クラスターコンポーネントの信頼済みプロファイルの設定

CLIで信頼済みプロファイルを設定する

CLIで信頼済みプロファイルを作成し、設定する手順に従ってください。

一度信頼済みプロファイルをクラスタに追加すると、そのプロファイルを削除することはできず、リソースのAPIキーの使用を再開することもできません。 信頼できるプロフィールが正しく設定されていることを確認するため、以下の手順を注意深く行ってください。

1. IBM Cloud CLI にログインします。

   ibmcloud login --apikey <API_KEY> -g <RESOURCE_GROUP>
   

2. コマンドを実行して、信頼できるプロファイルを作成する。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. kube‑system ネームスペースにスコープの使用ルールを追加する。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type IKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. VPCクラスタの場合 ：信頼済みプロファイルにアクセスポリシーを作成して割り当てます。 この例では、すべてのストレージ・コンポーネントに必要最小限の権限を割り当てている。 個々のコンポーネントにのみ必要な権限のリストについては、 個々のストレージ・コンポーネントの最小 要件を参照のこと。 ポリシーを割り当てる信頼済みプロファイルの名前または ID を指定します。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。 このステップはクラシック・クラスターには適用されない。 VPCインフラストラクチャサービスのポリシーを追加します。

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   課金サービスのポリシーを追加します。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Kubernetes サービスのポリシーを追加する。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name "containers-kubernetes"
   

   信頼済みプロファイルが適用される関連リソースグループのポリシーを追加する。 信頼済みプロファイルを適用するリソースグループを指定します。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. クラシック・クラスタの場合 ：コマンドを実行して、信頼されたプロファイルに 必要最低限の権限を 追加する。 信頼済みプロファイル用に作成されるユーザー ID を指定します。

   ibmcloud ks sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. 信頼済みプロファイルを作成し、必要なアクセスポリシーを割り当てたら、クラスタまたはクラスタが属するリソースグループのいずれかに 信頼済みプロファイルを設定 します。 信頼済みプロファイルを設定すると、ストレージコンポーネントに適用されます。

UIで信頼できるプロフィールを設定する

CLIで信頼済みプロファイルを作成し、設定する手順に従ってください。

一度信頼済みプロファイルをクラスタに追加すると、そのプロファイルを削除することはできず、リソースのAPIキーの使用を再開することもできません。 信頼できるプロフィールが正しく設定されていることを確認するため、以下の手順を注意深く行ってください。

1. IBM Cloud アカウントにログインし、Trusted Profiles ページに移動します。

2. トラステッド・プロファイルを作成します。

3. IBM Cloud Kubernetes Service サービスとの信頼関係を築く。

   1. Select trusted entity type セクションで、 Compute resourcesをクリックします。
   2. 信頼関係の作成 」で Kubernetes.
   3. すべてのサービスリソースを選択します。 次に、 Namespace が kube-system と等しい場合にアクセスを許可する条件を追加する。
      • 注：代わりに、アカウントに存在する特定のリソースを選択することができます。

4. 「作成」 をクリックします。

5. VPCのみ。 信頼済みプロファイルにアクセスポリシーを追加する。

   1. 信頼済みプロファイル］ ページで、作成したばかりの信頼済みプロファイルをクリックします。
   2. アクセス］ タブで［ アクセスを割り当てる ］をクリックします。
   3. アクセス権の割り当て方法] セクションで、[ アクセスポリシー] をクリックします。
   4. 該当するコンポーネントの 最小要件を 満たすように、サービスとロールを追加する。 ポリシーをすべてのリソースに適用する。

6. クラシックのみ。 信頼済みプロファイルに権限を追加する。

   1. 信頼済みプロファイル］ ページで、作成したばかりの信頼済みプロファイルをクリックします。
   2. クラシック・インフラストラクチャー タブに移動します。
   3. 権限のドロップダウンで、関連するコンポーネントの 最小要件を 満たすために必要な権限を選択します。

APIで信頼できるプロフィールを設定する

1. トラステッド・プロファイルを作成します。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. kube‑system ネームスペースにスコープの使用ルールを追加する。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"IKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. VPCクラスタの場合 VPCコンポーネントにアクセスポリシーをアタッチします。 これらの例では、すべてのストレージコンポーネントに必要な最小限の権限を割り当てています。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. クラシック・クラスタの場合 ：UIを使用して、信頼済みプロファイルに権限を追加します。

   1. IBM Cloud アカウントにログインし、Trusted Profiles ページに移動します。
   2. 作成した信頼済みプロファイルをクリックします。
   3. クラシック・インフラストラクチャー タブに移動します。
   4. 権限のドロップダウンで、関連するコンポーネントの 最小要件を 満たすために必要な権限を選択します。