第 3 章 为 AWS 手动创建 IAM
在无法访问云身份和访问管理（IAM）API 的环境中，或者管理员更不希望将管理员级别的凭证 secret 存储在集群 kube-system 命名空间中时，可以在安装前将 Cloud Credential Operator（CCO）放入手动模式。
3.1. 在 kube-system 项目中存储管理员级别的 secret 的替代方案
Cloud Credential Operator(CCO)将云供应商凭证作为 Kubernetes 自定义资源定义(CRD)进行管理。您可以通过在 install-config.yaml 文件中为 credentialsMode 参数设置不同的值，将 CCO 配置为满足机构的安全要求。
如果您不希望在集群 kube-system 项目中存储管理员级别的凭证 secret，您可以在安装 OpenShift Container Platform 时选择以下选项之一：
使用 Amazon Web Services 安全令牌服务 ：
您可以使用 CCO 实用程序（
ccoctl）将集群配置为使用 Amazon Web Services 安全令牌服务（AWS STS）。当 CCO 工具用于为 STS 配置集群时，它会分配 IAM 角色，为组件提供短期、有限权限的安全凭证。注意此凭证策略只支持新的 OpenShift Container Platform 集群，且必须在安装过程中进行配置。您无法重新配置使用不同凭证策略的现有集群，以使用此功能。
手动管理云凭证：
您可以将 CCO
的 credentialsMode参数设置为Manual以手动管理云凭证。使用手动模式可允许每个集群组件只拥有所需的权限，而无需在集群中存储管理员级别的凭证。如果您的环境没有连接到云供应商公共 IAM 端点，您还可以使用此模式。但是，每次升级都必须手动将权限与新发行镜像协调。您还必须手动为每个请求它们的组件提供凭证。使用 mint 模式安装 OpenShift Container Platform 后删除管理员级别的凭证 secret ：
如果您使用 CCO，并将
credentialsMode参数设置为Mint，您可以在安装 OpenShift Container Platform 后删除或轮转管理员级别的凭证。Mint 模式是 CCO 的默认配置。这个选项需要在安装过程中存在管理员级别的凭证。在安装过程中使用管理员级别的凭证来最小化授予某些权限的其他凭证。原始凭证 secret 不会永久存储在集群中。
在非 z-stream 升级前，您必须使用管理员级别的凭证重新恢复凭证 secret。如果没有凭证，则可能会阻止升级。
其他资源
-
要了解如何使用 CCO 实用程序 (
ccoctl) 将 CCO 配置为使用 AWS STS，请参阅使用 STS 使用手动模式。
- 要了解如何在安装 OpenShift Container Platform 后轮转或删除管理员级别的凭证 secret，请参阅轮转或删除云供应商凭证。
- 有关所有可用 CCO 凭证模式及其支持的平台的详细信息，请参阅关于 Cloud Credential Operator。
