Configurar un perfil de confianza en la CLI

Siga los pasos para crear y configurar un perfil de confianza en la CLI.

Una vez que añada un perfil de confianza a un clúster, no podrá eliminarlo ni reanudar el uso de una clave API para sus recursos. Asegúrese de seguir estos pasos cuidadosamente para garantizar que su perfil de confianza está configurado correctamente.

1. Inicie sesión en la CLI de IBM Cloud.

   ibmcloud login --apikey API_KEY -g RESOURCE_GROUP
   

2. Ejecute el comando para crear un perfil de confianza. Para obtener una lista completa de las opciones de comando, consulte la documentación de IAM CLI.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. Adjunta una regla de uso del ámbito al espacio de nombres kube‑system. Para obtener una lista completa de las opciones de comando, consulte la documentación de IAM CLI.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. Para clusters VPC: Cree y asigne políticas de acceso al perfil de confianza. Este ejemplo asigna los permisos mínimos necesarios para todos los componentes de almacenamiento. Para obtener una lista de los permisos necesarios sólo para componentes individuales, consulte Requisitos mínimos para componentes de almacenamiento individuales. Especifique el nombre o ID del perfil de confianza al que desea asignar la política. Para obtener una lista completa de las opciones de comando, consulte la documentación de IAM CLI. Este paso no se aplica a los clústeres clásicos. Añada políticas para el servicio Infraestructura VPC.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   Añadir políticas para el servicio de facturación.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Añada políticas para el servicio Kubernetes.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name containers-kubernetes
   

   Añada políticas para el grupo de recursos pertinente al que se aplica el perfil de confianza. Especifique el grupo de recursos al que se aplica el perfil de confianza.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. Para clusters clásicos: Ejecute el comando para añadir los permisos mínimos necesarios al perfil de confianza. Especifique el ID de usuario que se crea para el perfil de confianza.

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. Una vez creado el perfil de confianza y asignadas las políticas de acceso necesarias, configure el perfil de confianza para el clúster o el grupo de recursos en el que se encuentran sus clústeres. La configuración del perfil de confianza se aplica a sus componentes de almacenamiento.

Configurar un perfil de confianza con la interfaz de usuario

Siga los pasos para crear y configurar un perfil de confianza en la interfaz de usuario.

Una vez que añada un perfil de confianza a un clúster, no podrá eliminarlo ni reanudar el uso de una clave API para sus recursos. Asegúrese de seguir estos pasos cuidadosamente para garantizar que su perfil de confianza está configurado correctamente.

1. Inicie sesión en su cuenta IBM Cloud y vaya a la página Perfiles de confianza.

2. Cree un perfil de confianza.

3. Crear una relación de confianza con el servicio Red Hat OpenShift on IBM Cloud.

   1. En la sección Seleccionar tipo de entidad de confianza, haga clic en Recursos informáticos.
   2. En Crear relación de confianza, seleccione Red Hat OpenShift.
   3. Seleccionar todos los recursos de servicio. A continuación, añada una condición para permitir el acceso cuando Namespace sea igual a kube-system.
      • En su lugar, puede elegir recursos específicos que existan en su cuenta.

4. Pulse Crear.

5. Sólo VPC. Añade políticas de acceso al perfil de confianza.

   1. En la página Perfiles de confianza, haz clic en el perfil de confianza que acabas de crear.
   2. En la pestaña Acceso, haz clic en Asignar acceso.
   3. En la sección ¿Cómo desea asignar el acceso?, haga clic en Política de acceso.
   4. Añada los servicios y funciones para cumplir los requisitos mínimos de los componentes pertinentes. Aplicar la política a todos los recursos.

6. Solo estilo clásico. Añade permisos al perfil de confianza.

   1. En la página Perfiles de confianza, haz clic en el perfil de confianza que acabas de crear.
   2. Vaya a la pestaña Infraestructura clásica.
   3. En el menú desplegable de permisos, seleccione los permisos necesarios para cumplir los requisitos mínimos de los componentes correspondientes.

Configurar un perfil de confianza con la API

1. Cree un perfil de confianza.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. Adjunta una regla de uso del ámbito al espacio de nombres kube‑system.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. Para clusters VPC: Adjunte políticas de acceso a los componentes de la VPC. Estos ejemplos asignan los permisos mínimos necesarios para todos los componentes de almacenamiento.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. Para clusters clásicos: Añade permisos al perfil de confianza mediante la interfaz de usuario.

   1. Inicie sesión en su cuenta IBM Cloud y vaya a la página Perfiles de confianza.
   2. Haz clic en el perfil de confianza que acabas de crear.
   3. Vaya a la pestaña Infraestructura clásica.
   4. En el menú desplegable de permisos, seleccione los permisos necesarios para cumplir los requisitos mínimos de los componentes correspondientes.