Informations détaillées sur le service Container Engine pour Kubernetes

Cette rubrique présente des informations détaillées sur l'écriture de politiques permettant de contrôler l'accès au service Container Engine pour Kubernetes.

Types de ressource

Type de ressource agrégé

cluster-family

Types de ressource individuels

clusters
cluster-node-pools
cluster-pod-shapes
cluster-virtualnode-pools
cluster-work-requests
cluster-workload-mappings

Commentaires

Une politique utilisant <verb> cluster-family équivaut à une politique ayant un énoncé <verb> <individual resource-type> distinct pour chacun des types de ressource individuels.

Voir le tableau sous Informations détaillées sur les combinaisons Verbe + Type de ressource pour plus de détails sur les opérations d'API couvertes par chaque verbe, pour chaque type de ressource individuel inclus dans cluster-family.

Variables prises en charge

Le service Container Engine pour Kubernetes prend en charge toutes les variables générales (voir Variables générales pour toutes les demandes), plus les variables répertoriées ici.

Le type de ressource clusters peut utiliser les variables suivantes :


Variable	Type de variable	Commentaires
`target.cluster.id`	Entité (OCID)

Le type de ressource cluster-node-pools peut utiliser les variables suivantes :


Variable	Type de variable	Commentaires
`target.nodepool.id`	Entité (OCID)

Le type de ressource cluster-virtual-node-pools peut utiliser les variables suivantes :


Variable	Type de variable	Commentaires
`target.virtualnodepool.id`	Entité (OCID)
`target.cluster.id`	Entité (OCID)

Le type de ressource cluster-workload-mappings peut utiliser les variables suivantes :


Variable	Type de variable	Commentaires
`target.clusterworkloadmapping.id`	Entité (OCID)
`target.mapping.cluster_id`	Entité (OCID)

Informations détaillées sur les combinaisons Verbe + Type de ressource

Les tableaux suivants présentent les autorisations et les opérations d'API couvertes par chaque verbe. Le niveau d'accès est cumulatif depuis inspect > read > use > manage. Par exemple, un groupe qui peut utiliser une ressource peut également inspecter et lire cette ressource. Un signe plus (+) dans une cellule de tableau indique un accès incrémentiel comparé à la cellule directement au-dessus, alors que "aucun accès supplémentaire" indique qu'il n'y a aucun accès incrémentiel.

Par exemple, le verbe read pour le type de ressource clusters inclut les mêmes autorisations et opérations d'API que le verbe inspect, plus l'autorisation CLUSTER_READ et un certain nombre d'opérations d'API (par exemple, GetCluster, etc.). Le verbe use couvre encore une autre autorisation et une autre opération d'API par rapport à read. Enfin, manage couvre d'autres autorisations et opérations par rapport à use.

grappes


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_INSPECT	`ListClusters` `ListWorkRequests`	aucune
read	INSPECT + CLUSTER_READ	INSPECT + `GetCluster` `GetWorkRequest` `ListWorkRequestErrors` `ListWorkRequestLogs` `ListAddons` `GetAddon` `GetCredentialRotationStatus`	aucune
use	READ + CLUSTER_USE	READ + `CreateKubeconfig`	aucune
manage	USE + CLUSTER_CREATE CLUSTER_DELETE CLUSTER_UPDATE CLUSTER_MANAGE CLUSTER_JOIN	USE + `UpdateCluster` `AdministerK8s` `InstallAddon` `UpdateAddon` `DisableAddon` `JoinCluster` `StartCredentialRotation` `CompleteCredentialRotation`	`CreateCluster` (requiert également `use subnets`, `read virtual-network-family`, `inspect compartments`, `use vnics`, `use network-security-groups`, `use private-ips` et `manage public-ips`) `DeleteCluster` (requiert également `manage cluster-node-pools`, `manage instance-family`, `use subnets`, `use vnics`, `use private-ips` et `manage public-ips`) `UpdateClusterEndpointConfig` (requiert également `use vnics`, `use network-security-groups`, `use private-ips` et `manage public-ips`)

