第3章 必要な IAM ロールとリソース

Red Hat OpenShift Service on AWS クラスターを作成および管理するには、アカウント全体のロールがいくつか必要です。これらのロールは AWS アカウントごとに 1 回だけ作成する必要があり、クラスターごとに新たに作成する必要はありません。各ロールには 1 つ以上の AWS 管理ポリシーが割り当てられ、そのロールに必要な機能が付与されます。独自の接頭辞を指定することも、デフォルトの接頭辞 (ManagedOpenShift) を使用することもできます。

Red Hat OpenShift Service on AWS クラスターの場合、次のアカウント全体のロールを作成し、記載されている AWS 管理ポリシーをアタッチする必要があります。

一部のクラスター機能 (デフォルトで提供されるいくつかの機能を含む) は、Operator を使用して管理されます。これらの機能を使用するには、クラスター固有の Operator ロール (ROSA CLI の operator-roles) が必要です。このロールは、バックエンドストレージ、Ingress、レジストリーの管理などのクラスター操作を実行するために必要な一時的な権限を取得するために使用されます。この権限を取得するには、OpenID Connect (OIDC) プロバイダーを設定する必要があります。OIDC プロバイダーは、AWS Security Token Service (STS) に接続して Operator の AWS リソースへのアクセスを認証します。

Red Hat OpenShift Service on AWS クラスターの場合、次の Operator ロールを作成し、記載されている AWS 管理ポリシーをアタッチする必要があります。

rosa create operator-role コマンドを使用して Operator ロールを作成すると、作成したロールに、<cluster_name>-<hash>-<role_name> というパターンを使用して名前が付けられます (例: test-abc1-kube-system-control-plane-operator)。クラスター名が 15 文字を超える場合、ロール名は切り捨てられます。

Web ユーザーインターフェイスの OpenShift Cluster Manager では、AWS アカウントと OpenShift Cluster Manager の間に信頼関係を作成するために、AWS アカウントに追加のロールを作成する必要があります。

この信頼関係は ocm-role AWS IAM ロールの作成と関連付けによって実現されます。このロールには、Red Hat アカウントを AWS アカウントにリンクする AWS インストーラーとの信頼ポリシーがあります。さらに、各 Web UI ユーザーを識別するための user-role AWS IAM ロールも必要です。この user-role の AWS IAM ロールにはパーミッションがありません。

OpenShift Cluster Manager を使用するには、次の AWS IAM ロールが必要です。