权限参考

ENTERPRISE

了解 DC/OS 访问和权限参考

您可以通过资源和操作控制 DC/OS 访问。参阅 权限管理，了解如何控制权限的详细信息。此页面为每个可用的 DC/OS 权限提供参考。

执行

根据您的安全模式执行 DC/OS 权限。

权限类别宽容严格
Admin Router 权限 (dcos:adminrouter)xx
Mesos 权限 (dcos:mesos)x
Marathon 和 Metronome 权限 (dcos:service)xx
密钥存储库权限 (dcos:secrets)xx
群集连接器权限 (dcos:cluster:linker)xx
超级用户权限 (dcos:superuser)xx

权限

可用操作是 create、read、update、delete 和 full。按照惯例，full 表示权限支持所有其他操作标识符。操作 full 可能包括任何其他操作标识符不支持的操作。

许多资源标识符包括方括号中的可选部分，可以填写这些部分以进一步缩小授予的权限。如果忽略可选部分，则资源标识符引用所有可能的值。例如，资源标识符 dcos:mesos:agent:framework:role 控制对使用任何 Mesos 角色 注册的 DC/OS 服务的查看访问权限，而资源标识符 dcos:mesos:agent:framework:role:slave_public 控制对使用角色 slave_public 注册的 DC/OS 服务的查看访问权限。

发送到 DC/OS 组件的大多数 HTTP 请求都需要认证证明。这些 包括由 DC/OS CLI、DC/OS UI、DC/OS API 以及 DC/OS 组件之间内部启动的操作。某些端点的 HTTP 请求需要 额外的授权。许多 DC/OS 组件与 DC/OS 服务 帐户用户一起发布，并在首次安装群集时 单独授予必要的权限。

有几个执行请求授权的 DC/OS 组件， 例如，Admin Router、Mesos、Marathon 等。在这种情况下，它们被称为 授权者 。所有授权者均遵循 DC/OS 授权程序。以下 是 DC/OS 授权程序的高级描述。

当授权者收到对受保护资源的 HTTP 请求时， 授权者会检查 Authorization HTTP 请求标头以获取 DC/OS 认证令牌。DC/OS 认证令牌由 授权者验证和评估。在 uid 从 DC/OS 身份验证 令牌中提取后，授权者检查是否已授予相应 DC/OS 用户 执行所请求操作的必要权限。例如， 由 uid 标识的 DC/OS 用户必须具有 full 访问权限， 该权限是针对受保护资源 dcos:adminrouter:package，以便能够通过 Admin Router 访问 DC/OS 软件包 API。

Admin Router 权限

NOTE: Mesosphere does not currently support permissions inheritance for nested services in AdminRouter.

对 DC/OS 群集发出的大多数 HTTP 请求都通过 Admin Router。对于许多 HTTP 端点，Admin Router 自身执行授权。例如， 由 uid 标识的 DC/OS 用户必须具有 full 访问权限， 该权限是针对受保护资源 dcos:adminrouter:package，以便能够 通过 Admin Router 访问 DC/OS 软件包 API。

资源标识符全部CRUD
dcos:adminrouter:acs
控制对安全和访问管理功能的访问。		x
dcos:adminrouter:ops:ca:ro
控制对 证书颁发机构 API 只读端点和 dcos security cluster ca Enterprise DC/OS CLI 命令 的访问。		x
dcos:adminrouter:ops:ca:rw
控制用户对 证书颁发机构 API所有端点和 dcos security cluster ca Enterprise DC/OS CLI 命令 的访问。		x
dcos:adminrouter:ops:cockroachdb
控制对 CockroachDB UI 的访问。		x
dcos:adminrouter:ops:exhibitor
控制对 Exhibitor UI 和 API 的访问。此权限允许用户在卸载服务之后删除 ZooKeeper 状态。		x
dcos:adminrouter:ops:historyservice
控制对 历史服务 的访问。这包括从 Mesos 访问可能的敏感数据，例如，所有框架的名称、其使用的资源以及每种状态中的任务数量。已弃用，将在未来版本中移除。		x
dcos:adminrouter:ops:mesos-dns
控制对 Mesos DNS API 的访问。		x
dcos:adminrouter:ops:mesos
控制对 Mesos 管理节点 UI 和 API 的访问。		x
dcos:adminrouter:ops:metadata
控制对 元数据端点 的访问。		x
dcos:adminrouter:ops:networking
控制对网络的访问 和 网络度量 端点。		x
dcos:adminrouter:ops:slave
控制对 Mesos 代理节点 UI 和 API 的访问。		x
dcos:adminrouter:ops:system-health
控制对 系统健康 API 的访问。		x
dcos:adminrouter:ops:system-logs
控制对 系统日志 API 的访问]。		x
dcos:adminrouter:ops:system-metrics
控制对 系统日志度量标准 API 的访问。		x
dcos:adminrouter:licensing
控制对许可 API 的访问。		x
dcos:adminrouter:package
控制对 Cosmos API 的访问，其提供对 DC/OS Catalog 的访问。		x
dcos:adminrouter:service:[<group-name>/]<service-name>
控制对已安装的 DC/OS 服务的 UI 和 API 的访问。		x
dcos:adminrouter:service:marathon
控制对本地 Marathon 实例的访问。		x
dcos:adminrouter:service:metronome
控制对 DC/OS 作业 (Metronome) 的访问。		x

