第6章 IAM リソースについて

前提条件

• AWS アカウントがある。
• OpenShift Cluster Manager 組織で Red Hat 組織管理者特権がある。
• AWS アカウント全体のロールをインストールするために必要な権限がある。
• インストールホストに最新の ROSA CLI rosa をインストールして設定した。

手順

• 必要な ocm-role IAM リソースを作成するには、以下のいずれかのコマンドを実行してください。

  重要

  ocm-role IAM リソースプロファイルを変更するには、現在の ocm-role IAM リソースのリンクを解除して削除し、必要なプロファイルを持つ新しいリソースを作成する必要があります。

  • 標準特権を持つ ocm-role IAM ロールを作成するには、次のコマンドを実行します。

    $ rosa create ocm-role

  • 管理者特権を持つ ocm-role IAM ロールを作成するには、次のコマンドを実行します。

    重要

    管理者プロファイルは、OIDC 設定と Operator ロールを自動的にプロビジョニングする Red Hat OpenShift Service on AWS クラスターの自動モード設定をサポートしています。この自動フローを実現するために、このプロファイルは標準プロファイルよりも幅広い権限セットを備えています。

    $ rosa create ocm-role --admin

    このコマンドを使用すると、特定の属性を指定してロールを作成できます。次の出力例は、選択された "自動モード" を示しています。これにより、ROSA CLI (rosa) で Operator のロールとポリシーを作成できます。詳細は、「アカウント全体のロールの作成方法」を参照してください。以下の例は、作成フローがどのようなものになるかを示しています。

    I: Creating ocm role
    ? Role prefix: ManagedOpenShift
    ? Enable admin capabilities for the OCM role (optional): No
    ? Permissions boundary ARN (optional):
    ? Role Path (optional):
    ? Role creation mode: auto
    I: Creating role using 'arn:aws:iam::<ARN>:user/<UserName>'
    ? Create the 'ManagedOpenShift-OCM-Role-182' role? Yes
    I: Created role 'ManagedOpenShift-OCM-Role-182' with ARN  'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182'
    I: Linking OCM role
    ? OCM Role ARN: arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182
    ? Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' role with organization '<AWS ARN>'? Yes
    I: Successfully linked role-arn 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' with organization account '<AWS ARN>'

    ここでは、以下のようになります。

    Role prefix

    作成されたすべての AWS リソースの接頭辞値。この例では、ManagedOpenShift がすべての AWS リソースを付加します。

    OCM ロールの管理者機能の有効化 (オプション)

    このロールに追加の管理者権限を付与するかどうかを選択します。

    注記

    --admin オプションを使用した場合、このプロンプトは表示されません。

    パーミッション境界 ARN (オプション)

    アクセス許可境界を設定するためのポリシーの Amazon Resource Name (ARN)。

    ロールのパス (オプション)

    ユーザー名の IAM パスを指定します。

    ロール作成モード

    AWS ロールの作成方法を選択します。auto を使用すると、ROSA CLI はロールとポリシーを生成してリンクします。auto モードでは、AWS ロールを作成するためのいくつかの異なるプロンプトが表示されます。

    Create the 'ManagedOpenShift-OCM-Role-182' role?

    自動 方式では、プレフィックスを使用して特定の OCM ロール を作成するかどうかを尋ねられます。

    OCM Role ARN

    IAM ロールを OpenShift Cluster Manager に関連付けることを確認します。

    Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' role with organization '<AWS ARN>'?

    作成したロールを AWS 組織にリンクします。

  • 必要最低限の特権を持つ ocm-role IAM ロールを作成するには、次のコマンドを実行します。

    注記

    コンソールなし プロファイルは、Red Hat OpenShift Service on AWS クラスターを作成するために必要な最小限の権限ポリシーを提供しますが、OpenShift Cluster Manager を 使用してクラスターを作成する場合は、権限が不十分です。

    $ rosa create ocm-role --no-console