权限参考

了解 DC/OS 访问和权限参考

您可以通过资源和操作控制 DC/OS 访问。参阅权限管理，了解如何控制权限的详细信息。此页面为每个可用的 DC/OS 权限提供参考。

执行

根据您的安全模式执行 DC/OS 权限。

权限

可用操作是 create、read、update、delete 和 full. 按照惯例，full 表示权限支持所有其他操作标识符。操作 full 可能包括任何其他操作标识符不支持的操作。

发送到 DC/OS 组件的大多数 HTTP 请求都需要认证证明。这些包括由 DC/OS CLI、DC/OS UI、DC/OS API 以及 DC/OS 组件之间内部启动的操作。某些端点的 HTTP 请求需要额外的授权。许多 DC/OS 组件与 DC/OS 服务帐户用户一起发布，并在首次安装群集时单独授予必要的权限。

有几个执行请求授权的 DC/OS 组件，例如，Admin Router、Mesos、Marathon 等。在这种情况下，它们被称为 授权者 。所有授权者均遵循 DC/OS 授权程序。以下是 DC/OS 授权程序的高级描述。

当授权者收到对受保护资源的 HTTP 请求时，授权者会检查 Authorization HTTP 请求标头以获取 DC/OS 认证令牌。DC/OS 认证令牌由授权者验证和评估。在 uid 从 DC/OS 身份验证令牌中提取后，授权者检查是否已授予相应 DC/OS 用户执行所请求操作的必要权限。例如，由 uid 标识的 DC/OS 用户必须具有 full 访问权限，该权限是针对受保护资源 dcos:adminrouter:package，以便能够通过 Admin Router 访问 DC/OS 软件包 API。

NOTE: Mesosphere does not currently support permissions inheritance for nested services in AdminRouter.

资源标识符	全部	C	R	U	D
`dcos:adminrouter:acs` 控制对安全和访问管理功能的访问。	x
`dcos:adminrouter:ops:ca:ro` 控制对只读端点和 `dcos security cluster ca` Enterprise DC/OS CLI 命令的访问。	x
`dcos:adminrouter:ops:ca:rw` 控制用户对所有端点和 `dcos security cluster ca` Enterprise DC/OS CLI 命令的访问。	x
`dcos:adminrouter:ops:cockroachdb` 控制对的访问。	x
`dcos:adminrouter:ops:exhibitor` 控制对 Exhibitor UI 和 API 的访问。此权限允许用户在卸载服务之后移除 ZooKeeper 状态。	x
`dcos:adminrouter:ops:mesos-dns` 控制对的访问。	x
`dcos:adminrouter:ops:mesos` 控制对 Mesos 管理节点 UI 和 API 的访问。	x
`dcos:adminrouter:ops:metadata` 控制对元数据端点的访问。	x
`dcos:adminrouter:ops:networking` 控制对和网络度量端点的访问。	x
`dcos:adminrouter:ops:slave` 控制对 Mesos 代理节点 UI 和 API 的访问。	x
`dcos:adminrouter:ops:system-health` 控制对的访问。	x
控制对系统日志 API 的访问。	x
`dcos:adminrouter:ops:system-metrics` 控制对的访问。	x
`dcos:adminrouter:licensing` 控制对许可 API 的访问。	x
`dcos:adminrouter:package` 控制对 Cosmos API 的访问，其提供对 DC/OS 的访问Catalog 。	x
`dcos:adminrouter:service:[<group-name>/]<service-name>` 控制对已安装的 DC/OS 服务的 UI 和 API 的访问。	x
`dcos:adminrouter:service:marathon` 控制对本地 Marathon 实例的访问。	x
`dcos:adminrouter:service:metronome` 控制对的访问。	x

Mesos 权限

许多 Mesos 操作需要授权。必须将必要权限分配给向 Mesos 发出 HTTP 请求的 DC/OS 用户。这并不总是与登录 UI 或 CLI 的 DC/OS 用户相同。例如，当 Alice 使用 UI 创建 Marathon 应用程序时，Marathon 执行 HTTP 请求授权并检查 alice DC/OS 用户是否具有对 create 资源的 dcos:service:marathon:marathon:services:/ 访问权限。如果是，它使用其自己的 DC/OS 用户（具有 uid 的 dcos_marathon 的 DC/OS 服务帐户），用指令认证对 Mesos 的 HTTP 请求，以启动新的 Mesos 任务。此时，Mesos 将执行 DC/OS 授权程序，并检查 dcos_marathon DC/OS 用户是否已在 create 资源上被授予 dcos:mesos:master:task:app_id 操作。

根据 Root Marathon 启动的应用程序只能接收为 slave_public 或 * Mesos 角色.保留的资源供应。

Marathon 和 Metronome 要求对某些受保护资源发出的 HTTP 请求必须获得授权。例如，必须为 DC/OS 用户授予对 create 资源的 dcos:service:marathon:marathon:services:/dev 操作，以便在 /dev 服务组中创建新的 Marathon 应用程序。

资源标识符	全部	C	R	U	D
`dcos:service:marathon:marathon:admin:config` 控制对的访问。			x
`dcos:service:marathon:marathon:admin:events` 控制对 Marathon 事件端点 GET /v2/events 的访问。	x		x
`dcos:service:marathon:marathon:admin:leader` 控制对端点的访问。	x		x	x
`dcos:service:marathon:marathon:services:/[<service-group>]` 控制对本地 Marathon 实例启动的 DC/OS 服务的访问。需要 `full` 操作。	x	x	x	x	x
`dcos:service:metronome:metronome:jobs[:<job-group>]` 控制对作业和作业组的访问。	x	x	x	x	x

密钥存储库权限

这些权限控制对[密钥 API] 的访问。(/mesosphere/dcos/cn/2.1/security/ent/secrets/secrets-api/). Mesos 框架必须将权限授予其 DC/OS 服务帐户，以访问给定的密钥。如果您正在寻找有关如何使用密钥启动 Marathon 应用程序的信息，请参阅.

资源标识符	全部	C	R	U	D
`dcos:cluster:linker:<cluster-id>` 控制对单个群集链接的访问。			x
`dcos:cluster:linker:*` 控制对的访问。		x	x	x	x

超级用户权限

与 Windows Administrator 或 Linux root 帐户类似，DC/OS 具有概念。superuser. 在 create 资源上至少具有 read、update、delete、full 或 dcos:superuser 中一项权限的用户具有对整个 DC/OS 任何操作的完全、不受限制的访问权限。这是非常强大的，对这种权限的授予应该谨慎。