Mesos 权限

许多 Mesos 操作需要授权。 必须将必要权限分配给向 Mesos 发出 HTTP 请求的 DC/OS 用户。 这并不总是与登录 UI 或 CLI 的 DC/OS 用户相同。 例如，当 Alice 使用 UI 创建 Marathon 应用程序时，Marathon 执行 HTTP 请求授权并检查 alice DC/OS 用户是否具有 对 dcos:service:marathon:marathon:services:/ 资源的 create 访问权限。 如果是，它使用其自己的 DC/OS 用户（ 具有 dcos_marathon 的 uid 的 DC/OS 服务帐户），用指令认证对 Mesos 的 HTTP 请求，以启动新的 Mesos 任务。 此时，Mesos 将执行 DC/OS 授权程序，并检查 dcos_marathon DC/OS 用户是否已在 dcos:mesos:master:task:app_id 资源上被授予 create 操作。

根据 Root Marathon 启动的应用程序只能接收为 slave_public 或 * Mesos 角色保留的资源供应。

资源标识符全部CRUD
dcos:mesos:agent:container:app_id[:<service-or-job-group>]
控制对特定服务或作业的调试 功能的访问 。		x
dcos:mesos:agent:container:role[:<role-name>]
控制对给定 Mesos 角色 的 调试 功能的访问。		x
dcos:mesos:agent:endpoint:path[:<endpoint>]
控制对未受保护的 Mesos 端点 的访问。		x
dcos:mesos:agent:executor:app_id[:<service-or-job-group>]
控制对服务和作业 执行器信息 的查看访问。		x
dcos:mesos:agent:flags
控制对 代理标记 配置的查看访问权限。		x
dcos:mesos:agent:framework:role[:<role-name>]
控制对使用给定 [Mesos 角色] 注册的 DC/OS 服务的查看访问权限。		x
dcos:mesos:agent:log
控制对 代理日志 的访问权限。		x
dcos:mesos:agent:nested_container_session:app_id[:<service-or-job-group>]
在调试 时，按服务或作业组，控制对服务或作业容器内启动容器的访问。		x
dcos:mesos:agent:nested_container_session:role[:<role-name>]
在调试 时，按 Mesos 角色，控制对服务或作业容器内启动容器的访问。		x
dcos:mesos:agent:nested_container_session:user[:<linux-user-name>]
在调试 时，按 Linux 用户，控制对服务或作业容器内启动容器的访问。两个嵌套容器的用户必须相同。		x
dcos:mesos:agent:resource_provider
控制对按代理查看资源提供程序信息的访问权限。		x
dcos:mesos:agent:resource_provider_config
控制对按代理执行的资源提供程序配置更改的访问权限。		xxx
dcos:mesos:agent:sandbox:app_id[:<service-or-job-group>]
控制对 Mesos 沙盒的访问权限。		x
dcos:mesos:agent:task:app_id[:<service-or-job-group>]
控制对任务信息的访问权限。		x
dcos:mesos:master:block_disk
控制对创建和销毁块磁盘的访问权限。		xx
dcos:mesos:master:endpoint:path[:<path>]
控制对这些未受保护的 Mesos 端点 的访问权限：logging/toggle、/metrics/snapshot 和 /files/debug。		x
dcos:mesos:master:executor:app_id[:<service-or-job-group>]
控制对 执行器 服务和作业群组的访问权限。		x
dcos:mesos:master:flags
控制对 管理标记 配置的查看访问权限。		x
dcos:mesos:master:framework:principal[:<service-account-id>]
按服务帐户 ID，控制对 Mesos 拆除 端点的访问权限，这允许您卸载 DC/OS 服务。		x
dcos:mesos:master:framework:role[:<role-name>]
按 Mesos 角色，通过 Mesos 控制对作为框架的注册表的访问权限。		x
dcos:mesos:master:log
控制对 Mesos 主日志 的访问权限。		x
dcos:mesos:master:mount_disk
控制对创建和销毁装载磁盘的访问权限。		xx
dcos:mesos:master:quota:role[:<role-name>]
按 Mesos 角色，控制对资源配额的访问权限。		xx
dcos:mesos:master:reservation:principal[:<service-account-id>]
按用户或服务帐户，控制对取消保留资源 的访问权限。		x
dcos:mesos:master:reservation:role[:<role-name>]
按 Mesos 角色，控制对保留资源的访问权限。		x
dcos:mesos:master:task:app_id[:<service-or-job-group>]
控制运行任务的访问权限。		x
dcos:mesos:master:task:user[:<linux-user-name>]
控制作为特定 Linux 用户对运行任务的访问权限。		x
dcos:mesos:master:volume:principal[:<service-account-id>]
控制销毁卷的访问权限。		x
dcos:mesos:master:volume:role[:<role-name>]
控制为给定 Mesos 角色创建卷的访问权限。		x
dcos:mesos:master:weight:role[:<role-name>]
控制对给定 Mesos 角色的权重的访问权限。		xx

