第5章 Red Hat OpenShift Service on AWS クラスターの共有 VPC の設定

手順

1. AWS コンソールの VPC セクション で、仕様に合わせて VPC を作成または変更します。必ず正しいリージョンを選択してください。

2. Route 53 role を作成します。

   注記

   Route 53 role は、Amazon Route 53 ホストゾーン (ステップ 3 で作成) を作成する予定のアカウントと同じアカウントに作成する必要があります。たとえば、VPC を一元管理しているアカウントにホストゾーンを作成する場合は、VPC 所有者 アカウントに Route 53 role を作成する必要があります。ワークロードアカウントにホストゾーンを作成する場合は、クラスター作成者 アカウントに Route 53 role を作成する必要があります。

   1. ロールを引き受ける権限を付与するカスタム信頼ポリシーファイルを作成します。

      $ cat <<EOF > /tmp/route53-role.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<Account-ID>:root"  

      1

      
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      EOF

      Copy to Clipboard Toggle word wrap

      1

      信頼ポリシーのプリンシパルのスコープは、root ではなく、Ingress Operator ロールとインストーラーアカウントロールに縮小することもできます。

   2. AWS 管理ポリシー ROSASharedVPCRoute53Policy 用の IAM ロールを作成します。

      $ aws iam create-role --role-name <role_name> \  

      1

      
          --assume-role-policy-document file:///tmp/route53-role.json

      Copy to Clipboard Toggle word wrap

      1

      <role_name> は、作成するロールの名前に置き換えます。

   3. 必要な共有 VPC 権限を許可するために、AWS 管理ポリシー ROSASharedVPCRoute53Policy をアタッチします。

      $ aws iam attach-role-policy --role-name <role_name> \  

      1

      
      --policy-arn arn:aws:iam::aws:policy/ROSASharedVPCRoute53Policy

      Copy to Clipboard Toggle word wrap

      1

      <role_name> は、作成したロールの名前に置き換えます。

3. VPC endpoint role を作成します。

   1. ロールを引き受ける権限を付与するカスタム信頼ポリシーファイルを作成します。

      $ cat <<EOF > /tmp/shared-vpc-role.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<Account-ID>:root"  

      1

      
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      EOF

      Copy to Clipboard Toggle word wrap

      1

      信頼ポリシーのプリンシパルのスコープは、root ではなく、Ingress Operator ロールとインストーラーアカウントロールに縮小することもできます。

   2. AWS 管理ポリシー ROSASharedVPCEndpointPolicy 用の IAM ロールを作成します。

      $ aws iam create-role --role-name <role_name> \  

      1

      
          --assume-role-policy-document file:///tmp/vpce-role.json

      Copy to Clipboard Toggle word wrap

      1

      <role_name> は、作成するロールの名前に置き換えます。

   3. 必要な共有 VPC 権限を許可するために、AWS 管理ポリシー ROSASharedVPCEndpointPolicy をアタッチします。

      $ aws iam attach-role-policy --role-name <role_name> \  

      1

      
      --policy-arn arn:aws:iam::aws:policy/ROSASharedVPCEndpointPolicy

      Copy to Clipboard Toggle word wrap

      1

      <role_name> は、作成したロールの名前に置き換えます。

4. 設定を続行するために、Route 53 role ARN と VPC endpoint role ARN を クラスター作成者 に提供します。