8.12. IAM 角色故障排除

前提条件

• 您有一个 AWS 帐户。
• 在 OpenShift Cluster Manager 组织中具有红帽机构管理员权限。
• 您有安装 AWS 范围的角色所需的权限。
• 您已在安装主机上安装和配置了最新的 ROSA CLI rosa。

流程

• 要使用基本权限创建 ocm-role IAM 角色，请运行以下命令：

  $ rosa create ocm-role

• 要使用 admin 权限创建 ocm-role IAM 角色，请运行以下命令：

  $ rosa create ocm-role --admin

  此命令允许您通过指定特定属性来创建角色。以下示例输出显示选择了"自动模式"，它允许 ROSA CLI (rosa)创建 Operator 角色和策略。如需更多信息，请参阅"集群范围的角色创建"。以下示例显示了您的创建流程可能是什么样子。

  I: Creating ocm role
  ? Role prefix: ManagedOpenShift
  ? Enable admin capabilities for the OCM role (optional): No
  ? Permissions boundary ARN (optional):
  ? Role Path (optional):
  ? Role creation mode: auto
  I: Creating role using 'arn:aws:iam::<ARN>:user/<UserName>'
  ? Create the 'ManagedOpenShift-OCM-Role-182' role? Yes
  I: Created role 'ManagedOpenShift-OCM-Role-182' with ARN  'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182'
  I: Linking OCM role
  ? OCM Role ARN: arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182
  ? Link the 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' role with organization '<AWS ARN>'? Yes
  I: Successfully linked role-arn 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' with organization account '<AWS ARN>'

  其中：

  角色前缀

  所有创建的 AWS 资源的前缀值。在本例中，ManagedOpenShift 会预先填充所有 AWS 资源。

  为 OCM 角色启用管理功能（可选）

  如果您希望此角色具有额外的 admin 权限，请选择。

  注意

  如果使用 --admin 选项，则不会显示此提示。

  权限边界 ARN （可选）

  用于设置权限边界的策略的 Amazon 资源名称 (ARN)。

  角色路径（可选）

  指定用户名的 IAM 路径。

  角色创建模式

  选择创建 AWS 角色的方法。使用 auto 时，ROSA CLI 生成并链接角色和策略。在 auto 模式中，您收到一些不同的提示来创建 AWS 角色。

  创建 'ManagedOpenShift-OCM-Role-182' 角色？

  auto 方法询问您是否要使用您的前缀创建特定的 ocm-role。

  OCM 角色 ARN

  确认您要将 IAM 角色与 OpenShift Cluster Manager 关联。

  使用机构 '<AWS ARN>' 链接 'arn:aws:iam::<ARN>:role/ManagedOpenShift-OCM-Role-182' 角色？

  将创建的角色与 AWS 组织相关联。

前提条件

• 您有一个 AWS 帐户。
• 您已在安装主机上安装和配置了最新的 ROSA CLI rosa。

流程

• 要使用基本权限创建 user-role IAM 角色，请运行以下命令：

  $ rosa create user-role

  此命令允许您通过指定特定属性来创建角色。以下示例输出显示选择了"自动模式"，它允许 ROSA CLI (rosa)创建 Operator 角色和策略。如需更多信息，请参阅"了解自动和手动部署模式"。以下示例显示了您的创建流程可能是什么样子。

  I: Creating User role
  ? Role prefix: ManagedOpenShift
  ? Permissions boundary ARN (optional):
  ? Role Path (optional):
  ? Role creation mode: auto
  I: Creating ocm user role using 'arn:aws:iam::2066:user'
  ? Create the 'ManagedOpenShift-User.osdocs-Role' role? Yes
  I: Created role 'ManagedOpenShift-User.osdocs-Role' with ARN 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role'
  I: Linking User role
  ? User Role ARN: arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role
  ? Link the 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' role with account '1AGE'? Yes
  I: Successfully linked role ARN 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' with account '1AGE'

  其中：

  角色前缀

  所有创建的 AWS 资源的前缀值。在本例中，ManagedOpenShift 会预先填充所有 AWS 资源。

  权限边界 ARN （可选）

  用于设置权限边界的策略的 Amazon 资源名称 (ARN)。

  角色路径（可选）

  指定用户名的 IAM 路径。

  角色创建模式

  选择创建 AWS 角色的方法。使用 auto 时，ROSA CLI 生成并链接角色和策略。在 auto 模式中，您收到一些不同的提示来创建 AWS 角色。

  创建 'ManagedOpenShift-User.osdocs-Role' 角色？

  auto 方法询问您是否要使用您的前缀创建特定的 user-role。

  使用帐户 '1AGE' 链接 'arn:aws:iam::2066:role/ManagedOpenShift-User.osdocs-Role' 角色？

  将创建的角色与 AWS 组织相关联。

  重要

  如果在删除集群前取消链接或删除 user-role IAM 角色，则会阻止删除集群。您必须创建或重新链接此角色，才能继续删除过程。

前提条件

• 您有一个 AWS 帐户。
• 您有安装 AWS 范围的角色所需的权限。如需更多信息，请参阅本节的"附加资源"。
• 您已在安装主机上安装和配置了最新的 AWS CLI (aws)和 ROSA CLI。

• 您已创建了 ocm-role 和 user-role IAM 角色，但还没有将它们链接到 AWS 帐户。您可以运行以下命令来检查您的 IAM 角色是否已链接：

  $ rosa list ocm-role

  $ rosa list user-role

  如果这两个角色的 Linked 列中显示了 Yes，您已将角色链接到 AWS 帐户。

前提条件

• 您有一个 AWS 帐户。
• 您可以使用 OpenShift Cluster Manager 创建集群。
• 您有安装 AWS 范围的角色所需的权限。
• 您已在安装主机上安装和配置了最新的 AWS CLI (aws)和 ROSA 命令行界面(CLI) (rosa)。
• 您已为 Red Hat OpenShift Service on AWS 创建了 ocm-role 和 user-role IAM 角色。

流程

• 在创建 OpenShift Cluster Manager 角色时指定 AWS 帐户配置集：

  $ rosa create --profile <aws_profile> ocm-role

• 在创建用户角色时指定 AWS 帐户配置集：

  $ rosa create --profile <aws_profile> user-role

• 在创建帐户角色时指定 AWS 帐户配置集：

  $ rosa create --profile <aws_profile> account-roles

  注意

  如果没有指定配置集，则使用默认 AWS 配置集及其关联的 AWS 区域。