1.3.2. Amazon Elastic Container Registry を手動で設定する

手順

1. EKS クラスターの IAM OIDC プロバイダーを有効にします。

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster name> --approve

2. EKS クラスターの IAM ロールを作成し ます。

3. 新しく作成したロールをサービスアカウントに関連付けます。

   $ kubectl -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role-name>

4. セントラルを再起動して、変更を適用します。

   $ kubectl -n stackrox delete pod -l app=central

5. 必要に応じて、ロールが別のロールを引き受けることを許可するポリシーにロールを割り当てます。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": "sts:AssumeRole",
               "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 1
           }
       ]
   }

   1

   <assumerole-readonly> を引き受けたいロールに置き換えます。

6. 引き受けるロールの信頼関係を更新します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role-name>" 1
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   1

   <role-name> は、以前に作成した新しいロールと一致する必要があります。

手順

1. AssumeRole ユーザーが ECR レジストリーと同じアカウントにあるか、別のアカウントにあるかに応じて、次のいずれかを行う必要があります。

   • ロールを引き受けるユーザーが ECR レジストリーと同じアカウントにいる場合は、必要な権限で新しいロールを作成します。

     注記

     ロールを作成するときに、必要に応じて任意の信頼できるエンティティーを選択できます。ただし、作成後に変更する必要があります。

   • または、ユーザーが ECR レジストリーとは異なるアカウントにいる場合は、ECR レジストリーにアクセスし、その信頼関係を定義するためのアクセス許可を提供する必要があります。

     {
         "Version": "2012-10-17",
         "Statement": [
             {
                 "Sid": "VisualEditor0",
                 "Effect": "Allow",
                 "Action": "sts:AssumeRole",
                 "Resource": "arn:aws:iam::<ecr-registry>:role/<assumerole-readonly>" 1
             }
         ]
     }

     1

     <assumerole-readonly> を引き受けたいロールに置き換えます。

2. Principal フィールドの下にユーザー ARN を含めることにより、ロールの信頼関係を設定します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:user/<role-name>"
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

手順

1. RHACS ポータルで、Platform Configuration Integrations に移動します。
2. Image Integrations セクションで Amazon ECR を選択します。
3. New Integration をクリックします。

4. 以下のフィールドに詳細を記入します。

   1. Integration Name: 統合の名前。
   2. Registry ID: レジストリーの ID。
   3. Region: レジストリーのリージョン (例: us-west-1)。
5. IAM を使用している場合は、Use container IAM role を選択します。それ以外の場合は、Use custom IAM role ボックスの選択を解除し、Access key ID および Secret access key を入力します。

6. AssumeRole を使用している場合は、Use AssumeRole を選択し、以下のフィールドの詳細を入力します。

   1. AssumeRole ID: 引き受けるロールの ID。
   2. AssumeRole External ID (オプション): AssumeRole で外部 ID を使用している場合は、ここに入力できます。
7. Test を選択して、選択したレジストリーとの統合が機能していることをテストします。
8. Save を選択します。