敛，提升权限管理安全性	禁止权限管理员以外的任何人查看 RBAC 授权详情：仅允许权限管理员访问和管理 RBAC 权限，增强系统安全性，防止信息泄露。
审计权限变更，增强合规性	审计历史权限变更：记录所有 RBAC 权限的授予、修改和撤销的操作，支持合规性审计和问题追踪，确保符合用户所在组织的政策和法规要求。定期权限审查：定期检查和审计用户 RBAC 权限，确保不再需要的权限被及时撤销，以降低潜在安全合规风险。
自动化权限管理	集成 CI/CD 流程中的权限管理：在持续集成/持续交付（CI/CD）环节中，自动化集群的 RBAC 权限授予和撤销操作，确保研发和运维团队能够在安全的环境中高效工作。
紧急权限请求	临时权限提升：允许用户在特定、紧急情况下，请求临时 RBAC 权限，经过审核后可在限定时间内执行特定操作。超过限定时间，临时授权失效。

API

新版 RBAC 系统提供了如下 3 个 OpenAPI，帮助用户解决权限管理中的复杂性问题，提升权限管理的便利性。

OpenAPI	核心功能
GrantPermission	为 IAM 用户或角色授予 RBAC 访问权限。
ListPermission	查询符合条件的 RBAC 访问策略资源信息。
RevokePermission	通过权限策略资源 ID 解除为指定 IAM 用户或角色授予的 RBAC 权限。

使用新版 RBAC 权限系统

在 IAM 中增加/限制对于 RBAC OpenAPI 的使用

为了更好地使用 VKE RBAC 权限管理系统以及对应的 OpenAPI，您需要为子用户或角色更新 IAM 的权限策略。详细操作，请参见新建自定义策略。

增加权限：通过 IAM 控制台或调用 IAM CreatePolicy、UpdatePolicy 接口，配置如下自定义策略，为指定的子用户或角色增加 RBAC 相关的 OpenAPI 权限。

{
"Statement": [
{
"Action": [
"vke:GrantPermission",
"vke:ListPermission",
"vke:RevokePermission"
],
"Effect": "Allow",
"Resource": "*"
}
],
"Version": "1"
}

限制权限：通过 IAM 控制台或调用 IAM CreatePolicy、UpdatePolicy 接口，配置如下自定义策略，拒绝（"Effect": "Deny"）子用户或角色使用 RBAC 相关的 OpenAPI。

说明

VKE 在 IAM 中预置的 VKEFullAccessPolicy 权限策略默认包含了 RBAC 相关的 3 个 OpenAPI 的权限，如需针对某些子用户或者角色限制其 RBAC 授权能力，需要在 IAM 设置 Deny 权限规则。

{
"Statement": [
{
"Action": [
"vke:GrantPermission",
"vke:ListPermission",
"vke:RevokePermission"
],
"Effect": "Deny"
}
],
"Version": "1"
}

在 VKE 中使用新版 RBAC 权限管理能力

通过配置 RBAC 权限，更加安全、高效地管理 VKE 集群资源的操作与访问，定期审计和更新 RBAC 权限，确保团队工作流程安全合规。

一键授权所有集群管理权限

主账号通过容器服务控制台或调用 GrantPermission 接口，为某个子用户或角色一键授予账号集群级别（all_clusters）权限。授权后，该子用户或角色可管理指定 Region 下的所有 VKE 集群（包含当前已存在集群和未来该 Region 新建的集群）。

RBAC 权限定期审计

建议定期审计账号下 VKE 集群的 RBAC 权限，集群权限管理员通过调用 ListPermission 接口获取用户的权限列表，并便根据实际需求对 RBAC 权限进行调整。

最近更新时间：2026.10.23 10:37:21

这个页面对您有帮助吗？

有用

无用