Configurar um perfil confiável na CLI

Siga as etapas para criar e configurar um perfil confiável na CLI.

Depois que você adiciona um perfil confiável a um cluster, ele não pode ser removido e você não pode retomar o uso de uma chave de API para seus recursos. Siga estas etapas cuidadosamente para garantir que seu perfil confiável esteja configurado corretamente.

1. Efetue login na CLI do IBM Cloud.

   ibmcloud login --apikey API_KEY -g RESOURCE_GROUP
   

2. Execute o comando para criar um perfil confiável. Para obter uma lista completa das opções de comando, consulte a documentação da CLI do IAM.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. Anexar uma regra para o uso do escopo ao namespace kube‑system. Para obter uma lista completa das opções de comando, consulte a documentação da CLI do IAM.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. Para clusters de VPC: Crie e atribua políticas de acesso ao perfil confiável. Este exemplo atribui as permissões mínimas necessárias para todos os componentes de armazenamento. Para obter uma lista das permissões necessárias apenas para componentes individuais, consulte Requisitos mínimos para componentes de armazenamento individuais. Especifique o nome ou ID do perfil confiável ao qual você deseja atribuir a política. Para obter uma lista completa das opções de comando, consulte a documentação da CLI do IAM. Esta etapa não se aplica a clusters clássicos. Adicione políticas para o serviço de infraestrutura VPC.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   Adicione políticas para o serviço de faturamento.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Adicione políticas para o serviço Kubernetes.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name containers-kubernetes
   

   Adicione políticas para o grupo de recursos relevante ao qual o perfil confiável é aplicado. Especifique o grupo de recursos ao qual o perfil confiável é aplicado.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. Para clusters clássicos: Execute o comando para adicionar as permissões mínimas necessárias ao perfil confiável. Especifique o ID de usuário criado para o perfil confiável.

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. Depois de criar o perfil confiável e atribuir as políticas de acesso necessárias, defina o perfil confiável para o cluster ou para o grupo de recursos em que os clusters estão. A configuração do perfil confiável o aplica aos componentes de armazenamento.

Configurar um perfil confiável com a interface do usuário

Siga as etapas para criar e configurar um perfil confiável na interface do usuário.

Depois que você adiciona um perfil confiável a um cluster, ele não pode ser removido e você não pode retomar o uso de uma chave de API para seus recursos. Siga estas etapas cuidadosamente para garantir que seu perfil confiável esteja configurado corretamente.

1. Faça login na sua conta IBM Cloud e navegue até a página Trusted Profiles (Perfis confiáveis).

2. Crie um perfil confiável.

3. Crie um relacionamento de confiança com o serviço Red Hat OpenShift on IBM Cloud.

   1. Na seção Selecionar tipo de entidade confiável, clique em Recursos de computação.
   2. Em Criar relação de confiança, selecione Red Hat OpenShift.
   3. Selecione todos os recursos de serviço. Em seguida, adicione uma condição para permitir o acesso quando Namespace for igual a kube-system.
      • Em vez disso, você pode escolher recursos específicos existentes em sua conta.

4. Clique em Criar.

5. Somente VPC. Adicione políticas de acesso ao perfil confiável.

   1. Na página Perfis confiáveis, clique no perfil confiável que você acabou de criar.
   2. Na guia “Acesso ”, clique em “Atribuir acesso ”.
   3. Na seção Como deseja atribuir acesso?, clique em Política de acesso.
   4. Adicione os serviços e as funções para atender aos requisitos mínimos dos componentes relevantes. Aplique a política a todos os recursos.

6. Apenas clássico. Adicione permissões ao perfil confiável.

   1. Na página Perfis confiáveis, clique no perfil confiável que você acabou de criar.
   2. Acesse a guia “Infraestrutura Clássica ”.
   3. No menu suspenso de permissões, selecione as permissões necessárias para atender aos requisitos mínimos dos componentes relevantes.

Configurar um perfil confiável com a API

1. Crie um perfil confiável.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. Anexar uma regra para o uso do escopo ao namespace kube‑system.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. Para clusters de VPC: Anexar políticas de acesso aos componentes da VPC. Esses exemplos atribuem as permissões mínimas necessárias para todos os componentes de armazenamento.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. Para clusters clássicos: Adicione permissões ao perfil confiável usando a interface do usuário.

   1. Faça login na sua conta IBM Cloud e navegue até a página Trusted Profiles (Perfis confiáveis).
   2. Clique no perfil confiável que você acabou de criar.
   3. Acesse a guia “Infraestrutura Clássica ”.
   4. No menu suspenso de permissões, selecione as permissões necessárias para atender aos requisitos mínimos dos componentes relevantes.