在 CLI 中設定受信任的設定檔

按照步驟在 CLI 中建立和設定信任的設定檔。

一旦將受信任的設定檔新增至叢集，就無法移除，也無法恢復使用 API 金鑰來使用資源。 請務必仔細遵循這些步驟，以確保正確設定您的信任設定檔。

1. 登入 IBM Cloud CLI。

   ibmcloud login --apikey API_KEY -g RESOURCE_GROUP
   

2. 執行指令以建立受信任的設定檔。 如需命令選項的完整清單，請參閱 IAM CLI 文件。

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. 將使用範圍的規則附加到 kube‑system 命名空間。 如需命令選項的完整清單，請參閱 IAM CLI 文件。

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. 對於 VPC 群集：建立存取政策並將其指定給受信任的設定檔。 此範例指派所有儲存元件所需的最低權限。 如需僅個別元件所需的權限清單，請參閱個 別儲存元件的最低要求。 指定要將政策指定給受信任設定檔的名稱或 ID。 如需命令選項的完整清單，請參閱 IAM CLI 文件。 此步驟不適用於經典叢集。 為 VPC Infrastructure 服務新增政策。

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   新增計費服務的政策。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   為 Kubernetes 服務新增政策。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name containers-kubernetes
   

   為應用於受信任設定檔的相關資源群組新增政策。 指定受信任設定檔套用的資源群組。

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. 對於傳統群集：執行指令，將所 需的最低權限 新增至受信任的設定檔。 指定為信任設定檔建立的使用者 ID。

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. 建立受信任的設定檔並指定所需的存取政策後，為群集或群集所在的資源群組 設定受信任的設定檔。 設定可信賴的設定檔會套用至您的儲存元件。

使用使用者介面設定可信賴的設定檔

按照步驟在使用者介面中建立和設定受信任的設定檔。

一旦將受信任的設定檔新增至叢集，就無法移除，也無法恢復使用 API 金鑰來使用資源。 請務必仔細遵循這些步驟，以確保正確設定您的信任設定檔。

1. 登入 IBM Cloud 帳戶，並導航至 Trusted Profiles 頁面。

2. 建立受信任的個人資料。

3. 與 Red Hat OpenShift on IBM Cloud 服務建立信任關係。

   1. 在「選取信任的實體類型」區段中，按一下「運算資源」。
   2. 在建立信任關係下，選擇 Red Hat OpenShift.
   3. 選取所有服務資源。 然後，新增一個條件，當 Namespace 等於 kube-system 時，允許存取。
      • 您可以選擇帳戶中存在的特定資源。

4. 按一下建立。

5. 僅 VPC。 將存取政策新增至受信任的設定檔。

   1. 從受信任的設定檔頁面，按一下您剛剛建立的受信任設定檔。
   2. 在「存取權限」索引標籤中，按一下「指派存取權限」。
   3. 在「您要如何指派存取權限？」區段中，按一下存取原則。
   4. 新增服務和角色，以符合相關元件的 最低需求。 將政策套用至所有資源。

6. 僅限經典。 新增權限至受信任的設定檔。

   1. 從受信任的設定檔頁面，按一下您剛剛建立的受信任設定檔。
   2. 請切換至「經典基礎架構」分頁。
   3. 在權限的下拉式選單中，選擇所需的權限，以符合相關元件的 最低要求。

使用 API 設定受信任的設定檔

1. 建立受信任的個人資料。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. 將使用範圍的規則附加到 kube‑system 命名空間。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. 針對 VPC 群集：將存取政策附加到 VPC 元件。 這些範例指定所有儲存元件所需的最低權限。

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. 對於傳統群集：使用使用者介面將權限新增至受信任的設定檔。

   1. 登入 IBM Cloud 帳戶，並導航至 Trusted Profiles 頁面。
   2. 按一下您剛剛建立的受信任設定檔。
   3. 請切換至「經典基礎架構」分頁。
   4. 在權限的下拉式選單中，選擇所需的權限，以符合相關元件的 最低要求。