第18章 有効期間の短いトークンを使用した RHACS の統合

手順

1. 次のコマンドを実行して、EKS クラスターの IAM OpenID Connect (OIDC) プロバイダーを有効にします。

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster_name> --approve

2. EKS クラスターの IAM ロールを作成し ます。

3. ロールの権限ポリシーを編集し、統合に必要な権限を付与します。以下に例を示します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 引き受けるロールの信頼関係を更新します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role_name>" 1
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   1

   <role_name> は、前の手順で作成した新しいロールと一致している必要があります。

5. 次のコマンドを入力して、新しく作成したロールをサービスアカウントに関連付けます。

   $ oc -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role_name> 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

6. 次のコマンドを入力して Central Pod を再起動し、変更を適用します。

   $ oc -n stackrox delete pod -l "app in (central,sensor)" 1

   1

   Kubernetes を使用する場合は、oc の代わりに kubectl を入力します。

手順

1. Creating OpenID Connect (OIDC) identity providers の手順に従って、OpenShift Container Platform クラスターの Web アイデンティティーを作成します。openshift を Audience の値として使用します。
2. OpenShift Container Platform クラスターの Web アイデンティティー用の IAM ロールを作成 します。

3. ロールの権限ポリシーを編集し、統合に必要な権限を付与します。以下に例を示します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 引き受けるロールの信頼関係を更新します。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "<oidc_provider_arn>"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "<oidc_provider_name>:aud": "openshift"
                   }
               }
           }
       ]
   }

5. Central または Sensor デプロイメントで次の RHACS 環境変数を設定します。

   AWS_ROLE_ARN=<role_arn>
   AWS_WEB_IDENTITY_TOKEN_FILE=/var/run/secrets/openshift/serviceaccount/token