Marathon 和 Metronome 权限

Marathon 和 Metronome 要求对某些受保护资源发出的 HTTP 请求必须获得授权。例如，必须为 DC/OS 用户授予对 dcos:service:marathon:marathon:services:/dev 资源的 create 操作，以便在 /dev 服务组中创建新的 Marathon 应用程序。

资源标识符全部CRUD
dcos:service:marathon:marathon:admin:config
控制对 GET /v2/info Marathon 端点的访问权限。		x
dcos:service:marathon:marathon:admin:events
控制对 Marathon 事件端点 GET /v2/events的访问权限。		xx
dcos:service:marathon:marathon:admin:leader
控制对 GET/DELETE /v2/leader端点的访问权限。		xxx
dcos:service:marathon:marathon:services:/[<service-group>]
控制对本地 Marathon 实例启动的 DC/OS 服务的访问。
POST /v2/group 需要 full 操作。		xxxxx
dcos:service:metronome:metronome:jobs[:<job-group>]
控制对作业和作业组的访问权限。		xxxxx

密钥存储库权限

这些权限控制对密钥 API 的访问。Mesos 框架必须 将权限授予其 DC/OS 服务帐户，以访问给定的密钥。如果您正在寻找有关如何使用密钥 启动 Marathon 应用程序的信息，请参阅配置服务和 pod 以使用密钥。

资源标识符全部CRUD
dcos:secrets:default:[/<path-name>/]<secret-name>
控制对单个密钥的访问权限。		xxxxx
dcos:secrets:list:default:/[<path>]
控制对密钥名称的查看访问权限。		x

群集链接器权限

DC/OS 用户需要链接群集的权限。

资源标识符全部CRUD
dcos:cluster:linker:<cluster-id>
控制对单个群集链接的访问权限。		x
dcos:cluster:linker:*
控制对群集链接的访问权限。		xxxx

超级用户权限

与 Windows Administrator 或 Linux root 帐户类似，DC/OS 具有 superuser 概念。在 dcos:superuser 资源上至少具有 create、read、update、delete 或 full 中一项权限的用户具有对 整个 DC/OS 任何操作的完全、不受限制的访问权限。这是非常强大的，对这种权限的 授予应该谨慎。

资源标识符全部CRUD
dcos:superuser
控制对 DC/OS 群集的完全访问权限。		xxxxx