groupes de noeuds de grappe


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_NODE_POOL_INSPECT	`ListNodePools` `ListWorkRequests`	aucune
read	INSPECT + CLUSTER_NODE_POOL_READ	INSPECT + `GetNodePool` `GetWorkRequest` `ListWorkRequestErrors` `ListWorkRequestLogs`	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	USE + CLUSTER_NODE_POOL_CREATE CLUSTER_NODE_POOL_DELETE CLUSTER_NODE_POOL_UPDATE	aucun accès supplémentaire	`CreateNodePool`, `DeleteNodePool` et `UpdateNodePool` (requièrent également `manage instance-family`, `use subnets`, `use vnics` et `inspect compartments`)

formes cluster-pod


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_VIRTUAL_NODE_POOL_INSPECT	`ListPodShapes`	aucune
read	aucun accès supplémentaire	aucun accès supplémentaire	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	aucun accès supplémentaire	aucun accès supplémentaire	aucune

regroupements de noeuds virtuels de cluster


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_VIRTUAL_NODE_POOL_INSPECT	`ListVirtualNodePools` `ListPodShapes`	aucune
read	INSPECT + CLUSTER_VIRTUAL_NODE_POOL_READ	INSPECT + `GetVirtualNodePool` `ListPodShapes` `ListVirtualNodes` `GetVirtualNode`	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	USE + CLUSTER_VIRTUAL_NODE_POOL_CREATE CLUSTER_VIRTUAL_NODE_POOL_UPDATE CLUSTER_VIRTUAL_NODE_POOL_DELETE	USE + `CreateVirtualNodePool` `UpdateVirtualNodePool` `DeleteVirtualNodePool` `UpdateVirtualNode` `DeleteVirtualNode`	aucune

demandes de travail de réseau en grappe


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_WORK_REQUEST_INSPECT	`ListWorkRequests`	aucune
read	INSPECT + CLUSTER_WORK_REQUEST_READ	INSPECT + `GetWorkRequest` `ListWorkRequestErrors` `ListWorkRequestLogs`	aucune
use	aucun accès supplémentaire	aucun accès supplémentaire	aucune
manage	USE + CLUSTER_WORK_REQUEST_DELETE	USE + `DeleteWorkRequest`	aucune

mappages charge de travail-grappe


Verbes	Autorisations	API entièrement couvertes	API partiellement couvertes
inspect	CLUSTER_WORKLOAD_MAPPING_INSPECT	`ListWorkloadMappings`	aucune
read	INSPECT + CLUSTER_WORKLOAD_MAPPING_READ	INSPECT + `GetWorkloadMapping`	aucune
use	READ + CLUSTER_WORKLOAD_MAPPING_UPDATE CLUSTER_WORKLOAD_COMPARTMENT_BIND CLUSTER_WORKLOAD_COMPARTMENT_UNBIND	`UpdateWorkloadMapping`	aucune
manage	USE + CLUSTER_WORKLOAD_MAPPING_CREATE CLUSTER_WORKLOAD_MAPPING_DELETE	USE + `CreateWorkloadMapping` `DeleteWorkloadMapping`	aucune

Autorisations requises pour chaque opération d'API

Le tableau suivant répertorie les opérations d'API dans un ordre logique, regroupées par type de ressource. Pour plus d'informations sur les autorisations, voir Autorisations.


