3.2.8.6. 创建 IAM 角色和策略

流程

1. 检索和验证 JWT 令牌。

   Example

   [root@host01 ~]# curl -k -q -L -X POST
   "https://keycloak-sso.apps.example.com/auth/realms/ceph/protocol/openid-connect/
   token" \
   -H 'Content-Type: application/x-www-form-urlencoded' \
   --data-urlencode 'client_id=ceph' \
   --data-urlencode 'grant_type=password' \
   --data-urlencode 'client_secret=XXXXXXXXXXXXXXXXXXXXXXX' \
   --data-urlencode 'scope=openid' \
   --data-urlencode "username=SSOUSERNAME" \
   --data-urlencode "password=SSOPASSWORD"

2. 验证令牌。

   Example

   [root@host01 ~]# cat check_token.sh
   USERNAME=$1
   PASSWORD=$2
   KC_CLIENT="ceph"
   KC_CLIENT_SECRET="7sQXqyMSzHIeMcSALoKaljB6sNIBDRjU"
   KC_ACCESS_TOKEN="$(./get_web_token.sh $USERNAME $PASSWORD | jq -r '.access_token')"
   KC_SERVER="https://keycloak-sso.apps.ocp.stg.local"
   KC_CONTEXT="auth"
   KC_REALM="ceph"
   curl -k -s -q \
   -X POST \
   -u "$KC_CLIENT:$KC_CLIENT_SECRET" \
   -d "token=$KC_ACCESS_TOKEN" \
   "$KC_SERVER/$KC_CONTEXT/realms/$KC_REALM/protocol/openid-connect/token/introspect" | jq .
   
   
   [root@host01 ~]# ./check_token.sh s3admin passw0rd | jq .sub
   "ceph"

   在本例中，token 中的子字段使用 jq 过滤器，并设置为 ceph。

3. 创建包含角色属性的 JSON 文件。将 声明 设置为 Allow，将 Action 设置为 AssumeRoleWithWebIdentity。允许使用与 sub:ceph 匹配的条件访问具有 JWT 令牌的任何用户。

   Example

   [root@host01 ~]# cat role-rgwadmins.json
   {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Federated": [
            "arn:aws:iam:::oidc-provider/keycloak-sso.apps.example.com/auth/realms/ceph"
          ]
        },
        "Action": [
          "sts:AssumeRoleWithWebIdentity"
        ],
        "Condition": {
          "StringLike": { "keycloak-sso.apps.example.com/auth/realms/ceph:sub":"ceph" }
        }
      }
    ]
   }

4. 使用 JSON 文件创建 Ceph 对象网关角色。

   Example

   [root@host01 ~]# radosgw-admin role create --role-name rgwadmins \
   --assume-role-policy-doc=$(jq -rc . /root/role-rgwadmins.json)