Red Hat Summit Red Hat SummitSupportConsoleDéveloppeursCommencer un essaiContact

3.4. Groupe de référence du rôle de l’opérateur IAM

Cette section fournit des détails sur les rôles IAM d’opérateur requis pour les déploiements de Red Hat OpenShift Service sur AWS (ROSA) qui utilisent STS. Les opérateurs de cluster utilisent les rôles d’opérateur pour obtenir les autorisations temporaires requises pour effectuer des opérations de cluster, telles que la gestion du stockage back-end, les informations d’identification des fournisseurs de cloud et l’accès externe à un cluster.

Lorsque vous créez les rôles d’opérateur, les stratégies d’opérateur à l’échelle du compte pour la version du cluster de correspondance sont attachées aux rôles. Les politiques de l’opérateur sont marquées avec l’opérateur et la version avec laquelle elles sont compatibles. La stratégie correcte pour un rôle d’opérateur est déterminée à l’aide des balises.

Note

Lorsque plus d’une stratégie de correspondance est disponible dans votre compte pour un rôle d’opérateur, une liste interactive d’options est fournie lorsque vous créez l’opérateur.

Expand
Tableau 3.14. Les rôles d’opérateur spécifiques au groupe ROSA
A) RessourcesDescription

<cluster_name>-<hash>-openshift-cluster-csi-drivers-ebs-cloud-credentials

Le rôle IAM requis par ROSA pour gérer le stockage back-end via l’interface de stockage de conteneurs (CSI).

<cluster_name>-<hash>-openshift-machine-api-aws-cloud-credentials

Le rôle IAM requis par l’opérateur de configuration de machine ROSA pour exécuter les fonctionnalités de cluster de base.

<cluster_name>-<hash>-openshift-cloud-credential-operator-cloud-credentials

Le rôle IAM requis par l’opérateur d’identification en nuage ROSA pour gérer les informations d’identification des fournisseurs de cloud.

<cluster_name>-<hash>-openshift-cloud-network-config-controller-credentials

Le rôle IAM requis par le contrôleur de configuration du réseau cloud pour gérer la configuration du réseau cloud pour un cluster.

<cluster_name>-<hash>-openshift-image-registry-installer-cloud-credentials

Le rôle IAM requis par l’opérateur de registre d’images ROSA pour gérer le stockage du registre d’images OpenShift dans AWS S3 pour un cluster.

<cluster_name>-<hash>-openshift-ingress-operator-cloud-credentials

Le rôle d’IAM requis par l’opérateur ROSA Ingress pour gérer l’accès externe à un cluster.

<cluster_name>-<hash>-openshift-cloud-network-config-controller-cloud-credentials

Le rôle IAM requis par le contrôleur de configuration du réseau cloud pour gérer les informations d’identification réseau cloud pour un cluster.

3.4.1. Le rôle de l’opérateur IAM référence AWS CLI
Copier lien

Cette section répertorie les commandes aws CLI qui sont affichées dans le terminal lorsque vous exécutez la commande rosa suivante en mode manuel: 

$ rosa create operator-roles --mode manual --cluster <cluster_name>
Copy to Clipboard Toggle word wrap
Note

Lorsque vous utilisez le mode manuel, les commandes aws sont imprimées sur le terminal pour votre examen. Après avoir examiné les commandes aws, vous devez les exécuter manuellement. Alternativement, vous pouvez spécifier --mode auto avec la commande rosa créer pour exécuter les commandes aws immédiatement.

Commande de sortie

aws iam create-role \
	--role-name <cluster_name>-<hash>-openshift-cluster-csi-drivers-ebs-cloud-credent \
	--assume-role-policy-document file://operator_cluster_csi_drivers_ebs_cloud_credentials_policy.json \
	--tags Key=rosa_cluster_id,Value=<id> Key=rosa_openshift_version,Value=<openshift_version> Key=rosa_role_prefix,Value= Key=operator_namespace,Value=openshift-cluster-csi-drivers Key=operator_name,Value=ebs-cloud-credentials

aws iam attach-role-policy \
	--role-name <cluster_name>-<hash>-openshift-cluster-csi-drivers-ebs-cloud-credent \
	--policy-arn arn:aws:iam::<aws_account_id>:policy/ManagedOpenShift-openshift-cluster-csi-drivers-ebs-cloud-credent

aws iam create-role \
	--role-name <cluster_name>-<hash>-openshift-machine-api-aws-cloud-credentials \
	--assume-role-policy-document file://operator_machine_api_aws_cloud_credentials_policy.json \
	--tags Key=rosa_cluster_id,Value=<id> Key=rosa_openshift_version,Value=<openshift_version> Key=rosa_role_prefix,Value= Key=operator_namespace,Value=openshift-machine-api Key=operator_name,Value=aws-cloud-credentials

aws iam attach-role-policy \
	--role-name <cluster_name>-<hash>-openshift-machine-api-aws-cloud-credentials \
	--policy-arn arn:aws:iam::<aws_account_id>:policy/ManagedOpenShift-openshift-machine-api-aws-cloud-credentials

