Configurazione di un profilo di fiducia per i componenti del cluster

Impostare un profilo di fiducia nella CLI

Seguire la procedura per creare e impostare un profilo di fiducia nella CLI.

Una volta aggiunto un profilo di fiducia a un cluster, non è possibile rimuoverlo e non si può riprendere a usare una chiave API per le risorse. Seguite attentamente questi passaggi per assicurarvi che il vostro profilo di fiducia sia impostato correttamente.

1. Accedi alla CLI di IBM Cloud.

   ibmcloud login --apikey <API_KEY> -g <RESOURCE_GROUP>
   

2. Eseguire il comando per creare un profilo di fiducia. Per un elenco completo delle opzioni dei comandi, consultare la documentazione di IAM CLI.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. Collegare una regola per l'utilizzo dell'ambito allo spazio dei nomi kube‑system. Per un elenco completo delle opzioni dei comandi, consultare la documentazione di IAM CLI.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type IKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. Per i cluster VPC: Creare e assegnare i criteri di accesso al profilo di fiducia. Questo esempio assegna le autorizzazioni minime richieste per tutti i componenti dello storage. Per un elenco delle autorizzazioni necessarie solo per i singoli componenti, vedere Requisiti minimi per i singoli componenti di archiviazione. Specificare il nome o l'ID del profilo attendibile a cui si desidera assegnare il criterio. Per un elenco completo delle opzioni dei comandi, consultare la documentazione di IAM CLI. Questo passaggio non si applica ai cluster classici. Aggiungere le politiche per il servizio Infrastruttura VPC.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   Aggiungere le politiche per il servizio di fatturazione.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Aggiungere i criteri per il servizio Kubernetes.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name "containers-kubernetes"
   

   Aggiungere i criteri per il gruppo di risorse pertinente a cui è applicato il profilo di fiducia. Specificare il gruppo di risorse a cui è applicato il profilo di fiducia.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. Per i cluster classici: Eseguire il comando per aggiungere le autorizzazioni minime richieste al profilo di fiducia. Specificare l'ID utente creato per il profilo di fiducia.

   ibmcloud ks sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. Dopo aver creato il profilo di fiducia e assegnato i criteri di accesso richiesti, impostare il profilo di fiducia per il cluster o il gruppo di risorse in cui si trovano i cluster. L'impostazione del profilo di fiducia viene applicata ai componenti di archiviazione.

Impostazione di un profilo di fiducia con l'interfaccia utente

Seguire la procedura per creare e impostare un profilo di fiducia nella CLI.

Una volta aggiunto un profilo di fiducia a un cluster, non è possibile rimuoverlo e non si può riprendere a usare una chiave API per le risorse. Seguite attentamente questi passaggi per assicurarvi che il vostro profilo di fiducia sia impostato correttamente.

1. Accedere all'account IBM Cloud e navigare nella pagina Profili attendibili.

2. Creare un profilo di fiducia.

3. Creare un rapporto di fiducia con il servizio IBM Cloud Kubernetes Service.

   1. Nella sezione Selezionare il tipo di entità attendibile, fare clic su Risorse di calcolo.
   2. In Crea relazione di fiducia, scegliere Kubernetes.
   3. Seleziona tutte le risorse di servizio. Quindi aggiungere una condizione per consentire l'accesso quando Namespace è uguale a kube-system.
      • Nota: è invece possibile scegliere risorse specifiche presenti nel proprio account.

4. Fai clic su Crea.

5. Solo VPC. Aggiungere i criteri di accesso al profilo di fiducia.

   1. Dalla pagina Profili attendibili, fare clic sul profilo attendibile appena creato.
   2. Dalla scheda Accesso, clicca su Assegna accesso.
   3. Nella sezione Come si desidera assegnare l'accesso?, fare clic su Criteri di accesso.
   4. Aggiungere i servizi e i ruoli per soddisfare i requisiti minimi dei componenti pertinenti. Applicare il criterio a tutte le risorse.

6. Solo classico. Aggiungere le autorizzazioni al profilo di fiducia.

   1. Dalla pagina Profili attendibili, fare clic sul profilo attendibile appena creato.
   2. Passa alla scheda Infrastruttura classica.
   3. Nell'elenco a discesa delle autorizzazioni, selezionare le autorizzazioni necessarie per soddisfare i requisiti minimi dei componenti pertinenti.

Impostare un profilo di fiducia con l'API

1. Creare un profilo di fiducia.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. Collegare una regola per l'utilizzo dell'ambito allo spazio dei nomi kube‑system.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"IKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. Per i cluster VPC: Collegare i criteri di accesso ai componenti VPC. Questi esempi assegnano le autorizzazioni minime richieste per tutti i componenti dello storage.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. Per i cluster classici: Aggiungere le autorizzazioni al profilo di fiducia utilizzando l'interfaccia utente.

   1. Accedere all'account IBM Cloud e navigare nella pagina Profili attendibili.
   2. Fare clic sul profilo di fiducia appena creato.
   3. Passa alla scheda Infrastruttura classica.
   4. Nell'elenco a discesa delle autorizzazioni, selezionare le autorizzazioni necessarie per soddisfare i requisiti minimi dei componenti pertinenti.