CCE權限管理是在統一身份認證服務（IAM）與Kubernetes的角色訪問控制（RBAC）的能力基礎上，打造的細粒度權限管理功能，支持基于統一身份認證（IAM）的細粒度權限控制和IAM Token認證，支持集群級別、命名空間級別的權限控制，幫助用戶便捷靈活的對租戶下的IAM用戶、用戶組設定不同的操作權限。
如果您需要對已購買的CCE集群及相關資源進行精細的權限管理，例如限制不同部門的員工擁有部門內資源的細粒度權限，您可以使用CCE權限管理提供的增強能力進行多維度的權限管理。
本章節將介紹CCE權限管理機制及其涉及到的基本概念。如果當前帳號已經能滿足您的要求，您可以跳過本章節，不影響您使用CCE服務的其它功能。
CCE的權限管理包括“集群權限”和“命名空間權限”兩種能力，能夠從集群和命名空間層面對用戶組或用戶進行細粒度授權，具體解釋如下：
- 集群權限：是基于IAM系統策略的授權，可以通過用戶組功能實現IAM用戶的授權。用戶組是用戶的集合，通過集群權限設置可以讓某些用戶組操作集群（如創建/刪除集群、節點、節點池、模板、插件等），而讓某些用戶組僅能查看集群。
集群權限涉及CCE非Kubernetes API，支持IAM細粒度策略、企業項目管理相關能力。
- 命名空間權限：是基于Kubernetes RBAC能力的授權，通過權限設置可以讓不同的用戶或用戶組擁有操作不同Kubernetes資源的權限。同時CCE基于開源能力進行了增強，可以支持基于IAM用戶或用戶組粒度進行RBAC授權、IAM token直接訪問API進行RBAC認證鑒權。
命名空間權限涉及CCE Kubernetes API，基于Kubernetes RBAC能力進行增強，支持對接IAM用戶/用戶組進行授權和認證鑒權，但與IAM細粒度策略獨立。
注意：“集群權限”僅針對與集群相關的資源（如創建/刪除集群、節點、節點池、模板、插件等）有效，您必須確保同時配置了“命名空間權限”，才能有操作Kubernetes資源（如工作負載、Service等）的權限。
統一身份認證（Identity and Access Management，簡稱IAM）是提供權限管理的基礎服務，可以幫助您安全地控制服務和資源的訪問權限。
您注冊后，系統自動創建帳號，帳號是資源的歸屬以及使用計費的主體，對其所擁有的資源具有完全控制權限，可以訪問所有的云服務。
如果您在購買了多種資源，例如彈性云主機、云硬盤、裸金屬服務器等，您的團隊或應用程序需要使用您在中的資源，您可以使用IAM的用戶管理功能，給員工或應用程序創建IAM用戶，并授予IAM用戶剛好能完成工作所需的權限，新創建的IAM用戶可以使用自己單獨的用戶名和密碼登錄。IAM用戶的作用是多用戶協同操作同一帳號時，避免分享帳號的密碼。
Kubernetes基于角色的訪問控制（Role-Based Access Control，即”RBAC”）使用”rbac.authorization.k8s.io” API Group實現授權決策，允許管理員通過Kubernetes API動態配置策略。詳情請參見命名空間權限。
