Red Hat Summit8.5. Le moins d’autorisations de privilège pour les commandes ROSA CLI
Il est possible de créer des rôles avec des autorisations qui adhèrent au principe du moindre privilège, dans lequel les utilisateurs qui leur ont attribué les rôles n’ont pas d’autres autorisations qui leur sont assignées en dehors de la portée de l’action spécifique qu’ils doivent effectuer. Ces stratégies ne contiennent que les autorisations minimales requises pour effectuer des actions spécifiques en utilisant l’interface de ligne de commande (CLI) de Red Hat OpenShift Service sur AWS (ROSA).
Bien que les politiques et les commandes présentées dans ce sujet fonctionnent en conjonction, vous pourriez avoir d’autres restrictions au sein de votre environnement AWS qui rendent les politiques de ces commandes insuffisantes pour vos besoins spécifiques. Le Red Hat fournit ces exemples comme base de référence, en supposant qu’aucune autre restriction AWS Identity and Access Management (IAM) n’est présente.
Consultez AWS Identity and Access Management dans la documentation AWS pour plus d’informations sur la configuration des autorisations, des stratégies et des rôles dans la console AWS.
8.5.1. Le moins d’autorisations de privilège pour les commandes ROSA CLI courantes
Les autorisations minimales suivantes pour les commandes ROSA CLI listées s’appliquent aux clusters HCP (HCP) et Classic.
8.5.1.1. Créer un fournisseur géré OpenID Connect (OIDC)
Exécutez la commande suivante avec les autorisations spécifiées pour créer votre fournisseur OIDC géré en utilisant le mode automatique.
Entrée
$ rosa create oidc-config --mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateOidcConfig",
"Effect": "Allow",
"Action": [
"iam:TagOpenIDConnectProvider",
"iam:CreateOpenIDConnectProvider"
],
"Resource": "*"
}
]
}8.5.1.2. Créer un fournisseur OpenID Connect non géré
Exécutez la commande suivante avec les autorisations spécifiées pour créer votre fournisseur OIDC non géré en utilisant le mode automatique.
Entrée
$ rosa create oidc-config --mode auto --managed=falseLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:TagOpenIDConnectProvider",
"iam:ListRoleTags",
"iam:ListRoles",
"iam:CreateOpenIDConnectProvider",
"s3:CreateBucket",
"s3:PutObject",
"s3:PutBucketTagging",
"s3:PutBucketPolicy",
"s3:PutObjectTagging",
"s3:PutBucketPublicAccessBlock",
"secretsmanager:CreateSecret",
"secretsmanager:TagResource"
],
"Resource": "*"
}
]
}8.5.1.3. Liste des rôles de votre compte
Exécutez la commande suivante avec les autorisations spécifiées pour répertorier les rôles de votre compte.
Entrée
$ rosa list account-rolesLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ListAccountRoles",
"Effect": "Allow",
"Action": [
"iam:ListRoleTags",
"iam:ListRoles"
],
"Resource": "*"
}
]
}8.5.1.4. Liste de vos rôles d’opérateur
Exécutez la commande suivante avec les autorisations spécifiées pour répertorier vos rôles d’opérateur.
Entrée
$ rosa list operator-rolesLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ListOperatorRoles",
"Effect": "Allow",
"Action": [
"iam:ListRoleTags",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"iam:ListPolicyTags"
],
"Resource": "*"
}
]
}8.5.1.5. Liste de vos fournisseurs OIDC
Exécutez la commande suivante avec les autorisations spécifiées pour répertorier vos fournisseurs OIDC.
Entrée
$ rosa list oidc-providersLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "ListOidcProviders",
"Effect": "Allow",
"Action": [
"iam:ListOpenIDConnectProviders",
"iam:ListOpenIDConnectProviderTags"
],
"Resource": "*"
}
]
}8.5.1.6. Contrôlez votre quota
Exécutez la commande suivante avec les autorisations spécifiées pour vérifier votre quota.
Entrée
$ rosa verify quotaLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VerifyQuota",
"Effect": "Allow",
"Action": [
"elasticloadbalancing:DescribeAccountLimits",
"servicequotas:ListServiceQuotas"
],
"Resource": "*"
}
]
}8.5.1.7. Supprimez votre configuration OIDC gérée
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer votre configuration OIDC gérée en utilisant le mode automatique.
Entrée
$ rosa delete oidc-config -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DeleteOidcConfig",
"Effect": "Allow",
"Action": [
"iam:ListOpenIDConnectProviders",
"iam:DeleteOpenIDConnectProvider"
],
"Resource": "*"
}
]
}8.5.1.8. Effacer votre configuration OIDC non gérée
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer votre configuration OIDC non gérée en utilisant le mode automatique.