aws iam create-role \
	--role-name <cluster_name>-<hash>-openshift-cloud-credential-operator-cloud-crede \
	--assume-role-policy-document file://operator_cloud_credential_operator_cloud_credential_operator_iam_ro_creds_policy.json \
	--tags Key=rosa_cluster_id,Value=<id> Key=rosa_openshift_version,Value=<openshift_version> Key=rosa_role_prefix,Value= Key=operator_namespace,Value=openshift-cloud-credential-operator Key=operator_name,Value=cloud-credential-operator-iam-ro-creds

aws iam attach-role-policy \
	--role-name <cluster_name>-<hash>-openshift-cloud-credential-operator-cloud-crede \
	--policy-arn arn:aws:iam::<aws_account_id>:policy/ManagedOpenShift-openshift-cloud-credential-operator-cloud-crede

aws iam create-role \
	--role-name <cluster_name>-<hash>-openshift-image-registry-installer-cloud-creden \
	--assume-role-policy-document file://operator_image_registry_installer_cloud_credentials_policy.json \
	--tags Key=rosa_cluster_id,Value=<id> Key=rosa_openshift_version,Value=<openshift_version> Key=rosa_role_prefix,Value= Key=operator_namespace,Value=openshift-image-registry Key=operator_name,Value=installer-cloud-credentials

aws iam attach-role-policy \
	--role-name <cluster_name>-<hash>-openshift-image-registry-installer-cloud-creden \
	--policy-arn arn:aws:iam::<aws_account_id>:policy/ManagedOpenShift-openshift-image-registry-installer-cloud-creden

aws iam create-role \
	--role-name <cluster_name>-<hash>-openshift-ingress-operator-cloud-credentials \
	--assume-role-policy-document file://operator_ingress_operator_cloud_credentials_policy.json \
	--tags Key=rosa_cluster_id,Value=<id> Key=rosa_openshift_version,Value=<openshift_version> Key=rosa_role_prefix,Value= Key=operator_namespace,Value=openshift-ingress-operator Key=operator_name,Value=cloud-credentials

aws iam attach-role-policy \
	--role-name <cluster_name>-<hash>-openshift-ingress-operator-cloud-credentials \
	--policy-arn arn:aws:iam::<aws_account_id>:policy/ManagedOpenShift-openshift-ingress-operator-cloud-credentials
Copy to Clipboard Toggle word wrap

Note

Les exemples de commandes fournis dans le tableau incluent les rôles d’opérateur qui utilisent le préfixe ManagedOpenShift. Lorsque vous avez défini un préfixe personnalisé lorsque vous avez créé les rôles et stratégies à l’échelle du compte, y compris les stratégies d’opérateur, vous devez y faire référence en utilisant l’option --prefix &lt;prefix_name&gt; lorsque vous créez les rôles Opérateur.

Chaque cluster Red Hat OpenShift Service sur AWS (ROSA) qui utilise le service de jetons de sécurité AWS (STS) nécessite des rôles IAM d’opérateur spécifiques à un cluster.

Les noms de rôles de l’opérateur sont préfixés par défaut avec le nom du cluster et un hachage aléatoire à 4 chiffres. À titre d’exemple, le rôle IAM de Cloud Credential Operator pour un cluster nommé mycluster a le nom par défaut mycluster-&lt;hash&gt;-openshift-cloud-credential-operator-cloud-credentials, où &lt;hash&gt; est une chaîne aléatoire à 4 chiffres.

Cette convention de nommage par défaut vous permet d’identifier facilement les rôles d’opérateur IAM pour un cluster dans votre compte AWS.

Lorsque vous créez les rôles Opérateur pour un cluster, vous pouvez éventuellement spécifier un préfixe personnalisé à utiliser au lieu de &lt;cluster_name&gt;-&lt;hash&gt;. En utilisant un préfixe personnalisé, vous pouvez prédépender des identifiants logiques à vos noms de rôle Opérateur pour répondre aux exigences de votre environnement. À titre d’exemple, vous pouvez préfixer le nom du cluster et le type d’environnement, comme mycluster-dev. Dans cet exemple, le nom de rôle de Cloud Credential Operator avec le préfixe personnalisé est mycluster-dev-openshift-cloud-credential-operator-cloud-credenti.

Note

Les noms des rôles sont tronqués à 64 caractères.

Retour au début
Red Hat logoGithubredditYoutubeTwitter

Apprendre

Essayez, achetez et vendez

Communautés

À propos de la documentation Red Hat

Nous aidons les utilisateurs de Red Hat à innover et à atteindre leurs objectifs grâce à nos produits et services avec un contenu auquel ils peuvent faire confiance. Découvrez nos récentes mises à jour.

Rendre l’open source plus inclusif

Red Hat s'engage à remplacer le langage problématique dans notre code, notre documentation et nos propriétés Web. Pour plus de détails, consultez le Blog Red Hat.

À propos de Red Hat

Nous proposons des solutions renforcées qui facilitent le travail des entreprises sur plusieurs plates-formes et environnements, du centre de données central à la périphérie du réseau.

Theme

© 2025 Red Hat