8.3. 为 IBM Cloud 配置 IAM
在无法访问云身份和访问管理 (IAM) API 的环境中，您必须在安装集群前将 Cloud Credential Operator (CCO) 置于手动模式。
8.3.1. 在 kube-system 项目中存储管理员级别的 secret 的替代方案
Cloud Credential Operator(CCO)将云供应商凭证作为 Kubernetes 自定义资源定义(CRD)进行管理。您可以通过在 install-config.yaml 文件中为 credentialsMode 参数设置不同的值，将 CCO 配置为满足机构的安全要求。
IBM Cloud® 不支持在集群 kube-system 项目中存储管理员级别的凭证 secret；因此，您必须在安装 OpenShift Container Platform 时将 CCO 的 credentialsMode 参数设置为 Manual，并手动管理云凭证。
使用手动模式可允许每个集群组件只拥有所需的权限，而无需在集群中存储管理员级别的凭证。如果您的环境没有连接到云供应商公共 IAM 端点，您还可以使用此模式。但是，每次升级都必须手动将权限与新发行镜像协调。您还必须手动为每个请求它们的组件提供凭证。
8.3.2. 配置 Cloud Credential Operator 工具
当 Cloud Credential Operator(CCO)以手动模式运行时，要从集群外部创建和管理云凭证，提取并准备 CCO 实用程序(ccoctl)二进制文件。
ccoctl 工具是在 Linux 环境中运行的 Linux 二进制文件。
先决条件
- 您可以访问具有集群管理员权限的 OpenShift Container Platform 帐户。
-
已安装 OpenShift CLI(
oc)。
流程
运行以下命令，为 OpenShift Container Platform 发行镜像设置变量：
$ RELEASE_IMAGE=$(./openshift-install version | awk '/release image/ {print $3}')运行以下命令，从 OpenShift Container Platform 发行镜像获取 CCO 容器镜像：
$ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)
注意确保
$RELEASE_IMAGE的架构与将使用ccoctl工具的环境架构相匹配。运行以下命令，将 CCO 容器镜像中的
ccoctl二进制文件提取到 OpenShift Container Platform 发行镜像中：$ oc image extract $CCO_IMAGE \ --file="/usr/bin/ccoctl.<rhel_version>" \1 -a ~/.pull-secret- 1
- 对于
<rhel_version>，请指定与主机使用的 Red Hat Enterprise Linux (RHEL) 版本对应的值。如果没有指定值，则默认使用ccoctl.rhel8。以下值有效：-
rhel8: 为使用 RHEL 8 的主机指定这个值。 -
rhel9：为使用 RHEL 9 的主机指定这个值。
-
运行以下命令更改权限以使
ccoctl可执行：$ chmod 775 ccoctl.<rhel_version>
验证
要验证
ccoctl是否准备就绪，可以尝试显示帮助文件。运行命令时使用相对文件名，例如：$ ./ccoctl.rhel9
输出示例
OpenShift credentials provisioning tool Usage: ccoctl [command] Available Commands: aws Manage credentials objects for AWS cloud azure Manage credentials objects for Azure gcp Manage credentials objects for Google cloud help Help about any command ibmcloud Manage credentials objects for IBM Cloud nutanix Manage credentials objects for Nutanix Flags: -h, --help help for ccoctl Use "ccoctl [command] --help" for more information about a command.
