在 CLI 中设置可信配置文件

请按照以下步骤在 CLI 中创建和设置受信任配置文件。

一旦将受信任配置文件添加到群集，就不能将其移除，也不能再为资源使用 API 密钥。 请务必仔细遵循这些步骤，以确保正确设置受信任的配置文件。

1. 登录到 IBM Cloud CLI。

   ibmcloud login --apikey <API_KEY> -g <RESOURCE_GROUP>
   

2. 运行命令创建受信任的配置文件。 有关命令选项的完整列表，请参阅 IAM CLI 文档。

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. 将使用范围规则附加到 kube‑system 命名空间。 有关命令选项的完整列表，请参阅 IAM CLI 文档。

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type IKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. 对于 VPC 群集：为受信任配置文件创建和分配访问策略。 此示例为所有存储组件分配了所需的最小权限。 有关单个组件所需的权限列表，请参阅 单个存储组件的最低要求。 指定要为其分配策略的受信任配置文件的名称或 ID。 有关命令选项的完整列表，请参阅 IAM CLI 文档。 此步骤不适用于传统群集。 为 VPC 基础设施服务添加策略。

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   为计费服务添加政策。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   为 Kubernetes 服务添加策略。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name "containers-kubernetes"
   

   为应用受信任配置文件的相关资源组添加策略。 指定应用受信任配置文件的资源组。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. 对于传统群集：运行命令向受信任配置文件添加所 需的最低权限。 指定为受信任配置文件创建的用户 ID。

   ibmcloud ks sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. 创建受信任配置文件并分配所需访问策略后，为群集或群集所在的资源组 设置受信任配置文件。 设置受信任配置文件可将其应用于存储组件。

使用用户界面设置受信任的配置文件

请按照以下步骤在 CLI 中创建和设置受信任配置文件。

一旦将受信任配置文件添加到群集，就不能将其移除，也不能再为资源使用 API 密钥。 请务必仔细遵循这些步骤，以确保正确设置受信任的配置文件。

1. 登录 IBM Cloud 账户并导航至“受信任的配置文件”页面。

2. 创建可信档案。

3. 与 IBM Cloud Kubernetes Service 服务建立信任关系。

   1. 在“选择可信实体类型”部分，单击“计算资源”。
   2. 在创建信任关系下，选择 Kubernetes.
   3. 选择所有服务资源。 然后添加一个条件，当 Namespace 等于 kube-system 时允许访问。
      • 注意：您可以选择账户中存在的特定资源。

4. 单击创建。

5. 仅限 VPC。 在受信任配置文件中添加访问策略。

   1. 从“受信任的配置文件”页面，单击刚刚创建的受信任的配置文件。
   2. 从“访问”选项卡，单击“分配访问”。
   3. 在“如何分配访问权限？”部分，单击“访问策略”。
   4. 添加服务和角色，以满足相关组件的 最低要求。 将政策应用于所有资源。

6. 仅限经典。 为受信任的配置文件添加权限。

   1. 从“受信任的配置文件”页面，单击刚刚创建的受信任的配置文件。
   2. 导航至“经典基础设施”选项卡。
   3. 在权限下拉菜单中，选择所需的权限，以满足相关组件的 最低要求。

使用应用程序接口设置受信任的配置文件

1. 创建可信档案。

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. 将使用范围规则附加到 kube‑system 命名空间。

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"IKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. 对于 VPC 群集：将访问策略附加到 VPC 组件。 这些示例分配了所有存储组件所需的最低权限。

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.test.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. 对于传统群集：使用用户界面为受信任配置文件添加权限。

   1. 登录 IBM Cloud 账户并导航至“受信任的配置文件”页面。
   2. 单击您刚刚创建的受信任配置文件。
   3. 导航至“经典基础设施”选项卡。
   4. 在权限下拉菜单中，选择所需的权限，以满足相关组件的 最低要求。