CLIで信頼済みプロファイルを設定する

CLIで信頼済みプロファイルを作成し、設定する手順に従ってください。

一度信頼済みプロファイルをクラスタに追加すると、そのプロファイルを削除することはできず、リソースのAPIキーの使用を再開することもできません。 信頼できるプロフィールが正しく設定されていることを確認するため、以下の手順を注意深く行ってください。

1. IBM Cloud CLI にログインします。

   ibmcloud login --apikey API_KEY -g RESOURCE_GROUP
   

2. コマンドを実行して、信頼できるプロファイルを作成する。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. kube‑system ネームスペースにスコープの使用ルールを追加する。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. VPCクラスタの場合 ：信頼済みプロファイルにアクセスポリシーを作成して割り当てます。 この例では、すべてのストレージ・コンポーネントに必要最小限の権限を割り当てている。 個々のコンポーネントにのみ必要な権限のリストについては、 個々のストレージ・コンポーネントの最小 要件を参照のこと。 ポリシーを割り当てる信頼済みプロファイルの名前または ID を指定します。 コマンドオプションの完全なリストについては、 IAM CLIのドキュメントを 参照してください。 この手順は、クラシック・クラスターには適用されません。 VPCインフラストラクチャサービスのポリシーを追加します。

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   課金サービスのポリシーを追加します。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Kubernetes サービスのポリシーを追加する。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name containers-kubernetes
   

   信頼済みプロファイルが適用される関連リソースグループのポリシーを追加する。 信頼済みプロファイルを適用するリソースグループを指定します。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. クラシック・クラスタの場合 ：コマンドを実行して、信頼されたプロファイルに 必要最低限の権限を 追加する。 信頼済みプロファイル用に作成されるユーザー ID を指定します。

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. 信頼済みプロファイルを作成し、必要なアクセスポリシーを割り当てたら、クラスタまたはクラスタが属するリソースグループのいずれかに 信頼済みプロファイルを設定 します。 信頼済みプロファイルを設定すると、ストレージコンポーネントに適用されます。

UIで信頼できるプロフィールを設定する

UIで信頼済みプロファイルを作成し、設定する手順に従ってください。

一度信頼済みプロファイルをクラスタに追加すると、そのプロファイルを削除することはできず、リソースのAPIキーの使用を再開することもできません。 信頼できるプロフィールが正しく設定されていることを確認するため、以下の手順を注意深く行ってください。

1. IBM Cloud アカウントにログインし、Trusted Profiles ページに移動します。

2. トラステッド・プロファイルを作成します。

3. Red Hat OpenShift on IBM Cloud サービスとの信頼関係を築く。

   1. Select trusted entity type セクションで、 Compute resourcesをクリックします。
   2. 信頼関係の作成 」で Red Hat OpenShift.
   3. すべてのサービスリソースを選択します。 次に、 Namespace が kube-system と等しい場合にアクセスを許可する条件を追加します。
      • 代わりに、あなたのアカウント存在する特定のリソースを選択することができます。

4. 「作成」 をクリックします。

5. VPCのみ。 信頼済みプロファイルにアクセスポリシーを追加する。

   1. 信頼済みプロファイル］ ページで、作成したばかりの信頼済みプロファイルをクリックします。
   2. [ アクセス ] タブで、[ アクセス権の割り当て ] をクリックします。
   3. アクセス権の割り当て方法] セクションで、[ アクセスポリシー] をクリックします。
   4. 該当するコンポーネントの 最小要件を 満たすように、サービスとロールを追加する。 ポリシーをすべてのリソースに適用する。

6. クラシック版のみ。 信頼済みプロファイルに権限を追加する。

   1. 信頼済みプロファイル］ ページで、作成したばかりの信頼済みプロファイルをクリックします。
   2. 「 クラシック・インフラストラクチャー 」タブに移動します。
   3. 権限のドロップダウンで、関連するコンポーネントの 最小要件を 満たすために必要な権限を選択します。

APIで信頼できるプロフィールを設定する

1. トラステッド・プロファイルを作成します。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. kube‑system ネームスペースにスコープの使用ルールを追加する。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. VPCクラスタの場合 VPCコンポーネントにアクセスポリシーをアタッチします。 これらの例では、すべてのストレージコンポーネントに必要な最小限の権限を割り当てています。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. クラシック・クラスタの場合 ：UIを使用して、信頼済みプロファイルに権限を追加します。

   1. IBM Cloud アカウントにログインし、Trusted Profiles ページに移動します。
   2. 作成した信頼済みプロファイルをクリックします。
   3. 「 クラシック・インフラストラクチャー 」タブに移動します。
   4. 権限のドロップダウンで、関連するコンポーネントの 最小要件を 満たすために必要な権限を選択します。