Acciones y roles de IAM

Red Hat OpenShift on IBM Cloud está configurado para utilizar las funciones de IBM Cloud® Identity and Access Management para determinar las acciones que los usuarios pueden realizar en los clústeres de Red Hat OpenShift on IBM Cloud, los nodos trabajadores y los equilibradores de carga de aplicaciones (ALB) de Ingress.

Revise la tabla siguiente para obtener una lista de los roles de plataforma y servicio y sus acciones asociadas.

Para obtener una lista de todos los servicios de IBM y sus funciones y acciones asociadas, consulte Funciones y acciones de IAM. Para obtener más información sobre cómo configurar la cuenta y los recursos, consulte prácticas recomendadas para organizar usuarios, equipos y aplicaciones.

Roles de acceso de plataforma: Con los roles de acceso a la plataforma, los usuarios pueden gestionar recursos como clústeres, agrupaciones de nodos trabajadores, nodos trabajadores y complementos. Algunas acciones de ejemplo que están permitidas por los roles de acceso a la plataforma son crear o eliminar clústeres, enlazar servicios a un clúster, gestionar recursos de red y de almacenamiento o añadir nodos trabajadores adicionales. Puede establecer las políticas para estos roles por grupo de recursos, región o instancia de clúster. No se puede limitar el ámbito del rol de acceso de plataforma por espacio de nombres dentro de un clúster. Los roles de acceso de plataforma no otorgan acceso a la API de Kubernetes para gestionar recursos dentro del clúster, como pods, espacios de nombres o servicios de Kubernetes.
Roles de acceso al servicio: Utilice los roles de acceso al servicio para otorgar a los usuarios acceso para gestionar los recursos de Kubernetes dentro de los clústeres de Red Hat OpenShift on IBM Cloud. Los roles de acceso a los servicios se sincronizan con los « Kubernetes Políticas de RBAC » correspondientes en un clúster. Por lo tanto, los roles de acceso al servicio conceden acceso a la API de Kubernetes, al panel de control y a la CLI (oc). Entre las acciones permitidas por los roles de acceso al servicio se incluyen la creación de implementaciones de aplicaciones, la adición de espacios de nombres o la configuración de mapas de configuración. Puede limitar la política a roles de acceso al servicio por grupo de recursos, por región o por instancia del clúster. Además, también puede definir el ámbito de los roles de acceso al servicio en los espacios de nombres de Kubernetes que están en todos los clústeres, clústeres individuales o clústeres de una región específica.

Permisos para crear un clúster

Revise los permisos siguientes que necesita para crear un clúster, incluidos los permisos necesarios para otras integraciones y servicios que puede utilizar.

Roles de IAM necesarios para crear un clúster.
Servicio o grupo de recursos	Rol	Ámbito	¿Obligatorio?
Kubernetes Service	Rol de acceso a plataforma de administrador -Rol de acceso a servicio de Escritor o Gestor	El grupo de recursos donde desea crear un clúster.	Sí
Container Registry	Rol de acceso a la plataforma de administrador.	Una instancia individual o todas las instancias. No limite las políticas para IBM Cloud Container Registry a nivel de grupo de recursos.	Sí
IBM Cloud Object Storage	Rol de acceso a la plataforma de administrador	Una instancia individual o todas las instancias.	Sí
Secrets Manager	Rol de acceso a plataforma de administrador o Editor -Rol de acceso a servicio de Gestor	Todos los grupos de recursos	Necesario si tiene previsto utilizar Secrets Manager para el cifrado.
Permisos de
grupo de recursos	Rol de acceso a la plataforma de visualización	El grupo de recursos donde desea crear un clúster.	Sí
IAM Identity Service	Creador de ID de servicio Creador de clave de API de usuario rol -Rol de acceso a plataforma de Visor	El grupo de recursos donde desea crear un clúster.	Sí
Key Protect	Rol de acceso a la plataforma de administrador.	Todas las instancias o la instancia específica que desea utilizar.	Necesario si tiene previsto utilizar Key Protect para el cifrado.
Hyper Protect Crypto Services	Rol de acceso a la plataforma de administrador.	Todas las instancias o la instancia específica que desea utilizar.	Necesario si tiene previsto utilizar Hyper Protect Crypto Services para el cifrado.
Infraestructura clásica	Rol Superusuario. Para obtener más información, consulte Roles de infraestructura clásica.	N/D	Sí
Infraestructura de VPC	Rol de acceso a la plataforma de administración para la infraestructura de VPC.	Todas las instancias o la instancia específica que desea utilizar.	Sí

Considere la posibilidad de guardar los permisos descritos en la tabla anterior como un rol de IAM personalizado. De esta forma, puede asignar usuarios al rol personalizado en lugar de asignar cada servicio individual. Para obtener más información, consulte los siguientes roles personalizados de ejemplo o la documentación de IAM para Creación de roles personalizados.

Roles de IAM personalizados de ejemplo

La siguiente tabla muestra ejemplos de casos de uso y los roles de IAM correspondientes. Puede utilizar estos ejemplos o crear sus propios roles personalizados. Para obtener más información, consulte Creación de roles personalizados.

