Konfigurieren eines vertrauenswürdigen Profils für Clusterkomponenten

Einrichten eines vertrauenswürdigen Profils in der CLI

Folgen Sie den Schritten zum Erstellen und Einrichten eines vertrauenswürdigen Profils in der CLI.

Sobald Sie einem Cluster ein vertrauenswürdiges Profil hinzugefügt haben, kann es nicht mehr entfernt werden und Sie können keinen API-Schlüssel mehr für Ihre Ressourcen verwenden. Führen Sie diese Schritte sorgfältig aus, um sicherzustellen, dass Ihr vertrauenswürdiges Profil korrekt eingerichtet ist.

1. Melden Sie sich bei der IBM Cloud-Befehlszeilenschnittstelle (CLI) an.

   ibmcloud login --apikey <API_KEY> -g <RESOURCE_GROUP>
   

2. Führen Sie den Befehl aus, um ein vertrauenswürdiges Profil zu erstellen. Eine vollständige Liste der Befehlsoptionen finden Sie in den IAM CLI-Dokumenten.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. Fügen Sie dem Namensraum kube‑system eine Regel zur Verwendung des Bereichs hinzu. Eine vollständige Liste der Befehlsoptionen finden Sie in den IAM CLI-Dokumenten.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type IKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. Für VPC-Cluster: Erstellen Sie Zugriffsrichtlinien und weisen Sie sie dem vertrauenswürdigen Profil zu. In diesem Beispiel werden die erforderlichen Mindestberechtigungen für alle Speicherkomponenten zugewiesen. Eine Liste der Berechtigungen, die nur für einzelne Komponenten erforderlich sind, finden Sie unter Mindestanforderungen für einzelne Speicherkomponenten. Geben Sie den Namen oder die ID des vertrauenswürdigen Profils an, dem Sie die Richtlinie zuweisen möchten. Eine vollständige Liste der Befehlsoptionen finden Sie in den IAM CLI-Dokumenten. Dieser Schritt gilt nicht für klassische Cluster. Fügen Sie Richtlinien für den VPC-Infrastrukturdienst hinzu.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   Fügen Sie Richtlinien für den Abrechnungsdienst hinzu.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Fügen Sie Richtlinien für den Dienst Kubernetes hinzu.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name "containers-kubernetes"
   

   Fügen Sie Richtlinien für die entsprechende Ressourcengruppe hinzu, auf die das vertrauenswürdige Profil angewendet wird. Geben Sie die Ressourcengruppe an, auf die das vertrauenswürdige Profil angewendet wird.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. Bei klassischen Clustern: Führen Sie den Befehl aus, um dem vertrauenswürdigen Profil die erforderlichen Mindestberechtigungen hinzuzufügen. Geben Sie die Benutzer-ID an, die für das vertrauenswürdige Profil erstellt wird.

   ibmcloud ks sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. Nachdem Sie das vertrauenswürdige Profil erstellt und die erforderlichen Zugriffsrichtlinien zugewiesen haben, legen Sie das vertrauenswürdige Profil entweder für den Cluster oder die Ressourcengruppe fest, in der sich Ihre Cluster befinden. Wenn Sie das vertrauenswürdige Profil festlegen, wird es auf Ihre Speicherkomponenten angewendet.

Einrichten eines vertrauenswürdigen Profils mit der UI

Folgen Sie den Schritten zum Erstellen und Einrichten eines vertrauenswürdigen Profils in der CLI.

Sobald Sie einem Cluster ein vertrauenswürdiges Profil hinzugefügt haben, kann es nicht mehr entfernt werden und Sie können keinen API-Schlüssel mehr für Ihre Ressourcen verwenden. Führen Sie diese Schritte sorgfältig aus, um sicherzustellen, dass Ihr vertrauenswürdiges Profil korrekt eingerichtet ist.

1. Melden Sie sich bei Ihrem IBM Cloud Konto an und navigieren Sie zur Seite Vertrauenswürdige Profile.

2. Erstellen Sie ein vertrauenswürdiges Profil.

3. Schaffen Sie ein Vertrauensverhältnis zum Dienst IBM Cloud Kubernetes Service.

   1. Klicken Sie im Abschnitt Vertrauenswürdigen Entitätstyp auswählen auf Rechenressourcen.
   2. Wählen Sie unter **Vertrauensbeziehung erstellen **Kubernetes.
   3. Alle Serviceressourcen auswählen. Fügen Sie dann eine Bedingung hinzu, die den Zugriff erlaubt, wenn Namespace gleich kube-system ist.
      • Hinweis: Sie können stattdessen auch bestimmte Ressourcen auswählen, die in Ihrem Konto vorhanden sind.

4. Klicken Sie auf Erstellen.

5. Nur VPC. Fügen Sie dem vertrauenswürdigen Profil Zugriffsrichtlinien hinzu.

   1. Klicken Sie auf der Seite Vertrauenswürdige Profile auf das vertrauenswürdige Profil, das Sie gerade erstellt haben.
   2. Klicken Sie auf der Registerkarte „Zugriff“ auf „ Zugriff zuweisen “.
   3. Klicken Sie im Abschnitt Wie möchten Sie den Zugriff zuweisen? auf Zugriffsrichtlinie.
   4. Fügen Sie die Dienste und Rollen hinzu, um die Mindestanforderungen für die entsprechenden Komponenten zu erfüllen. Wenden Sie die Richtlinie auf alle Ressourcen an.

6. Nur klassisch. Fügen Sie dem vertrauenswürdigen Profil Berechtigungen hinzu.

   1. Klicken Sie auf der Seite Vertrauenswürdige Profile auf das vertrauenswürdige Profil, das Sie gerade erstellt haben.
   2. Navigieren Sie zur Registerkarte „ Klassische Infrastruktur “.
   3. Wählen Sie in der Dropdown-Liste der Berechtigungen die erforderlichen Berechtigungen aus, um die Mindestanforderungen für die jeweiligen Komponenten zu erfüllen.

Einrichten eines vertrauenswürdigen Profils mit der API

1. Erstellen Sie ein vertrauenswürdiges Profil.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. Fügen Sie dem Namensraum kube‑system eine Regel zur Verwendung des Bereichs hinzu.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"IKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. Für VPC-Cluster: Weisen Sie den VPC-Komponenten Zugriffsrichtlinien zu. In diesen Beispielen werden die erforderlichen Mindestberechtigungen für alle Speicherkomponenten zugewiesen.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. Bei klassischen Clustern: Fügen Sie dem vertrauenswürdigen Profil mit Hilfe der Benutzeroberfläche Berechtigungen hinzu.

   1. Melden Sie sich bei Ihrem IBM Cloud Konto an und navigieren Sie zur Seite Vertrauenswürdige Profile.
   2. Klicken Sie auf das vertrauenswürdige Profil, das Sie gerade erstellt haben.
   3. Navigieren Sie zur Registerkarte „ Klassische Infrastruktur “.
   4. Wählen Sie in der Dropdown-Liste der Berechtigungen die erforderlichen Berechtigungen aus, um die Mindestanforderungen für die jeweiligen Komponenten zu erfüllen.