19.2. Google 워크로드 ID 페더레이션 구성

프로세스

1. GKE 용 워크로드 ID 페더레이션을 사용하려면 Google Cloud Platform 설명서의 지침을 따르십시오.

2. 다음 명령을 실행하여 RHACS 서비스 계정에 주석을 답니다.

   Copy to Clipboard Toggle word wrap

   $ oc annotate serviceaccount \ 

   1

   
       central \ 

   2

   
       --namespace stackrox \
       iam.gke.io/gcp-service-account=<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

   2

   위임된 스캔을 설정할 때 중앙 위치 대신 센서 를 사용합니다.

프로세스

1. 워크로드 ID 풀 관리의 지침에 따라 워크로드 ID 풀 을 생성합니다. 예를 들면 다음과 같습니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud iam workload-identity-pools create rhacs-pool \
       --location="global" \
       --display-name="RHACS workload pool"

2. 워크로드 ID 풀 공급자 관리 지침에 따라 워크로드 ID 풀 공급자를 생성합니다. 예를 들면 다음과 같습니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud iam workload-identity-pools providers create-oidc rhacs-provider \
       --location="global" \
       --workload-identity-pool="rhacs-pool" \
       --display-name="RHACS provider" \
       --attribute-mapping="google.subject=assertion.sub" \
       --issuer-uri="https://<oidc_configuration_url>" \
       --allowed-audiences=openshift

3. Google 서비스 계정을 워크로드 ID 풀에 연결합니다. 예를 들면 다음과 같습니다.

   Copy to Clipboard Toggle word wrap

   $ gcloud iam service-accounts add-iam-policy-binding <GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com \
       --role roles/iam.workloadIdentityUser \
       --member="principal://iam.googleapis.com/projects/<GSA_PROJECT_NUMBER>/locations/global/workloadIdentityPools/rhacs-provider/subject/system:serviceaccount:stackrox:central" 

   1

   1

   위임된 검사의 경우 제목을 system:serviceaccount:stackrox:sensor 로 설정합니다.

4. STS(보안 토큰 서비스) 구성이 포함된 서비스 계정 JSON을 생성합니다. 예를 들면 다음과 같습니다.

   Copy to Clipboard Toggle word wrap

   {
     "type": "external_account",
     "audience": "//iam.googleapis.com/projects/<GSA_PROJECT_ID>/locations/global/workloadIdentityPools/rhacs-pool/providers/rhacs-provider",
     "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
     "token_url": "https://sts.googleapis.com/v1/token",
     "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/<GSA_NAME>@<GSA_PROJECT>.iam.gserviceaccount.com:generateAccessToken",
     "credential_source": {
       "file": "/var/run/secrets/openshift/serviceaccount/token",
       "format": {
         "type": "text"
       }
     }
   }

5. 서비스 계정 JSON을 RHACS 네임스페이스에 대한 시크릿으로 사용합니다.

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: Secret
   metadata:
     name: gcp-cloud-credentials
     namespace: stackrox
   data:
     credentials: <base64_encoded_json>