19장. 수명이 짧은 토큰을 사용하여 RHACS 통합

프로세스

1. 다음 명령을 실행하여 EKS 클러스터의 IAM OpenID Connect(OIDC) 공급자를 활성화합니다.

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster_name> --approve

2. EKS 클러스터에 대한 IAM 역할을 생성합니다.

3. 역할의 권한 정책을 편집하고 통합에 필요한 권한을 부여합니다. 예를 들면 다음과 같습니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 가정할 역할의 신뢰 관계를 업데이트합니다.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role_name>" 1
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   1

   & lt;role_name >은 이전 단계에서 생성한 새 역할과 일치해야 합니다.

5. 다음 명령을 입력하여 새로 생성된 역할을 서비스 계정과 연결합니다.

   $ oc -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role_name> 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

6. 다음 명령을 입력하여 중앙 pod를 다시 시작하고 변경 사항을 적용합니다.

   $ oc -n stackrox delete pod -l "app in (central,sensor)" 1

   1

   Kubernetes를 사용하는 경우 oc 대신 kubectl 을 입력합니다.

프로세스

1. OIDC(OpenID Connect) ID 공급자 생성 지침에 따라 OpenShift Container Platform 클러스터의 웹 ID를 생성합니다. Audience 의 값으로 openshift 를 사용합니다.
2. OpenShift Container Platform 클러스터의 웹 ID에 대한 IAM 역할을 생성합니다.

3. 역할의 권한 정책을 편집하고 통합에 필요한 권한을 부여합니다. 예를 들면 다음과 같습니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

4. 가정할 역할의 신뢰 관계를 업데이트합니다.

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "<oidc_provider_arn>"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "<oidc_provider_name>:aud": "openshift"
                   }
               }
           }
       ]
   }

5. 중앙 또는 센서 배포에서 다음 RHACS 환경 변수를 설정합니다.

   AWS_ROLE_ARN=<role_arn>
   AWS_WEB_IDENTITY_TOKEN_FILE=/var/run/secrets/openshift/serviceaccount/token