5.3. Red Hat 版 Karpenter 用の AWS IAM ロールを準備する

手順

1. 最新の Red Hat 版 Karpenter IAM ポリシーをダウンロードしてください。

   $ curl -o autonode-policy.json https://raw.githubusercontent.com/openshift/managed-cluster-config/refs/heads/master/resources/sts/hypershift/openshift_hcp_karpenter_controller_credentials_policy.json

2. クラスター名と ID を環境変数にエクスポートします。

   $ export CLUSTER_NAME=<cluster_name>
   $ export CLUSTER_ID=$(rosa describe cluster -c "$CLUSTER_NAME" -o json | jq -r '.id')
   $ echo $CLUSTER_NAME $CLUSTER_ID

3. IAM ポリシーを作成します。

   $ POLICY_ARN=$(aws iam create-policy \
     --policy-name rosa-karpenter-controller-role-${CLUSTER_NAME} \
     --policy-document file://autonode-policy.json \
     --query 'Policy.Arn' \
     --output text)

4. Karpenter サービスアカウントの信頼ポリシーを作成します。

   $ cat > trust-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):oidc-provider/$(rosa describe cluster -c $CLUSTER_NAME -o json | jq -r .aws.sts.oidc_endpoint_url | sed 's|https://||')"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "$(rosa describe cluster -c $CLUSTER_NAME -o json | jq -r .aws.sts.oidc_endpoint_url | sed 's|https://||'):sub": "system:serviceaccount:kube-system:karpenter"
                   }
               }
           }
       ]
   }
   EOF

5. IAM ロールを作成し、ポリシーをアタッチします。

   $ ROLE_ARN=$(aws iam create-role \
     --role-name rosa-karpenter-controller-role-${CLUSTER_NAME} \
     --assume-role-policy-document file://trust-policy.json \
     --query 'Role.Arn' \
     --output text)
   
   $ aws iam attach-role-policy \
     --role-name rosa-karpenter-controller-role-${CLUSTER_NAME} \
     --policy-arn $POLICY_ARN

   検証

   以下のコマンドを実行して、ポリシーが存在することを確認します。