2.5. IAM ポリシーと AWS 認証

手順

1. コンピュートマシンの既のロールを使用して compute.platform.aws.iamRole を更新します。

   コンピュートインスタンスの IAM ロールを含む install-config.yaml ファイルのサンプル

   compute:
   - hyperthreading: Enabled
     name: worker
     platform:
       aws:
         iamRole: ExampleRole

2. コントロールプレーンマシンの既存ロールを使用して controlPlane.platform.aws.iamRole を更新します。

   コントロールプレーンインスタンスの IAM ロールを含む install-config.yaml ファイルのサンプル

   controlPlane:
     hyperthreading: Enabled
     name: master
     platform:
       aws:
         iamRole: ExampleRole

3. ファイルを保存し、OpenShift Container Platform クラスターのインストール時に参照します。

1. CloudTrail が有効になっていることを確認します。CloudTrail は、ポリシーテンプレートの作成に必要な API 呼び出しを含め、AWS アカウントのすべてのアクションとイベントを記録します。詳細は、CloudTrail の操作 に関する AWS ドキュメントを参照してください。
2. コントロールプレーンインスタンスのインスタンスプロファイルとコンピューティングインスタンスのインスタンスプロファイルを作成します。PowerUserAccess などの寛容なポリシーを各ロールに割り当ててください。詳細は、インスタンスプロファイルロールの作成 に関する AWS ドキュメントを参照してください。
3. クラスターを開発環境にインストールし、必要に応じて設定します。クラスターが本番環境でホストするすべてのアプリケーションを必ずデプロイしてください。
4. クラスターを徹底的にテストします。クラスターをテストすると、必要なすべての API 呼び出しがログに記録されることが保証されます。
5. IAM Access Analyzer を使用して、各インスタンスプロファイルのポリシーテンプレートを作成します。詳細は、CloudTrail ログに基づいてポリシーを生成する ための AWS ドキュメントを参照してください。
6. きめ細かいポリシーを作成し、各インスタンスプロファイルに追加します。
7. 各インスタンスプロファイルから許容ポリシーを削除します。
8. 新しいポリシーで既存のインスタンスプロファイルを使用して実稼働クラスターをデプロイします。