第 19 章 使用简短令牌集成 RHACS

流程

1. 运行以下命令，为您的 EKS 集群启用 IAM OpenID Connect (OIDC)供应商：

   $ eksctl utils associate-iam-oidc-provider --cluster <cluster_name> --approve

   Copy to Clipboard Toggle word wrap
2. 为您的 EKS 集群创建一个 IAM 角色。

3. 编辑角色的权限策略，并授予集成所需的权限。例如：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

4. 更新您要假定的角色的信任关系：

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "AWS": [
             "arn:aws:iam::<ecr-registry>:role/<role_name>" 

   1

   
           ]
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   1

   & lt;role_name > 应该与您在前面步骤中创建的新角色匹配。

5. 输入以下命令将新创建的角色与服务帐户关联：

   $ oc -n stackrox annotate sa central eks.amazonaws.com/role-arn=arn:aws:iam::67890:role/<role_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

6. 输入以下命令重启 Central pod 并应用更改：

   $ oc -n stackrox delete pod -l "app in (central,sensor)" 

   1

   Copy to Clipboard Toggle word wrap

   1

   如果使用 Kubernetes，请输入 kubectl 而不是 oc。

流程

1. 按照 创建 OpenID Connect (OIDC)身份提供程序 中的说明来创建 OpenShift Container Platform 集群的 Web 身份。使用 openshift 作为 Audience 的值。
2. 为 OpenShift Container Platform 集群的 Web 身份 创建一个 IAM 角色。

3. 编辑角色的权限策略，并授予集成所需的权限。例如：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "VisualEditor0",
               "Effect": "Allow",
               "Action": [
                   "ecr:BatchCheckLayerAvailability",
                   "ecr:BatchGetImage",
                   "ecr:DescribeImages",
                   "ecr:DescribeRepositories",
                   "ecr:GetAuthorizationToken",
                   "ecr:GetDownloadUrlForLayer",
                   "ecr:ListImages"
               ],
               "Resource": "arn:aws:iam::<ecr_registry>:role/<role_name>"
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

4. 更新您要假定的角色的信任关系：

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "<oidc_provider_arn>"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "<oidc_provider_name>:aud": "openshift"
                   }
               }
           }
       ]
   }

   Copy to Clipboard Toggle word wrap

5. 在 Central 或 Sensor 部署中设置以下 RHACS 环境变量：

   AWS_ROLE_ARN=<role_arn>
   AWS_WEB_IDENTITY_TOKEN_FILE=/var/run/secrets/openshift/serviceaccount/token

   Copy to Clipboard Toggle word wrap