第 3 章 为 IBM Cloud 配置 IAM
在无法访问云身份和访问管理 (IAM) API 的环境中，您必须在安装集群前将 Cloud Credential Operator (CCO) 置于手动模式。
3.1. 在 kube-system 项目中存储管理员级别的 secret 的替代方案
Cloud Credential Operator(CCO)将云供应商凭证作为 Kubernetes 自定义资源定义(CRD)进行管理。您可以通过在 install-config.yaml 文件中为 credentialsMode 参数设置不同的值，将 CCO 配置为满足机构的安全要求。
IBM Cloud® 不支持在集群 kube-system 项目中存储管理员级别的凭证 secret；因此，您必须在安装 OpenShift Container Platform 时将 CCO 的 credentialsMode 参数设置为 Manual，并手动管理云凭证。
使用手动模式可允许每个集群组件只拥有所需的权限，而无需在集群中存储管理员级别的凭证。如果您的环境没有连接到云供应商公共 IAM 端点，您还可以使用此模式。但是，每次升级都必须手动将权限与新发行镜像协调。您还必须手动为每个请求它们的组件提供凭证。
