第3章 RBAC の設定

手順

1. Cryostat インスタンスの作成を開始する場合は、次の手順を実行します。

   1. Red Hat OpenShift Web コンソールで、Operators > Installed Operators の順にクリックします。
   2. 使用可能な Operator のリストから、Red Hat build of Cryostat を選択します。
   3. Operator details ページで、Details タブをクリックします。
   4. Provided APIs セクションで Cryostat を選択し、Create instance をクリックします。

2. Create Cryostat パネルで、Cryostat へのすべてのクライアントアクセスに必要な SubjectAccessReview または TokenAccessReview をカスタマイズするには、次のいずれかのオプションを選択します。

   1. Form ビューを使用している場合は、以下を実行します。

      1. Form view ラジオボタンをクリックします。
      2. 追加のオプションを開くには、Advanced Configurations を展開して追加のオプションを開きます。

      3. Cryostat CR の Authorization Options > OpenShift SSO > Access Review セクションを展開します。

         図3.1 Cryostat インスタンスの Access Review プロパティー

         

      4. Cryostat へのアクセスに必要なカスタムの RBAC 設定を指定するには、次のフィールドを使用します。

         フィールド	詳細
         group	リソースの API グループ。 ワイルドカードアスタリスク (*) 値はすべてのグループを表します。
         name	get の場合は要求されるリソースの名前、delete の場合は削除されるリソースの名前。 空の値はすべての名前を表します。
         namespace	要求されているアクションの namespace。 現在、namespace なしとすべての namespace の間に区別はありません。次のガイドラインを考慮してください。 LocalSubjectAccessReviews の空の値がデフォルトで使用されます。 空の値は、クラスタースコープのリソースが存在しないことを示します。 空の値は、SubjectAccessReview または SelfSubjectAccessReview からのすべての namespace スコープのリソースを表します。
         resource	既存のリソースタイプ。 ワイルドカードのアスタリスク (*) 値は、すべてのリソースタイプを表します。
         subresource	既存のリソースタイプ。 空の値は、リソースタイプを表します。
         verb	Kubernetes リソース API 動詞 (例: get、list、watch、create、update、delete、proxy)。 ワイルドカードのアスタリスク (*) 値はすべての動詞を表します。
         version	リソースの API バージョン。 ワイルドカードのアスタリスク (*) 値は、すべてのバージョンを表します。

   2. YAML ビューを使用している場合は、以下を実行します。

      1. YAML view のラジオボタンをクリックします。

      2. spec: 要素から、authorizationOptions:OpenShiftSSO プロパティーを編集して、RBAC アクセス許可の要件に一致させます。

         RBAC パーミッションの設定例

         apiVersion: operator.cryostat.io/v1beta2
         kind: Cryostat
         metadata:
           name: cryostat-sample
           namespace: cryostat-test
         spec:
           ...
           authorizationOptions:
             openShiftSSO:
               accessReview:
                 group: <API group of resource>
                 name: <Name of resource being requested or deleted>
                 namespace: <Namespace of action being requested>
                 resource: <An existing resource type>
                 subresource: <An existig resource type>
                 verb: <A Kubernetes resource API verb>
                 version: <API version of resource>
           ...

         Copy to Clipboard

3. この Cryostat インスタンスのカスタムリソース (CR) で他のプロパティーを設定する場合は、これらのプロパティーの詳細は、このドキュメントの他のセクションを参照してください。
4. この Cryostat インスタンスの作成を終了する場合は、Create をクリックします。