第6章 ROSA クラスターの共有 VPC の設定

手順

1. AWS コンソールの VPC セクション で、仕様に合わせて VPC を作成または変更します。

2. SharedVPCPolicy という 名前を使用する必要な共有 VPC 権限を許可するカスタムポリシーファイルを作成します。

   $ cat <<EOF > /tmp/shared-vpc-policy.json
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "route53:ChangeResourceRecordSets",
                   "route53:ListHostedZones",
                   "route53:ListHostedZonesByName",
                   "route53:ListResourceRecordSets",
                   "route53:ChangeTagsForResource",
                   "route53:GetAccountLimit",
                   "route53:GetChange",
                   "route53:GetHostedZone",
                   "route53:ListTagsForResource",
                   "route53:UpdateHostedZoneComment",
                   "tag:GetResources",
                   "tag:UntagResources"
               ],
               "Resource": "*"
           }
       ]
   }
   EOF

3. AWS でポリシーを作成します。

   $ aws iam create-policy \
       --policy-name SharedVPCPolicy \
       --policy-document file:///tmp/shared-vpc-policy.json

   このポリシーを、共有 VPC 権限に必要なロールに割り当てます。

4. ロールを引き受けるパーミッションを付与するカスタム信頼ポリシーファイルを作成します。

   $ cat <<EOF > /tmp/shared-vpc-role.json
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::<Account-ID>:root"  1
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   EOF

   1

   Cluster Creator が必要なクラスターロールを作成した後、プリンシパルのスコープを減らして設定されます。作成時に、クラスター作成者 の AWS アカウント ID を arn:aws:iam::{Account}:root として使用して、root ユーザープレースホルダーを作成する必要があります。

5. IAM ロールを作成します。

   $ aws iam create-role --role-name <role_name> \  1
       --assume-role-policy-document file:///tmp/shared-vpc-role.json

   1

   <role_name> は、作成するロールの名前に置き換えます。

6. カスタムの SharedVPCPolicy パーミッションポリシーを割り当てます。

   $ aws iam attach-role-policy --role-name <role_name> --policy-arn \  1
       arn:aws:iam::<AWS_account_ID>:policy/SharedVPCPolicy  2

   1

   <role_name> は、作成したロールの名前に置き換えます。

   2

   <AWS_account_ID> は、VPC Owner の AWS アカウント ID に置き換えます。

7. SharedVPCRole ARN を Cluster Creator に指定して、設定を続行します。