Red Hat Summit3장. AWS 클래식 아키텍처 IAM 역할 리소스에 대한 Red Hat OpenShift Service
AWS 클래식 아키텍처 클러스터에서 Red Hat OpenShift Service를 생성하고 관리하려면 AWS 계정에 여러 역할 리소스를 생성해야 합니다.
3.1. 필수 역할 개요
AWS 클래식 아키텍처 클러스터에서 Red Hat OpenShift Service를 생성하고 관리하려면 계정 전체 및 클러스터 전체 역할을 여러 개 생성해야 합니다. OpenShift Cluster Manager를 사용하여 클러스터를 생성하거나 관리하려면 몇 가지 추가 역할이 필요합니다.
- 클러스터 생성 및 관리
AWS 클래식 아키텍처 클러스터에서 Red Hat OpenShift Service를 생성하고 관리하려면 계정 전체 역할이 여러 개 필요합니다. 이러한 역할은 AWS 계정당 한 번만 생성해야 하며 각 클러스터에 대해 새로 생성할 필요가 없습니다. 하나 이상의 AWS 관리 정책이 각 역할에 연결되어 해당 역할에 필요한 기능을 부여합니다. 자체 접두사를 지정하거나 기본 접두사(
ManagedOpenShift)를 사용할 수 있습니다.참고역할 이름은 AWS IAM에서 최대 64자로 제한됩니다. 클러스터의 사용자 지정 접두사가 20자를 초과하면 AWS IAM에서 이 64자 최대값을 관찰하도록 역할 이름이 잘립니다.
다음 계정 전체 역할이 필요합니다.
-
<prefix>-Worker-Role -
<prefix>-Support-Role -
<prefix>-Installer-Role -
<prefix>-ControlPlane-Role
참고역할 생성은 AWS 액세스 또는 시크릿 키를 요청하지 않습니다. AWS STS(Security Token Service)는 이 워크플로를 기반으로 사용됩니다. AWS STS는 제한된 임시 인증 정보를 사용하여 인증을 제공합니다.
-
- Operator 관리 클러스터 기능 사용
기본적으로 제공되는 여러 기능을 포함한 일부 클러스터 기능은 Operator를 사용하여 관리합니다. 이러한 기능을 사용하려면 클러스터별 Operator 역할( ROSA CLI의
operator-roles)이 필요합니다. 이러한 역할은 백엔드 스토리지, 인그레스 및 레지스트리 관리와 같은 클러스터 작업을 수행하는 데 필요한 임시 권한을 가져오는 데 사용됩니다. 이러한 권한을 얻으려면 AWS 리소스에 대한 Operator 액세스를 인증하기 위해 AWS STS(보안 토큰 서비스)에 연결하는 OpenID Connect(OIDC) 공급자를 구성해야 합니다.AWS 클래식 아키텍처 클러스터의 Red Hat OpenShift Service에는 다음 Operator 역할이 필요합니다.
-
openshift-cluster-csi-drivers-ebs-cloud-credentials -
openshift-cloud-network-config-controller-cloud-credentials -
openshift-machine-api-aws-cloud-credentials -
openshift-cloud-credential-operator-cloud-credentials -
openshift-image-registry-installer-cloud-credentials -
openshift-ingress-operator-cloud-credentials
-
rosa create operator-role 명령을 사용하여 Operator 역할을 생성할 때 생성된 역할은 < cluster_name>-<hash>-<role_name > 패턴을 사용하여 이름이 지정됩니다(예: test-abc1-kube-system-control-plane-operator ). 클러스터 이름이 15자를 초과하면 역할 이름이 잘립니다.
- OpenShift Cluster Manager 사용
웹 사용자 인터페이스인 OpenShift Cluster Manager를 사용하려면 AWS 계정과 OpenShift Cluster Manager 간의 신뢰 관계를 생성하기 위해 AWS 계정에 추가 역할을 생성해야 합니다.
이 신뢰 관계는
ocm-roleAWS IAM 역할의 생성 및 연결을 통해 수행됩니다. 이 역할에는 Red Hat 계정을 AWS 계정에 연결하는 AWS 설치 프로그램과의 신뢰 정책이 있습니다. 또한 이러한 사용자를 식별하는 데 사용되는 각 웹 UI 사용자에 대해user-roleAWS IAM 역할도 필요합니다. 이user-roleAWS IAM 역할에는 권한이 없습니다.OpenShift Cluster Manager를 사용하려면 다음 AWS IAM 역할이 필요합니다.
-
OCM-role -
user-role
-
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}