Création d'un profil sécurisé IAM pour votre cluster dans l'API

En tant qu'administrateur de compte, créez un profil sécurisé dans IBM Cloud Identity and Access Management. Pour plus d'informations, voir la documentation d'IAM.

Avant de commencer : vérifiez que vous respectez les prérequis.

Connectez-vous à votre compte. Le cas échéant, ciblez le groupe de ressources approprié. Définissez le contexte de votre cluster.

1. Créez un profil sécurisé IAM dans IBM Cloud Identity and Access Management. Notez l'uuid (ID de profil) dans la sortie.

   • Remplacez <access_token> par votre jeton IBM Cloud. Pour obtenir ce jeton à partir de la ligne de commande, connectez-vous et exécutez la commande ibmcloud iam oauth-tokens.

   • Entrez un <profile_name> et un <description> facultatif pour le profil sécurisé IAM.

   • Remplacez <account_id> par l'ID de votre compte IBM Cloud. Pour obtenir cet ID à partir de la ligne de commande, exécutez la commande ibmcloud account show.

     curl -L -X POST 'https://iam.cloud.ibm.com/v1/profiles' \
     -H 'Accept: application/json' \
     -H 'Authorization: Bearer <access_token>' \
     -H 'Content-Type: application/json' \
     --data-raw '{
         "name": "<profile_name>",
         "description": "<description>",
         "account_id": "<account_id>"
     }'
     

2. Liez le profil sécurisé IAM à un espace de noms Kubernetes dans le cluster IBM Cloud Kubernetes Service.

   1. Obtenez votre <profile-id> à partir de la sortie de la première étape. Vous pouvez également exécuter la commande d'API suivante :

      curl -L -X GET 'https://iam.cloud.ibm.com/v1/profiles/?account_id=<account_id>' \
      -H 'Accept: application/json' \
      -H 'Authorization: <access_token>' \
      -H 'Content-Type: application/json' \
      

   2. Extrayez le nom de votre cluster et le nom CRN en exécutant la commande d'API suivante :

      curl --location --request GET 'https://containers.cloud.ibm.com/global/v1/clusters' \
      --header 'Authorization: <access_token>'
      

   3. Liez le profil sécurisé IAM à votre cluster.

      • Pour <link_name>, entrez un nom pour le lien entre le profil sécurisé et le cluster.

      • Remplacez <profile-id>, <access_token>, <cluster_crn>et <cluster_name> par les valeurs que vous avez précédemment extraites.

      • Pour <ns>, entrez l'espace de nom dans votre cluster. Pour répertorier les espaces de noms, connectez-vous au cluster et en exécutez la commande kubectl get ns. Il n'est pas nécessaire que l'espace de noms Kubernetes entré existe déjà. Tout espace de noms futur portant ce nom pourra établir une relation de confiance.

        curl -L -X POST 'https://iam.cloud.ibm.com/v1/profiles/<profile-id>/links' \
        -H 'Accept: application/json' \
        -H 'Authorization: Bearer <access_token>' \
        -H 'Content-Type: application/json' \
        --data-raw '{
            "name": "<link_name>",
            "cr_type": "<sa>",
            "link": {
                "crn": "<cluster_crn>",
                "namespace": "<ns>",
                "name": "<cluster_name>"
            }
        }'
        

3. Affectez le profil sécurisé à un groupe d'accès avec des règles d'accès aux services IBM Cloud auxquels vos applications doivent pouvoir accéder.

Vos clusters peuvent désormais établir une relation de confiance avec IBM Cloud IAM. Les développeurs peuvent ensuite configurer leurs pods d'application pour échanger le jeton d'identité contre un jeton IAM et authentifier les demandes destinées aux services IBM Cloud.

Création d'un profil sécurisé IAM pour votre cluster dans l'interface utilisateur

En tant qu'administrateur de compte, créez un profil sécurisé dans IBM Cloud Identity and Access Management. Pour plus d'informations, voir la documentation d'IAM.

Avant de commencer : vérifiez que vous respectez les prérequis.

1. Connectez-vous à la consoleIBM Cloud IAM Trusted profiles.

2. Cliquez sur Créer.

3. Donnez un nom à votre profil sécurisé et cliquez sur Continuer.

4. Pour le type d'entité de confiance, sélectionnez Ressources de calcul.

5. Pour le service de calcul, sélectionnez Kubernetes.

6. Pour les ressources de calcul, choisissez parmi les options suivantes pour déterminer les clusters ou les ressources du cluster qui peuvent établir une relation de confiance.

   • Toute ressource de service : tous les clusters existants ou créés ultérieurement. Pour lier le profil sécurisé uniquement aux clusters sous certaines conditions, vous pouvez ajouter une nouvelle condition +. Par exemple, vous pouvez ajouter des conditions telles que des clusters uniquement dans un groupe de ressources, uniquement des clusters avec un espace de nom prod Kubernetes, ou uniquement des clusters avec un compte de service trusted-profile Kubernetes.
   • Ressources spécifiques : un cluster spécifique. Cliquez sur Ajouter une autre ressource + pour sélectionner un cluster et définir des conditions, telles que l'espace de noms Kubernetes ou le compte de service Kubernetes qui peut établir la relation de confiance.
   • Cliquez sur Continu.

   Les noms de compte de service et d'espace de nom de Kubernetes que vous entrez ne doivent pas déjà existés. Tous les futurs espaces de noms ou comptes de service portant ces noms pourront établir une relation de confiance. Pour répertorier les espaces de noms existants, connectez-vous au cluster et exécutez la commande kubectl get ns. Pour répertorier les comptes de service existants, connectez-vous à votre cluster et exécutez kubectl get sa -n <namespace>.

7. Accordez le profil sécurisé à toutes les règles d'accès aux services IAM et à la gestion des comptes que vous souhaitez pour que le pod de votre cluster puisse y accéder.

   • Par exemple, vous pouvez accorder un accès à Tous les services avec l'offre Identity and Access activée et à Toutes les ressources dans ces services, avec les rôles d'accès à la plateforme Editeur, les rôles d'accès au service Auteur et les rôles d'accès au groupe de ressources Afficheur.
   • Cliquez sur Ajouter + pour ajouter la règle au profil et continuez à ajouter autant de règles que vous le souhaitez.

8. Dans le panneau récapitulatif, examinez les détails du profil, de la relation de confiance et de l'accès. Cliquez ensuite sur Créer.

Vos clusters peuvent désormais établir une relation de confiance avec IBM Cloud IAM. Les développeurs peuvent ensuite configurer leurs pods d'application pour échanger le jeton d'identité contre un jeton IAM et authentifier les demandes destinées aux services IBM Cloud.