第3章 Red Hat OpenShift Service on AWS クラシックアーキテクチャーの IAM ロールリソース

Red Hat OpenShift Service on AWS クラシックアーキテクチャークラスターを作成および管理するには、アカウント全体のロールがいくつか必要です。これらのロールは AWS アカウントごとに 1 回だけ作成する必要があり、クラスターごとに新たに作成する必要はありません。各ロールには 1 つ以上の AWS 管理ポリシーが割り当てられ、そのロールに必要な機能が付与されます。独自の接頭辞を指定することも、デフォルトの接頭辞 (ManagedOpenShift) を使用することもできます。

次のアカウント全体のロールが必要です。

一部のクラスター機能 (デフォルトで提供されるいくつかの機能を含む) は、Operator を使用して管理されます。これらの機能を使用するには、クラスター固有の Operator ロール (ROSA CLI の operator-roles) が必要です。このロールは、バックエンドストレージ、Ingress、レジストリーの管理などのクラスター操作を実行するために必要な一時的な権限を取得するために使用されます。この権限を取得するには、OpenID Connect (OIDC) プロバイダーを設定する必要があります。OIDC プロバイダーは、AWS Security Token Service (STS) に接続して Operator の AWS リソースへのアクセスを認証します。

Red Hat OpenShift Service on AWS クラシックアーキテクチャークラスターには、次の Operator ロールが必要です。

Web ユーザーインターフェイスの OpenShift Cluster Manager では、AWS アカウントと OpenShift Cluster Manager の間に信頼関係を作成するために、AWS アカウントに追加のロールを作成する必要があります。

この信頼関係は ocm-role AWS IAM ロールの作成と関連付けによって実現されます。このロールには、Red Hat アカウントを AWS アカウントにリンクする AWS インストーラーとの信頼ポリシーがあります。さらに、各 Web UI ユーザーを識別するための user-role AWS IAM ロールも必要です。この user-role の AWS IAM ロールにはパーミッションがありません。

OpenShift Cluster Manager を使用するには、次の AWS IAM ロールが必要です。