10.3. 删除集群范围的 IAM 资源

流程

1. 删除集群范围的角色：

   1. 使用 ROSA CLI 列出 AWS 帐户中的系统范围角色 (rosa)：

      $ rosa list account-roles

      Copy to Clipboard Toggle word wrap

      输出示例

      I: Fetching account roles
      ROLE NAME                           ROLE TYPE      ROLE ARN                                                           OPENSHIFT VERSION
      ManagedOpenShift-ControlPlane-Role  Control plane  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-ControlPlane-Role  4.19
      ManagedOpenShift-Installer-Role     Installer      arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Installer-Role     4.19
      ManagedOpenShift-Support-Role       Support        arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Support-Role       4.19
      ManagedOpenShift-Worker-Role        Worker         arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-Worker-Role        4.19

      Copy to Clipboard Toggle word wrap

1. 删除集群范围的角色：

   $ rosa delete account-roles --prefix <prefix> --mode auto 

   1

   Copy to Clipboard Toggle word wrap

   1

   您必须包含 --<prefix> 参数。将 <prefix> 替换为要删除的集群范围角色前缀。如果您在创建集群范围的角色时没有指定自定义前缀，请指定默认前缀 ManagedOpenShift。

   重要

   帐户范围的 IAM 角色可供同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

   输出示例

   W: There are no classic account roles to be deleted
   I: Deleting hosted CP account roles
   ? Delete the account role 'delete-rosa-HCP-ROSA-Installer-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Installer-Role'
   ? Delete the account role 'delete-rosa-HCP-ROSA-Support-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Support-Role'
   ? Delete the account role 'delete-rosa-HCP-ROSA-Worker-Role'? Yes
   I: Deleting account role 'delete-rosa-HCP-ROSA-Worker-Role'
   I: Successfully deleted the hosted CP account roles

   Copy to Clipboard Toggle word wrap

   1. 删除集群范围的和 Operator 策略：

2. 在 AWS IAM 控制台中的 Policies 页面中，根据您在创建帐户范围角色和策略时指定的前缀过滤策略列表。

   注意

   如果您在创建集群范围的角色时没有指定自定义前缀，请搜索默认前缀 ManagedOpenShift。

3. 使用 AWS IAM 控制台删除集群范围的策略和 Operator 策略。有关使用 AWS IAM 控制台删除 IAM 策略的更多信息，请参阅 AWS 文档中的删除 IAM 策略。

   重要

   帐户范围的和 Operator IAM 策略可供同一 AWS 帐户中使用带有 HCP 集群的 ROSA （类）ROSA。只有角色不再被其他集群需要时，才删除这些资源。

流程

1. 从红帽机构取消链接 OpenShift Cluster Manager IAM 角色并删除角色：

   1. 列出 AWS 帐户中的 OpenShift Cluster Manager IAM 角色：

      $ rosa list ocm-roles

      Copy to Clipboard Toggle word wrap

      输出示例

      I: Fetching ocm roles
      ROLE NAME                                                     ROLE ARN                                                                                         LINKED  ADMIN  AWS Managed
      ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  Yes      Yes     Yes

      Copy to Clipboard Toggle word wrap

   2. 如果您的 OpenShift Cluster Manager IAM 角色在上一命令的输出中被列为链接，请运行以下命令来取消链接红帽机构中的角色：

      $ rosa unlink ocm-role --role-arn <arn> 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 <arn > 替换为 OpenShift Cluster Manager IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 的格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id >。

      输出示例

      I: Unlinking OCM role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role from organization '<red_hat_organization_id>'? Yes
      I: Successfully unlinked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' from organization account '<red_hat_organization_id>'

      Copy to Clipboard Toggle word wrap

   3. 删除 OpenShift Cluster Manager IAM 角色和策略：

      $ rosa delete ocm-role --role-arn <arn>

      Copy to Clipboard Toggle word wrap

      输出示例

      I: Deleting OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Delete 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' ocm role? Yes
      ? OCM role deletion mode: auto 

      1

      
      I: Successfully deleted the OCM role

      Copy to Clipboard Toggle word wrap

      1

      指定删除模式。您可以使用 auto 模式自动删除 OpenShift Cluster Manager IAM 角色和策略。在手动模式中，ROSA CLI 生成删除角色和策略所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。

2. 从您的红帽机构中取消链接用户 IAM 角色并删除角色：

   1. 列出 AWS 帐户中的用户 IAM 角色：

      $ rosa list user-roles

      Copy to Clipboard Toggle word wrap

      输出示例

      I: Fetching user roles
      ROLE NAME                                  ROLE ARN                                                                  LINKED
      ManagedOpenShift-User-<ocm_user_name>-Role  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role  Yes

      Copy to Clipboard Toggle word wrap

   2. 如果您的用户 IAM 角色在上一命令的输出中被列为链接，请取消链接您的红帽机构中的角色：

      $ rosa unlink user-role --role-arn <arn> 

      1

      Copy to Clipboard Toggle word wrap

      1

      将 <arn > 替换为您的用户 IAM 角色的 Amazon Resource Name (ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role。

      输出示例

      I: Unlinking user role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the current account '<ocm_user_account_id>'? Yes
      I: Successfully unlinked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' from account '<ocm_user_account_id>'

      Copy to Clipboard Toggle word wrap

   3. 删除用户 IAM 角色：

      $ rosa delete user-role --role-arn <arn>

      Copy to Clipboard Toggle word wrap

      输出示例

      I: Deleting user role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role
      ? Delete the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the AWS account? Yes
      ? User role deletion mode: auto 

      1

      
      I: Successfully deleted the user role

      Copy to Clipboard Toggle word wrap

      1

      指定删除模式。您可以使用 auto 模式自动删除用户 IAM 角色。在手动模式中，ROSA CLI 生成删除角色所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。