Opération d'API	Autorisations requises pour utiliser l'opération
`ListClusters`	CLUSTER_INSPECT
`CreateCluster`	CLUSTER_CREATE
`CreateKubeconfig`	CLUSTER_USE
`GetCluster`	CLUSTER_READ
`UpdateCluster`	CLUSTER_UPDATE
`JoinCluster`	CLUSTER_MANAGE
`DeleteCluster`	CLUSTER_DELETE, CLUSTER_NODE_POOL_DELETE
`UpdateClusterEndpointConfig`	CLUSTER_MANAGE
`AdministerK8s`	CLUSTER_MANAGE
`GetCredentialRotationStatus`	CLUSTER_READ
`StartCredentialRotation`	CLUSTER_UPDATE
`CompleteCredentialRotation`	CLUSTER_UPDATE
`ListNodePools`	CLUSTER_NODE_POOL_INSPECT
`CreateNodePool`	CLUSTER_NODE_POOL_CREATE
`GetNodePool`	CLUSTER_NODE_POOL_READ
`GetNodePoolOptions`	CLUSTER_READ
`UpdateNodePool`	CLUSTER_NODE_POOL_UPDATE
`DeleteNodePool`	CLUSTER_NODE_POOL_DELETE
`ListWorkRequests`	CLUSTER_WORK_REQUEST_INSPECT, CLUSTER_NODE_POOL_INSPECT, CLUSTER_INSPECT
`GetWorkRequest`	CLUSTER_WORK_REQUEST_READ, CLUSTER_NODE_POOL_READ, CLUSTER_READ
`ListWorkRequestErrors`	CLUSTER_WORK_REQUEST_READ, CLUSTER_NODE_POOL_READ, CLUSTER_READ
`ListWorkRequestLogs`	CLUSTER_WORK_REQUEST_READ, CLUSTER_NODE_POOL_READ, CLUSTER_READ
`DeleteWorkRequest`	CLUSTER_WORK_REQUEST_DELETE
`ListVirtualNodePools`	CLUSTER_VIRTUAL_NODE_POOL_INSPECT
`GetVirtualNodePool`	CLUSTER_VIRTUAL_NODE_POOL_READ
`CreateVirtualNodePool`	CLUSTER_VIRTUAL_NODE_POOL_CREATE
`UpdateVirtualNodePool`	CLUSTER_VIRTUAL_NODE_POOL_UPDATE
`DeleteVirtualNodePool`	CLUSTER_VIRTUAL_NODE_POOL_DELETE
`ListVirtualNodes`	CLUSTER_VIRTUAL_NODE_POOL_READ
`GetVirtualNode`	CLUSTER_VIRTUAL_NODE_POOL_READ
`DeleteVirtualNode`	CLUSTER_VIRTUAL_NODE_POOL_UPDATE
`ListPodShapes`	CLUSTER_VIRTUAL_NODE_POOL_INSPECT
`GetVirtualNode`	CLUSTER_VIRTUAL_NODE_POOL_READ
`ListVirtualNodes`	CLUSTER_VIRTUAL_NODE_POOL_READ
`DeleteVirtualNode`	CLUSTER_VIRTUAL_NODE_POOL_UPDATE
`UpdateVirtualNode`	CLUSTER_VIRTUAL_NODE_POOL_UPDATE
`ListAddons`	CLUSTER_READ
`GetAddon`	CLUSTER_READ
`UpdateAddon`	CLUSTER_UPDATE
`DisableAddon`	CLUSTER_UPDATE
`InstallAddon`	CLUSTER_UPDATE
`ListWorkloadMappings`	CLUSTER_WORKLOAD_MAPPING_INSPECT
`GetWorkloadMapping`	CLUSTER_WORKLOAD_MAPPING_READ
`CreateWorkloadMapping`	CLUSTER_WORKLOAD_MAPPING_CREATE, CLUSTER_WORKLOAD_COMPARTMENT_BIND
`UpdateWorkloadMapping`	CLUSTER_WORKLOAD_MAPPING_UPDATE, CLUSTER_WORKLOAD_COMPARTMENT_BIND, CLUSTER_WORKLOAD_COMPARTMENT_UNBIND
`DeleteWorkloadMapping`	CLUSTER_WORKLOAD_MAPPING_DELETE, CLUSTER_WORKLOAD_COMPARTMENT_UNBIND

Documentation sur Oracle Cloud Infrastructure