Configuration d'un profil de confiance pour les composants d'un cluster

Configurer un profil de confiance dans l'interface de programmation

Suivez les étapes pour créer et configurer un profil de confiance dans l'interface CLI.

Une fois que vous avez ajouté un profil de confiance à un cluster, il ne peut pas être supprimé et vous ne pouvez pas recommencer à utiliser une clé API pour vos ressources. Veillez à suivre attentivement ces étapes pour vous assurer que votre profil de confiance est correctement configuré.

1. Connectez-vous à l'interface de ligne de commande d'IBM Cloud.

   ibmcloud login --apikey <API_KEY> -g <RESOURCE_GROUP>
   

2. Exécutez la commande pour créer un profil de confiance. Pour obtenir une liste complète des options de commande, consultez la documentation de l'interface CLI d'IAM.

   ibmcloud iam trusted-profile-create NAME --description "Identity for storage"
   

3. Attacher une règle d'utilisation de l'étendue à l'espace de noms kube‑system. Pour obtenir une liste complète des options de commande, consultez la documentation de l'interface CLI d'IAM.

   ibmcloud iam trusted-profile-rule-create --name NAME --type Profile-CR --cr-type ROKS_SA  --conditions claim:namespace,operator:EQUALS,value:kube-system
   

4. Pour les clusters VPC: Créez et affectez des politiques d'accès au profil de confiance. Cet exemple attribue les autorisations minimales requises pour tous les composants de stockage. Pour une liste des autorisations requises pour les composants individuels uniquement, voir Exigences minimales pour les composants de stockage individuels. Indiquez le nom ou l'ID du profil de confiance auquel vous souhaitez affecter la politique. Pour obtenir une liste complète des options de commande, consultez la documentation de l'interface CLI d'IAM. Cette étape ne s'applique pas aux clusters classiques. Ajouter des politiques pour le service VPC Infrastructure.

   ibmcloud iam trusted-profile-policy-create NAME|ID  --roles Editor,Writer --service-name is
   

   Ajouter des politiques pour le service de facturation.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Editor --service-name billing
   

   Ajouter des politiques pour le service Kubernetes.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Administrator --service-name "containers-kubernetes"
   

   Ajouter des politiques pour le groupe de ressources concerné auquel le profil de confiance est appliqué. Spécifiez le groupe de ressources auquel le profil de confiance s'applique.

   ibmcloud iam trusted-profile-policy-create NAME|ID --roles Operator  --resource-type "resource-group" --resource "my-resource-group"
   

5. Pour les clusters classiques: Exécutez la commande pour ajouter les autorisations minimales requises au profil de confiance. Spécifiez l'ID utilisateur qui est créé pour le profil de confiance.

   ibmcloud oc sl user permission-edit TRUSTED_PROFILE_ID --permission NAS_MANAGE,ADD_SERVICE_STORAGE
   

6. Après avoir créé le profil de confiance et attribué les politiques d'accès requises, définissez le profil de confiance pour le cluster ou le groupe de ressources dans lequel se trouvent vos clusters. La définition du profil de confiance l'applique à vos composants de stockage.

Configurer un profil de confiance avec l'interface utilisateur

Suivez les étapes pour créer et configurer un profil de confiance dans l'interface CLI.

Une fois que vous avez ajouté un profil de confiance à un cluster, il ne peut pas être supprimé et vous ne pouvez pas recommencer à utiliser une clé API pour vos ressources. Veillez à suivre attentivement ces étapes pour vous assurer que votre profil de confiance est correctement configuré.

1. Connectez-vous à votre compte IBM Cloud et accédez à la page Profils de confiance.

2. Créez un profil sécurisé.

3. Créer une relation de confiance avec le service Red Hat OpenShift on IBM Cloud.

   1. Dans la section Sélectionner un type d'entité de confiance, cliquez sur Ressources informatiques.
   2. Sous Créer une relation de confiance, sélectionnez Red Hat OpenShift.
   3. Sélectionnez toutes les ressources de service. Ajoutez ensuite une condition pour autoriser l'accès lorsque Namespace est égal à kube-system.
      • Note : Vous pouvez choisir des ressources spécifiques qui existent dans votre compte.

4. Cliquez sur Créer.

5. VPC uniquement. Ajouter des stratégies d'accès au profil de confiance.

   1. Dans la page Profils de confiance, cliquez sur le profil de confiance que vous venez de créer.
   2. Dans l'onglet Accès, cliquez sur Attribuer l'accès.
   3. Dans la section Comment voulez-vous attribuer l'accès? cliquez sur Politique d'accès.
   4. Ajoutez les services et les rôles pour répondre aux exigences minimales des composants concernés. Appliquer la politique à toutes les ressources.

6. Classique uniquement. Ajouter des autorisations au profil de confiance.

   1. Dans la page Profils de confiance, cliquez sur le profil de confiance que vous venez de créer.
   2. Accédez à l'onglet Infrastructure classique.
   3. Dans le menu déroulant des autorisations, sélectionnez les autorisations nécessaires pour répondre aux exigences minimales des composants concernés.

Établir un profil de confiance avec l'API

1. Créez un profil sécurisé.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles \
   --header 'Content-Type: application/json' \
   --data '{
       "name":"<PROFILE_NAME>",
       "account_id":"<ACCOUNT_ID>"
   }'
   

2. Attacher une règle d'utilisation de l'étendue à l'espace de noms kube‑system.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/profiles/<PROFILE_NAME>/rules \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "Profile-CR",
       "cr_type":"ROKS_SA",
       "conditions": [
           {
               "claim": "namespace",
               "operator": "EQUALS",
               "value": "\"kube-system\""
           }
       ]
   }'
   

3. Pour les clusters VPC: Attachez des politiques d'accès aux composants VPC. Ces exemples attribuent les autorisations minimales requises pour tous les composants de stockage.

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Writer, Operator role for VPC infrastructure services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::serviceRole:Writer"
           },
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "is"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{
       "type": "access",
       "description": "Editor role for billing services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Editor"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "billing"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "description": "Administrator role for containers-kubernetes services",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Administrator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "serviceName",
                       "value": "containers-kubernetes"
                   }
               ]
           }
       ]
   }'
   

   curl --request POST \
   --url https://iam.cloud.ibm.com/v1/policies \
   --header 'Content-Type: application/json' \
   --data '{	
       "type": "access",
       "subjects": [
           {
               "attributes": [
                   {
                       "name": "iam_id",
                       "value": "<IAM_PROFILE>"
                   }
               ]
           }
       ],
       "roles": [
           {
               "role_id": "crn:v1:bluemix:public:iam::::role:Operator"
           }
       ],
       "resources": [
           {
               "attributes": [
                   {
                       "name": "accountId",
                       "value": "<ACCOUNT_ID>"
                   },
                   {
                       "name": "resource",
                       "value": "<RESOURCE_GROUP_ID>"
                   },
                   {
                       "name": "resourceType",
                       "value": "resource-group"
                   },
               ]
           }
       ]
   }
   

4. Pour les clusters classiques: Ajoutez des autorisations au profil de confiance à l'aide de l'interface utilisateur.

   1. Connectez-vous à votre compte IBM Cloud et accédez à la page Profils de confiance.
   2. Cliquez sur le profil de confiance que vous venez de créer.
   3. Accédez à l'onglet Infrastructure classique.
   4. Dans le menu déroulant des autorisations, sélectionnez les autorisations nécessaires pour répondre aux exigences minimales des composants concernés.