CLI에서 신뢰할 수 있는 프로필 설정하기

CLI에서 신뢰할 수 있는 프로필을 만들고 설정하는 단계를 따르세요.

클러스터에 신뢰할 수 있는 프로필을 추가한 후에는 제거할 수 없으며 리소스에 대한 API 키 사용을 다시 시작할 수 없습니다. 다음 단계를 주의 깊게 따라 신뢰할 수 있는 프로필이 올바르게 설정되었는지 확인하세요.

1. IBM Cloud CLI에 로그인하십시오.

   ibmcloud login --apikey API_KEY -g RESOURCE_GROUP
   

2. 명령을 실행하여 신뢰할 수 있는 프로필을 만듭니다. 명령 옵션의 전체 목록은 IAM CLI 문서를 참조하세요.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. kube‑system 네임스페이스에 사용 범위를 지정하는 규칙을 첨부합니다. 명령 옵션의 전체 목록은 IAM CLI 문서를 참조하세요.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. VPC 클러스터의 경우: 신뢰할 수 있는 프로필을 만들고 액세스 정책을 할당합니다. 이 예에서는 모든 스토리지 구성 요소에 필요한 최소 권한을 할당합니다. 개별 구성 요소에만 필요한 권한 목록은 개별 스토리지 구성 요소에 대한 최소 요구 사항을 참조하세요. 정책을 할당할 신뢰할 수 있는 프로필의 이름 또는 ID를 지정합니다. 명령 옵션의 전체 목록은 IAM CLI 문서를 참조하세요. 이 단계는 클래식 클러스터에는 적용되지 않습니다. VPC 인프라 서비스에 대한 정책을 추가합니다.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   청구 서비스에 대한 정책을 추가합니다.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Kubernetes 서비스에 대한 정책을 추가합니다.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name containers-kubernetes
   

   신뢰할 수 있는 프로필이 적용되는 관련 리소스 그룹에 대한 정책을 추가합니다. 신뢰할 수 있는 프로필이 적용될 리소스 그룹을 지정합니다.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. 클래식 클러스터의 경우: 명령을 실행하여 신뢰할 수 있는 프로필에 필요한 최소 권한을 추가합니다. 신뢰할 수 있는 프로필에 대해 생성된 사용자 ID를 지정합니다.

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. 신뢰할 수 있는 프로필을 만들고 필요한 액세스 정책을 할당했으면 클러스터 또는 클러스터가 속한 리소스 그룹에 대해 신뢰할 수 있는 프로필을 설정합니다. 신뢰할 수 있는 프로필을 설정하면 스토리지 구성 요소에 해당 프로필이 적용됩니다.

UI로 신뢰할 수 있는 프로필 설정

UI에서 신뢰할 수 있는 프로필을 만들고 설정하는 단계를 따르세요.

클러스터에 신뢰할 수 있는 프로필을 추가한 후에는 제거할 수 없으며 리소스에 대한 API 키 사용을 다시 시작할 수 없습니다. 다음 단계를 주의 깊게 따라 신뢰할 수 있는 프로필이 올바르게 설정되었는지 확인하세요.

1. IBM Cloud 계정에 로그인하고 신뢰할 수 있는 프로필 페이지로 이동합니다.

2. 신뢰할 수 있는 프로파일을 작성하십시오.

3. Red Hat OpenShift on IBM Cloud 서비스와 신뢰 관계를 설정합니다.

   1. 신뢰할 수 있는 엔터티 유형 선택 섹션에서 리소스 계산을 클릭합니다.
   2. **신뢰 관계 만들기에서 **Red Hat OpenShift.
   3. 모든 서비스 리소스를 선택하십시오. 그런 다음 네임스페이스가 kube-system 와 같을 때 액세스를 허용하는 조건을 추가합니다.
      • 대신 계정에 있는 특정 리소스를 선택할 수 있습니다.

4. 작성을 클릭하십시오.

5. VPC만 해당됩니다. 신뢰할 수 있는 프로필에 액세스 정책을 추가합니다.

   1. 신뢰할 수 있는 프로필 페이지에서 방금 만든 신뢰할 수 있는 프로필을 클릭합니다.
   2. '액세스 ' 탭에서 '액세스 할당'을 클릭합니다.
   3. 액세스 권한을 어떻게 할당할까요? 섹션에서 액세스 정책을 클릭합니다.
   4. 서비스 및 역할을 추가하여 관련 구성 요소에 대한 최소 요구 사항을 충족합니다. 모든 리소스에 정책을 적용합니다.

6. 클래식 버전만 제공됩니다. 신뢰할 수 있는 프로필에 권한을 추가합니다.

   1. 신뢰할 수 있는 프로필 페이지에서 방금 만든 신뢰할 수 있는 프로필을 클릭합니다.
   2. '클래식 인프라 ' 탭으로 이동합니다.
   3. 권한 드롭다운에서 관련 구성 요소의 최소 요구 사항을 충족하는 데 필요한 권한을 선택합니다.

API로 신뢰할 수 있는 프로필 설정

1. 신뢰할 수 있는 프로파일을 작성하십시오.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. kube‑system 네임스페이스에 사용 범위를 지정하는 규칙을 첨부합니다.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. VPC 클러스터의 경우: VPC 구성 요소에 액세스 정책을 첨부합니다. 이 예에서는 모든 스토리지 구성 요소에 필요한 최소 권한을 할당합니다.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. 클래식 클러스터의 경우: UI를 사용하여 신뢰할 수 있는 프로필에 권한을 추가합니다.

   1. IBM Cloud 계정에 로그인하고 신뢰할 수 있는 프로필 페이지로 이동합니다.
   2. 방금 만든 신뢰할 수 있는 프로필을 클릭합니다.
   3. '클래식 인프라 ' 탭으로 이동합니다.
   4. 권한 드롭다운에서 관련 구성 요소의 최소 요구 사항을 충족하는 데 필요한 권한을 선택합니다.