第 2 章 配置私有连接

1. 开始为 OpenShift Dedicated 集群配置 AWS 基础架构访问权限。通过创建 AWS 用户和帐户，并为该用户提供对 OpenShift Dedicated AWS 帐户的访问权限。

2. 访问 OpenShift Dedicated AWS 帐户后，使用以下一个或多个方法建立到集群的私有连接：

   • 配置 AWS VPC 对等 ：启用 VPC 对等路由两个私有 IP 地址之间的网络流量。
   • 配置 AWS VPN ：建立虚拟专用网络，将私有网络安全地连接到您的 Amazon 虚拟私有云。
   • 配置 AWS Direct Connect ：配置 AWS Direct Connect 以在您的私有网络和 AWS Direct Connect 位置之间建立专用网络连接。

流程

1. 登录到 AWS 帐户。如果需要，您可以按照 AWS 文档创建新 AWS 帐户。

2. 在 AWS 帐户中创建带有 STS:AllowAssumeRole 权限的 IAM 用户。

   1. 打开 AWS 管理控制台的 IAM 仪表板。
   2. 在 Policies 部分中，点 Create Policy。

   3. 选择 JSON 选项卡，并将现有文本替换为以下内容：

      {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": "sts:AssumeRole",
                "Resource": "*"
            }
        ]
      }

   4. 点 Next:Tags。
   5. 可选：添加标签。点 Next:Review
   6. 提供适当的名称和描述，然后点 Create Policy。
   7. 在 Users 部分中，点 Add user。
   8. 提供适当的用户名。
   9. 选择 AWS Management Console access 作为 AWS 访问类型。
   10. 根据您的机构需要调整密码要求，然后点 Next:Permissions。

   11. 点 Attach existing policies directly 选项。搜索并检查在前面的步骤中创建的策略。

       注意

       不建议设置权限边界。

   12. 点 Next: Tags，然后点 Next: Review。确认配置正确。
   13. 点 Create user，会出现一个成功页面。
   14. 收集 IAM 用户的 Amazon 资源名称 (ARN)。ARN 将具有以下格式：arn:aws:iam::000111222333:user/username。单击 Close。
3. 在浏览器中打开 OpenShift Cluster Manager，然后选择您要允许 AWS 基础架构访问的集群。
4. 选择 Access control 选项卡，并滚动到 AWS Infrastructure Access 部分。
5. 粘贴 AWS IAM ARN 并选择 Network Management 或 Read-only 权限，然后点 Grant role。
6. 将 AWS OSD 控制台 URL 复制到您的剪贴板。
7. 使用您的帐户 ID 或别名、IAM 用户名和密码登录到 AWS 帐户。
8. 在新浏览器选项卡中，粘贴用于路由到 AWS Switch Role 页面的 AWS OSD 控制台 URL。
9. 您的帐户号和角色已填写。如果需要，选择显示名称，然后点 Switch Role。

流程

1. 启动 VPC 对等请求。
2. 接受 VPC 对等请求。
3. 更新 VPC 对等连接的路由表。

流程

1. 创建客户网关来配置 VPN 连接。
2. 如果您还没有附加到预期的 VPC 的虚拟私有网关，创建并附加虚拟专用网关。
3. 配置路由并启用 VPN 路由传播。
4. 更新您的安全组。

5. 建立 Site-to-Site VPN 连接。

   注意

   请注意，VPC 子网信息，您必须作为远程网络添加到配置中。

流程

1. 创建 VIF 或 查看您现有的 VIFs，以确定您需要创建的直接连接类型。

2. 创建网关。

   1. 如果直接连接 VIF 类型是 Private，创建一个虚拟专用网关。
   2. 如果直接连接 VIF 是公共的，创建一个直接连接网关。

3. 如果您有一个要使用的现有网关，创建一个关联提议，并将提议发送到 DXGateway 所有者以进行批准。

   警告

   当连接到现有的 DXGateway 时，您需要负责相关的成本。