Entrée
$ rosa delete oidc-config -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:ListOpenIDConnectProviders",
"iam:DeleteOpenIDConnectProvider",
"secretsmanager:DeleteSecret",
"s3:ListBucket",
"s3:DeleteObject",
"s3:DeleteBucket"
],
"Resource": "*"
}
]
}8.5.2. Le moins d’autorisations de privilège pour ROSA commune avec les commandes HCP CLI
Les exemples suivants montrent les autorisations de privilèges les moins nécessaires pour les commandes ROSA CLI les plus courantes lors de la construction de ROSA avec des clusters de plans de contrôle hébergés (HCP).
8.5.2.1. Créer un cluster
Exécutez la commande suivante avec les autorisations spécifiées pour créer ROSA avec des clusters HCP.
Entrée
$ rosa create cluster --hosted-cpLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateCluster",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:ListRoleTags",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"ec2:DescribeSubnets",
"ec2:DescribeRouteTables",
"ec2:DescribeAvailabilityZones"
],
"Resource": "*"
}
]
}8.5.2.2. Créez des rôles de compte et des rôles d’opérateur
Exécutez la commande suivante avec les autorisations spécifiées pour créer des rôles de compte et d’opérateur en utilisant le mode automatique.
Entrée
$ rosa create account-roles --mode auto --hosted-cpLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateAccountRoles",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:UpdateAssumeRolePolicy",
"iam:ListRoleTags",
"iam:GetPolicy",
"iam:TagRole",
"iam:ListRoles",
"iam:CreateRole",
"iam:AttachRolePolicy",
"iam:ListPolicyTags"
],
"Resource": "*"
}
]
}8.5.2.3. Effacer les rôles de votre compte
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer les rôles de compte en mode automatique.
Entrée
$ rosa delete account-roles -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DeleteAccountRoles",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:ListInstanceProfilesForRole",
"iam:DetachRolePolicy",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"iam:DeleteRole",
"iam:ListRolePolicies"
],
"Resource": "*"
}
]
}8.5.2.4. Supprimez vos rôles d’opérateur
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer vos rôles d’opérateur en mode automatique.
Entrée
$ rosa delete operator-roles -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "DeleteOperatorRoles",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:DetachRolePolicy",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"iam:DeleteRole"
],
"Resource": "*"
}
]
}8.5.3. Le moins d’autorisations de privilège pour les commandes ROSA Classic CLI courantes
Les exemples suivants montrent les autorisations de privilèges les moins nécessaires pour les commandes ROSA CLI les plus courantes lors de la construction de clusters ROSA Classic.
8.5.3.1. Créer un cluster
Exécutez la commande suivante avec les autorisations spécifiées pour créer un cluster ROSA Classic avec le moins d’autorisations de privilège.
Entrée
$ rosa create clusterLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateCluster",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:ListRoleTags",
"iam:ListRoles"
],
"Resource": "*"
}
]
}8.5.3.2. Créer des rôles de compte et des rôles d’opérateur
Exécutez la commande suivante avec les autorisations spécifiées pour créer des rôles de compte et d’opérateur en mode 'auto'.
Entrée
$ rosa create account-roles --mode auto --classicLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "CreateAccountOperatorRoles",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:UpdateAssumeRolePolicy",
"iam:ListRoleTags",
"iam:GetPolicy",
"iam:TagRole",
"iam:ListRoles",
"iam:CreateRole",
"iam:AttachRolePolicy",
"iam:TagPolicy",
"iam:CreatePolicy",
"iam:ListPolicyTags"
],
"Resource": "*"
}
]
}8.5.3.3. Effacer les rôles de votre compte
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer les rôles de compte en mode automatique.
Entrée
$ rosa delete account-roles -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:ListInstanceProfilesForRole",
"iam:DetachRolePolicy",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"iam:DeleteRole",
"iam:ListRolePolicies",
"iam:GetPolicy",
"iam:ListPolicyVersions",
"iam:DeletePolicy"
],
"Resource": "*"
}
]
}8.5.3.4. Supprimez vos rôles d’opérateur
Exécutez la commande suivante avec les autorisations spécifiées pour supprimer les rôles Opérateur en mode automatique.
Entrée
$ rosa delete operator-roles -–mode autoLa politique
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"iam:GetRole",
"iam:ListInstanceProfilesForRole",
"iam:DetachRolePolicy",
"iam:ListAttachedRolePolicies",
"iam:ListRoles",
"iam:DeleteRole",
"iam:ListRolePolicies",
"iam:GetPolicy",
"iam:ListPolicyVersions",
"iam:DeletePolicy"
],
"Resource": "*"
}
]
}8.5.4. Commandes ROSA CLI sans autorisation requise
Les commandes ROSA CLI suivantes ne nécessitent pas d’autorisations ou de stratégies pour s’exécuter. Au lieu de cela, ils nécessitent une clé d’accès et une clé secrète configurée ou un rôle joint.
| Commande | Entrée |
|---|---|
| groupe de listes |
|
| liste des versions |
|
| décrire le cluster |
|
| créer un administrateur |
|
| liste des utilisateurs |
|
| liste des mises à jour |
|
| liste de configuration OIDC |
|
| liste des fournisseurs d’identité |
|
| liste des entrées |
|
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}