2.3. AWS Load Balancer Operator를 위한 AWS STS 클러스터 준비

프로세스

1. 다음 명령을 실행하여 CredentialsRequest CR(사용자 정의 리소스)을 다운로드하여 디렉터리에 저장합니다.

   $ curl --create-dirs -o <credentials_requests_dir>/operator.yaml https://raw.githubusercontent.com/openshift/aws-load-balancer-operator/main/hack/operator-credentials-request.yaml

2. 다음 명령을 실행하여 AWS IAM 역할을 생성하려면 ccoctl 유틸리티를 사용합니다.

   $ ccoctl aws create-iam-roles \
       --name <name> \
       --region=<aws_region> \
       --credentials-requests-dir=<credentials_requests_dir> \
       --identity-provider-arn <oidc_arn>

   출력 예

   2023/09/12 11:38:57 Role arn:aws:iam::777777777777:role/<name>-aws-load-balancer-operator-aws-load-balancer-operator created
   2023/09/12 11:38:57 Saved credentials configuration to: /home/user/<credentials_requests_dir>/manifests/aws-load-balancer-operator-aws-load-balancer-operator-credentials.yaml
   2023/09/12 11:38:58 Updated Role policy for Role <name>-aws-load-balancer-operator-aws-load-balancer-operator created

   다음과 같습니다.

   <name>

   arn:aws:iam::777777:role/<name>-aws-load-operator-aws-load-balancer-operator 와 같이 AWS Load Balancer Operator에 대해 생성된 AWS IAM 역할의 ARMN(Amazon Resource Name)을 지정합니다.

   참고

   AWS IAM 역할 이름의 길이는 12자 미만이어야 합니다.

프로세스

1. 다음 명령을 실행하여 ID 공급자를 사용하여 신뢰 정책 파일을 생성합니다.

   $ cat <<EOF > albo-operator-trust-policy.json
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "<oidc_arn>"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "<cluster_oidc_endpoint>:sub": "system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-operator-controller-manager"
                   }
               }
           }
       ]
   }
   EOF

   다음과 같습니다.

   <oidc_arn>

   arn:aws:iam::777777:oidc-provider/rh-oidc.s3.us-east-1.amazonaws.com/28292va7ad7mr9r4he1fb09b14t59t59t4f 와 같은 OIDC ID 공급자의 Amazon Resource Name(ARN)을 지정합니다.

   ServiceAccount

   AWS Load Balancer Controller의 서비스 계정을 지정합니다. < cluster_oidc_endpoint >의 예는 rh-oidc.s3.us-east-1.amazonaws.com/28292va7ad7mr9r4he1f09b14t59t4f 입니다.

2. 다음 명령을 실행하여 생성된 신뢰 정책으로 IAM 역할을 생성합니다.

   $ aws iam create-role --role-name albo-operator --assume-role-policy-document file://albo-operator-trust-policy.json

   출력 예

   ROLE	arn:aws:iam::<aws_account_number>:role/albo-operator	2023-08-02T12:13:22Z 

   1

   
   ASSUMEROLEPOLICYDOCUMENT	2012-10-17
   STATEMENT	sts:AssumeRoleWithWebIdentity	Allow
   STRINGEQUALS	system:serviceaccount:aws-load-balancer-operator:aws-load-balancer-controller-manager
   PRINCIPAL	arn:aws:iam:<aws_account_number>:oidc-provider/<cluster_oidc_endpoint>

   다음과 같습니다.

   <aws_account_number>

   AWS Load Balancer Operator에 대해 생성된 AWS IAM 역할의 ARN(예: arn:aws:iam::777777:role/albo-operator )을 지정합니다.

3. 다음 명령을 실행하여 AWS Load Balancer Operator에 대한 권한 정책을 다운로드합니다.

   $ curl -o albo-operator-permission-policy.json https://raw.githubusercontent.com/openshift/aws-load-balancer-operator/main/hack/operator-permission-policy.json

4. 다음 명령을 실행하여 AWS Load Balancer Controller의 권한 정책을 IAM 역할에 연결합니다.

   $ aws iam put-role-policy --role-name albo-operator --policy-name perms-policy-albo-operator --policy-document file://albo-operator-permission-policy.json