Los tipos de roles que puede asignar para que cumplan distintos casos de uso.
Rol personalizado de ejemplo	Permisos
Auditor de apps	Rol de acceso de «Viewer» a la plataforma para un clúster, una región o un grupo de recursos. Rol de acceso de «Reader» al servicio para un clúster, una región o un grupo de recursos.
Desarrolladores de apps	-Rol de acceso de plataforma de editor para un clúster. -Rol de acceso de servicio de escritor con ámbito en un espacio de nombres.
Facturación	Rol de acceso a la plataforma de visualización para un clúster, una región o un grupo de recursos.
Administrador de clústeres	-Rol de acceso a la plataforma Administrador para un clúster. -Rol de acceso al servicio Gestor para todo el clúster (sin ámbito en un espacio de nombres).
Operador de DevOps	-rol de acceso a la plataforma Operador para un clúster. -rol de acceso al servicio de Escritor para todo el clúster (sin ámbito en un espacio de nombres).
Operador o ingeniero de fiabilidad del sitio	Rol de acceso de administrador a la plataforma para un clúster, una región o un grupo de recursos. Rol de acceso de lector al servicio para un clúster o una región. Rol de acceso de administrador al servicio para todos los espacios de nombres de clústeres, a fin de poder utilizar comandos `kubectl top nodes,pods`.

Roles de infraestructura clásica

Un usuario con el rol de acceso «Super User» para la infraestructura configura la clave API para una región y un grupo de recursos, de modo que se puedan llevar a cabo acciones relacionadas con la infraestructura.

Las acciones relacionadas con la infraestructura que pueden realizar otros usuarios de la cuenta se autorizan a través de los roles de acceso de la plataforma IAM de IBM Cloud.

Utiliza la siguiente tabla para personalizar los permisos de la infraestructura clásica únicamente cuando no puedas asignar el rol de «Superusuario» al usuario que configura la clave API. Para ver instrucciones para asignar permisos, consulte Personalización de permisos de la infraestructura.

Permisos de infraestructura clásica necesarios

Tabla 1: Permisos necesarios de la infraestructura clásica
Permiso	Descripción
Gestión remota de IPMI	Gestionar nodos trabajadores.
Añadir servidor	Añadir nodos trabajadores. Nota: para los nodos trabajadores que tienen direcciones IP públicas, también necesita el permiso Añadir sistema con puerto de red pública en la categoría Red.
Cancelar servidor	Suprimir nodos trabajadores.
Kernel de rescate y de recarga de sistema operativo	Actualizar, rearrancar y volver a cargar los nodos trabajadores.
Ver detalles de servidor virtual	Obligatorio si el clúster tiene nodos trabajadores de máquina virtual. Crear una lista y obtener detalles de los nodos trabajadores de la VM.
Ver detalles de hardware	Obligatorio si el clúster tiene nodos trabajadores nativos. Crear una lista y obtener detalles de los nodos trabajadores nativos.
Añadir caso de soporte	Como parte de la automatización de la creación del clúster, se abren casos de soporte para suministrar la infraestructura del clúster.
Editar caso de soporte	Como parte de la automatización de la creación del clúster, se actualizan casos de soporte para suministrar la infraestructura del clúster.
Ver caso de soporte	Como parte de la automatización de la creación del clúster, se utilizan casos de soporte para suministrar la infraestructura del clúster.

Permisos de infraestructura clásica sugeridos

Tabla 2: Permisos sugeridos de la infraestructura clásica
Permiso	Descripción
Acceso automático a servidor virtual	Acceda a todos los nodos de trabajador.
Acceso automático a servidor nativo	Designar el acceso a todos los nodos trabajadores nativos. Sin este permiso, es posible que un usuario que crea un clúster no pueda ver los nodos trabajadores nativos de otro clúster incluso si el usuario tiene acceso de IAM a ambos clústeres.
Añadir sistema con puerto de red pública	Permitir que los nodos trabajadores tengan un puerto que pueda ser accesible en la red pública.
Gestionar DNS	Configurar las redes públicas de Ingress y del equilibrador de carga para exponer apps.
Editar nombre de host/dominio	Configurar las redes públicas de Ingress y del equilibrador de carga para exponer apps.
Añadir direcciones IP	Añadir direcciones IP a subredes públicas o privadas que se utilizan para el equilibrio de carga de clústeres.
Gestionar rutas de subred de la red	Gestionar las VLAN públicas y privadas y las subredes que se utilizan para el equilibrio de carga de clúster.
Gestionar control de puertos	Gestionar puertos que se utilizan para el equilibrio de carga de apps.
Gestionar certificados (SSL)	Configurar los certificados que se utilizan para el equilibrio de carga de clúster.
Ver certificados (SSL)	Configurar los certificados que se utilizan para el equilibrio de carga de clúster.
Añadir/actualizar almacenamiento (capa de almacenamiento)	Crear instancias de almacenamiento File o Block (archivo o bloque) de IBM Cloud para adjuntar como volúmenes a sus apps como almacén persistente de datos.
Gestión de almacenamiento	Gestionar instancias de almacenamiento File o Block (archivo o bloque) de IBM Cloud que están conectadas como volúmenes a sus apps como almacén persistente de datos.