华为CCI Administrator上传镜像方案分享【玩转华为云】

一、权限依赖关系

1. 镜像上传的本质
2. 在 CCI 中上传镜像包时，实际操作的是 SWR（容器镜像服务）的功能。因此，权限需同时满足两个条件：
   • CCI 权限：能够创建容器组并引用镜像（如CCI FullAccess或CCI Administrator角色）。
   • SWR 权限：能够上传、管理镜像（如SWR Admin角色）。
3. 默认角色的权限范围

1. 根据华为云官方文档：
   • CCI Administrator角色的权限仅限于 CCI 服务的所有操作（如创建、删除容器组、管理命名空间等），不包含 SWR 的镜像上传权限。
   • SWR Admin角色才具备上传镜像、管理仓库等完整权限。

二、解决方案

方案 1：直接授予 SWR 权限

1. 角色绑定
2. 为用户或用户组同时授予以下两个角色：
   • CCI Administrator（或CCI FullAccess）：管理 CCI 资源。
   • SWR Admin：管理 SWR 镜像仓库。
   操作步骤：
   1. 登录华为云控制台，进入IAM 服务 > 用户组。
   2. 选择目标用户组，点击添加策略。
   3. 搜索并勾选CCI Administrator和SWR Admin策略，保存配置。
3. 验证权限

1. 登录用户账号，进入 SWR 控制台，尝试上传镜像。若提示权限不足，需检查角色绑定是否生效。

方案 2：使用 Tenant Administrator 角色

• 权限范围：该角色为全局权限，可能超出实际需求，需谨慎使用。
• 适用场景：适合需要管理整个租户资源的超级管理员，而非仅操作 CCI 的用户。

方案 3：自定义策略（精细化授权）

1. 登录 IAM 服务，进入策略管理 > 创建自定义策略。
2. 在策略中添加以下授权项（Action）：
   • swr:images:push：上传镜像。
   • swr:repos:create：创建仓库（可选，若需自动创建仓库）。
3. 将自定义策略关联到用户或用户组，并确保同时拥有 CCI 相关权限。

三、操作注意事项

1. OBS 权限
2. 若镜像存储在 OBS（对象存储服务）中，需额外授予OBS Object Administrator权限，用于访问 OBS 桶。
3. 镜像上传流程

1. 构建镜像并推送到 SWR 仓库（参考华为云文档
2. 1. ）。
   2. 在 CCI 控制台创建容器组时，引用已上传的镜像。
3. 版本兼容性

1. 确保使用的 CCI 和 SWR 版本兼容，部分旧版本可能不支持某些操作。

四、总结一下下

1. 组合角色：同时授予CCI Administrator和SWR Admin角色。
2. 全局角色：使用Tenant Administrator角色（需权衡权限范围）。
3. 自定义策略：按需配置精细化权限。

建议优先选择方案 1，以平衡权限粒度和操作便利性。若有其他特殊需求，可结合自定义策略实现更灵活的授权。