第 6 章 为 ROSA 集群配置共享 VPC

流程

1. 在 AWS 控制台的 VPC 部分中，创建或修改 VPC 部分的 VPC。

2. 创建一个自定义策略文件，以允许使用名称 SharedVPCPolicy 的必要共享 VPC 权限：

   $ cat <<EOF > /tmp/shared-vpc-policy.json
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "route53:ChangeResourceRecordSets",
                   "route53:ListHostedZones",
                   "route53:ListHostedZonesByName",
                   "route53:ListResourceRecordSets",
                   "route53:ChangeTagsForResource",
                   "route53:GetAccountLimit",
                   "route53:GetChange",
                   "route53:GetHostedZone",
                   "route53:ListTagsForResource",
                   "route53:UpdateHostedZoneComment",
                   "tag:GetResources",
                   "tag:UntagResources"
               ],
               "Resource": "*"
           }
       ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

3. 在 AWS 中创建策略：

   $ aws iam create-policy \
       --policy-name SharedVPCPolicy \
       --policy-document file:///tmp/shared-vpc-policy.json

   Copy to Clipboard Toggle word wrap

   您可以将此策略附加到共享 VPC 权限所需的角色。

4. 创建自定义信任策略文件，授予授予角色的权限：

   $ cat <<EOF > /tmp/shared-vpc-role.json
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "AWS": "arn:aws:iam::<Account-ID>:root"  

   1

   
               },
               "Action": "sts:AssumeRole"
           }
       ]
   }
   EOF

   Copy to Clipboard Toggle word wrap

   1

   主体将在 Cluster Creator 创建必要的集群角色后被限定。在创建时，您必须使用 Cluster Creator 的 AWS 帐户 ID 作为 arn:aws:iam::{Account}:root 来创建 root 用户占位符。

5. 创建 IAM 角色：

   $ aws iam create-role --role-name <role_name> \  

   1

   
       --assume-role-policy-document file:///tmp/shared-vpc-role.json

   Copy to Clipboard Toggle word wrap

   1

   将 < role_name > 替换为您要创建的角色的名称。

6. 附加自定义 SharedVPCPolicy 权限策略：

   $ aws iam attach-role-policy --role-name <role_name> --policy-arn \  

   1

   
       arn:aws:iam::<AWS_account_ID>:policy/SharedVPCPolicy  

   2

   Copy to Clipboard Toggle word wrap

   1

   将 <role_name > 替换为您创建的角色的名称。

   2

   将 <AWS_account_ID > 替换为 VPC 所有者的 AWS 帐户 ID。

7. 为 Cluster Creator 提供 SharedVPCRole ARN 以继续配置。