8.12. IAM ロールのトラブルシューティング

前提条件

• AWS アカウントがある。
• OpenShift Cluster Manager 組織で Red Hat 組織管理者特権がある。
• AWS アカウント全体のロールをインストールするために必要な権限がある。
• インストールホストに最新の ROSA CLI rosa をインストールして設定した。

手順

• 基本的な権限を持つ ocm-role IAM ロールを作成するには、次のコマンドを実行します。

  $ rosa create ocm-role

• 管理者権限を持つ ocm-role IAM ロールを作成するには、次のコマンドを実行します。

  $ rosa create ocm-role --admin

  このコマンドを使用すると、特定の属性を指定してロールを作成できます。次の出力例は、選択された "自動モード" を示しています。これにより、ROSA CLI (rosa) で Operator のロールとポリシーを作成できます。詳細は、「アカウント全体のロールの作成方法」を参照してください。以下の例は、作成フローを示しています。

  I: Creating ocm role
  ? Role prefix: ManagedOpenShift
  ? Enable admin capabilities for the OCM role (optional): No
  ? Permissions boundary ARN (optional):
  ? Role Path (optional):
  ? Role creation mode: auto
  I: Creating role using 'arn:aws:iam::<ARN>:user/<UserName>'
  ? Create the 'ManagedOpenShift-OCM-Role-182' role? Yes
  I: Created role 'ManagedOpenShift-OCM-Role-182' with ARN  'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182'
  I: Linking OCM role
  ? OCM Role ARN: arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182
  ? Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' role with organization '<AWS ARN>'? Yes
  I: Successfully linked role-arn 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' with organization account '<AWS ARN>'

  ここでは、以下のようになります。

  Role prefix

  作成されたすべての AWS リソースの接頭辞値。この例では、ManagedOpenShift がすべての AWS リソースを付加します。

  OCM ロールの管理者機能の有効化 (オプション)

  このロールに追加の管理者権限を付与するかどうかを選択します。

  注記

  --admin オプションを使用した場合、このプロンプトは表示されません。

  パーミッション境界 ARN (オプション)

  アクセス許可境界を設定するためのポリシーの Amazon Resource Name (ARN)。

  ロールのパス (オプション)

  ユーザー名の IAM パスを指定します。

  ロール作成モード

  AWS ロールの作成方法を選択します。auto を使用して、ROSA CLI はロールおよびポリシーを生成してリンクします。auto モードでは、AWS ロールを作成するためのいくつかの異なるプロンプトが表示されます。

  'ManagedOpenShift-OCM-Role-182' ロールを作成しますか？

  auto メソッドは、接頭辞を使用して特定の ocm-role を作成するかどうかを尋ねます。

  OCM Role ARN

  IAM ロールを OpenShift Cluster Manager に関連付けることを確認します。

  'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' ロールを組織 '<AWS ARN>' にリンクしますか ?

  作成したロールを AWS 組織にリンクします。

前提条件

• AWS アカウントがある。
• インストールホストに最新の ROSA CLI rosa をインストールして設定した。

手順

• 基本的な権限を持つ user-role IAM ロールを作成するには、次のコマンドを実行します。

  $ rosa create user-role

  このコマンドを使用すると、特定の属性を指定してロールを作成できます。次の出力例は、選択された「自動モード」を示しています。これにより、ROSA CLI (rosa) で Operator のロールとポリシーを作成できます。詳細は、「自動および手動のデプロイメントモードについて」を参照してください。以下の例は、作成フローを示しています。

  I: Creating User role
  ? Role prefix: ManagedOpenShift
  ? Permissions boundary ARN (optional):
  ? Role Path (optional):
  ? Role creation mode: auto
  I: Creating ocm user role using 'arn:aws:iam::2066:user'
  ? Create the 'ManagedOpenShift-User.osdocs-Role' role? Yes
  I: Created role 'ManagedOpenShift-User.osdocs-Role' with ARN 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role'
  I: Linking User role
  ? User Role ARN: arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role
  ? Link the 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' role with account '1AGE'? Yes
  I: Successfully linked role ARN 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' with account '1AGE'

  ここでは、以下のようになります。

  Role prefix

  作成されたすべての AWS リソースの接頭辞値。この例では、ManagedOpenShift がすべての AWS リソースを付加します。

  パーミッション境界 ARN (オプション)

  アクセス許可境界を設定するためのポリシーの Amazon Resource Name (ARN)。

  ロールのパス (オプション)

  ユーザー名の IAM パスを指定します。

  ロール作成モード

  AWS ロールの作成方法を選択します。auto を使用して、ROSA CLI はロールおよびポリシーを生成してリンクします。auto モードでは、AWS ロールを作成するためのいくつかの異なるプロンプトが表示されます。

  'ManagedOpenShift-User.osdocs-Role' ロールを作成しますか？

  auto メソッドは、接頭辞を使用して特定の user-role を作成するかどうかを尋ねます。

  'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' ロールをアカウント '1AGE' にリンクしますか ?

  作成したロールを AWS 組織にリンクします。

  重要

  クラスターを削除する前に user-role IAM ロールのリンクを解除または削除すると、エラーが発生してクラスターを削除できなくなります。削除プロセスを続行するには、このロールを作成または再リンクする必要があります。

前提条件

• AWS アカウントがある。
• AWS アカウント全体のロールをインストールするために必要な権限がある。詳細は、このセクションの「関連情報」を参照してください。
• インストールホストに、最新の AWS CLI (aws)および ROSA CLI をインストールして設定している。

• ocm-role および user-role IAM ロールを作成したが、まだ AWS アカウントにリンクしていない。次のコマンドを実行して、IAM ロールがすでにリンクされているかどうかを確認できます。

  $ rosa list ocm-role

  $ rosa list user-role

  両方のロールの Linked 列に Yes が表示されている場合、ロールはすでに AWS アカウントにリンクされています。

前提条件

• AWS アカウントがある。
• クラスターを作成するために OpenShift Cluster Manager を使用中である。
• AWS アカウント全体のロールをインストールするために必要な権限がある。
• インストールホストに最新の AWS CLI (aws)および ROSA コマンドラインインターフェイス(CLI) (rosa)をインストールして設定している。
• Red Hat OpenShift Service on AWS 用の ocm-role および user-role IAM ロールを作成した。

手順

• OpenShift Cluster Manager ロールを作成するときに AWS アカウントプロファイルを指定するには、以下を実行します。

  $ rosa create --profile <aws_profile> ocm-role

• ユーザーロールを作成するときに AWS アカウントプロファイルを指定するには、以下を実行します。

  $ rosa create --profile <aws_profile> user-role

• アカウントロールを作成するときに AWS アカウントプロファイルを指定するには、以下を実行します。

  $ rosa create --profile <aws_profile> account-roles

  注記

  プロファイルを指定しない場合は、デフォルトの AWS プロファイルとそれに関連付けられた AWS リージョンが使用されます。