2.5. IAM 策略和 AWS 身份验证

流程

1. 使用计算机器的现有角色更新 compute.platform.aws.iamRole。

   带有计算实例的 IAM 角色的 install-config.yaml 文件示例

   compute:
   - hyperthreading: Enabled
     name: worker
     platform:
       aws:
         iamRole: ExampleRole

2. 使用 control plane 机器的现有角色更新 controlPlane.platform.aws.iamRole。

   带有 control plane 实例的 IAM 角色的 install-config.yaml 文件示例

   controlPlane:
     hyperthreading: Enabled
     name: master
     platform:
       aws:
         iamRole: ExampleRole

3. 保存文件并在安装 OpenShift Container Platform 集群时引用。

1. 确保启用了 CloudTrail。CloudTrail 记录 AWS 帐户中的所有操作和事件，包括创建策略模板所需的 API 调用。如需更多信息，请参阅 AWS 文档的使用 CloudTrail 。
2. 为 control plane 实例创建实例配置集，并为计算实例创建一个实例配置集。确保为每个角色分配一个 permissive 策略，如 PowerUserAccess。如需更多信息，请参阅 AWS 文档的创建实例配置集角色。
3. 在开发环境中安装集群，并根据需要进行配置。务必在生产环境中部署集群托管的所有应用程序。
4. 全面测试集群。测试集群可确保记录所有必需的 API 调用。
5. 使用 IAM Access Analyzer 为每个实例配置集创建策略模板。如需更多信息，请参阅 AWS 文档基于 CloudTrail 日志生成策略。
6. 创建并为每个实例配置文件添加一个精细的策略。
7. 从每个实例配置集中删除 permissive 策略。
8. 使用现有实例配置集和新策略部署生产集群。