基本信息
| CAM中产品名 | CAM中简称 | 控制台访问 | 按标签授权 | 授权粒度 | IP限制 |
|---|---|---|---|---|---|
| 云原生分布式云中心 | tdcc | 支持 | 支持 | 资源级 | 部分支持 |
说明：云产品的授权粒度按照粒度粗细分为服务级、操作级和资源级三个级别。
- 服务级：定义对服务的整体是否拥有访问权限，分为允许对服务拥有全部操作权限或者拒绝对服务拥有全部操作权限。服务级授权粒度的云产品，不支持对具体的接口进行授权。
- 操作级：定义对服务的特定接口（API）是否拥有访问权限，例如：授权某账号对云服务器服务进行只读操作。
- 资源级：定义对特定资源是否有访问权限，这是最细的授权粒度，例如：授权某账号仅读写操作某台云服务器实例。能支持资源级接口授权的产品，则会被认定为资源级授权粒度。
接口授权粒度
接口授权粒度分为资源级和操作级两个级别：
- 资源级接口：此类型接口支持对某一个具体特定的资源进行授权。
- 操作级接口：此类型接口不支持对某一个特定的资源进行授权。授权时策略语法若限定了具体的资源，CAM会判断此接口不在授权范围，判断为无权限。
写操作
| 接口名 | 接口描述 | 授权粒度 | 资源六段式 | IP限制 |
|---|---|---|---|---|
| AcquireClusterAdminRole | 通过此接口，可以获取EKS集群的tdcc:admin的ClusterRole，即管理员角色，可以用于CAM侧高权限的用户，通过CAM策略给予子账户此接口权限，进而可以通过此接口直接获取到kubernetes集群内的管理员角色。 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| CreateAnywhereTunnel | 创建代理通道 | 资源级 | qcs::tdcc::uin/${uin}:hub/${ClusterId} | 支持 |
| CreateExternalCluster | 创建TDCC注册集群 | 操作级 | * | 支持 |
| CreateHubCluster | 创建TDCC Hub集群 | 操作级 | * | 支持 |
| DeleteAnywhereTunnel | 删除代理通道 | 资源级 | qcs::tdcc::uin/${uin}:hub/${ClusterId} | 支持 |
| DeleteExternalCluster | 删除注册集群 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DeleteHubCluster | 删除TDCC Hub集群 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| InstallLogAgent | 为注册集群安装日志组件 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| OpenPaasPlatform | 开启Paas平台服务 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| RegisterClusters | 自动纳管tke下的集群 | 操作级 | * | 支持 |
| UninstallLogAgent | 从注册集群删除日志组件 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| UpdateClusterKubeconfig | 更新注册集群的kubeconfig信息 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| UpdateExternalCluster | 更新注册集群信息 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| UpdateHubCluster | 修改Hub集群名称等属性 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| UpdateServiceVendor | 为指定的集群列表更新Service Vendor | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
读操作
| 接口名 | 接口描述 | 授权粒度 | 资源六段式 | IP限制 |
|---|---|---|---|---|
| DescribeAnywhereComponentStatus | 获取 Anywhere 集群系统组件升级状态 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DescribeAnywhereTunnelRegistration | 获取代理通道注册命令 | 资源级 | qcs::tdcc::uin/${uin}:hub/${ClusterId} | 支持 |
| DescribeAnywhereTunnels | 查询代理通道信息 | 资源级 | qcs::tdcc::uin/${uin}:hub/${ClusterId} | 支持 |
| DescribeAvailableAnywhereVersions | 获取 anywhere 集群系统组件升级信息 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DescribeClusterCommonNames | 获取指定子账户的对应kube-apiserver的客户端证书中CommonName字段，如果没有客户端证书，将会签发一个，此接口有最大传入子账户数量上限，当前为20 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DescribeClusterMetricData | 列出注册集群Metric信息 | 操作级 | * | 支持 |
| DescribeClusterStatus | 查询集群部署的状态 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| DescribeExternalClusterSpec | 获取导入第三方集群YAML定义 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DescribeHubClusterCredential | 查询Hub集群的认证信息 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| DescribeLogSwitches | 无 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 不支持 |
| DescribePolicies | 获取TDCC权限策略列表 | 资源级 | qcs::tdcc::uin/:hub/${ClusterId} | 支持 |
| DescribeRoles | 获取TDCC角色列表 | 资源级 | qcs::tdcc::uin/:hub/${ClusterId} | 支持 |
| DescribeServiceInstances | 查询PaaS平台的实例列表 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| DescribeServicePlans | 查询PaaS平台的规格列表 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| DescribeServiceVendors | 查询PaaS平台服务提供商列表 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
| DescribeUsers | 获取TDCC用户列表 | 资源级 | qcs::tdcc::uin/:hub/${ClusterId} | 支持 |
| ListClusterCertificates | 获取集群的证书列表， 返回集群所有账户的证书列表 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 支持 |
| ValidateAnywhereCluster | TKE Anywhere 集群环境预校验 | 资源级 | qcs::tdcc::uin/:cluster/${ClusterId} | 支持 |
列表操作
| 接口名 | 接口描述 | 授权粒度 | 资源六段式 | IP限制 |
|---|---|---|---|---|
| DescribeExternalClusters | 查询注册集群列表 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${clusterId} | 不支持 |
| DescribeHubClusters | 查询Hub集群列表 | 资源级 | qcs::tdcc::uin/${uin}:cluster/${ClusterId} | 不支持 |