第 3 章 使用自定义 AWS KMS 加密密钥创建带有 HCP 集群的 ROSA

流程

1. 运行以下命令，打开 shell 提示符并克隆 Terraform VPC 存储库：

   $ git clone https://github.com/openshift-cs/terraform-vpc-example

2. 运行以下命令进入创建的目录：

   $ cd terraform-vpc-example

3. 运行以下命令来启动 Terraform 文件：

   $ terraform init

   此进程完成后会出现确认初始化的消息。

4. 要基于现有的 Terraform 模板构建 VPC Terraform 计划，请运行 plan 命令。您必须包含 AWS 区域。您可以选择指定集群名称。在 terraform plan 完成后，一个 rosa.tfplan 文件会被添加到 hypershift-tf 目录。有关更详细的选项，请参阅 Terraform VPC 存储库的 README 文件。

   $ terraform plan -out rosa.tfplan -var region=<region>

5. 运行以下命令应用此计划文件来构建 VPC：

   $ terraform apply rosa.tfplan

   1. 可选： 您可以运行以下命令来捕获 Terraform-provisioned private、public 和 machinepool 子网 ID 的值作为环境变量，以便在使用 HCP 集群创建 ROSA 时使用：

      $ export SUBNET_IDS=$(terraform output -raw cluster-subnets-string)

   2. 使用以下命令验证变量是否已正确设置：

      $ echo $SUBNET_IDS

      输出示例

      $ subnet-0a6a57e0f784171aa,subnet-078e84e5b10ecf5b0

流程

1. 如果 AWS 帐户中不存在它们，请创建所需的账户范围的 STS 角色，并通过运行以下命令附加策略：

   $ rosa create account-roles --hosted-cp

2. 可选：运行以下命令将前缀设置为环境变量：

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   • 运行以下命令，查看变量的值：

     $ echo $ACCOUNT_ROLES_PREFIX

     输出示例

     ManagedOpenShift

流程

1. 要创建 OIDC 配置和 AWS 资源，请运行以下命令：

   $ rosa create oidc-config --mode=auto --yes

   此命令返回以下信息：

   输出示例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   在创建集群时，您必须提供 OIDC 配置 ID。CLI 输出为 --mode auto 提供这个值，否则您必须根据 --mode manual 的 aws CLI 输出来确定这些值。

2. 可选： 您可以将 OIDC 配置 ID 保存为变量，以便稍后使用。运行以下命令来保存变量：

   $ export OIDC_ID=<oidc_config_id>1

   1

   在上面的示例输出中，OIDC 配置 ID 是 13cdr6b。

   • 运行以下命令，查看变量的值：

     $ echo $OIDC_ID

     输出示例

     13cdr6b

流程

1. 使用以下命令将前缀名称设置为环境变量：

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

2. 要创建 Operator 角色，请运行以下命令：

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   以下分类提供了 Operator 角色创建的选项。

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 1
   	--oidc-config-id=$OIDC_ID 2
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 3

   1

   在创建这些 Operator 角色时，您必须提供一个前缀。如果不这样做会产生错误。如需有关 Operator 前缀的信息，请参阅本节的附加资源。

   2

   这个值是您为使用 HCP 集群的 ROSA 创建的 OIDC 配置 ID。

   3

   这个值是您在创建 ROSA 帐户角色时创建的安装程序角色 ARN。

   您必须包含 --hosted-cp 参数，以使用 HCP 集群为 ROSA 创建正确的角色。此命令返回以下信息：

   输出示例

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 1
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 2
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   1

   此字段预先填充您在初始创建命令中设置的前缀。

   2

   此字段要求您选择为使用 HCP 集群的 ROSA 创建的 OIDC 配置。

   Operator 角色现已创建，并可用于使用 HCP 集群创建 ROSA。

流程

1. 运行以下命令，创建自定义 AWS 客户管理的 KMS 密钥：

   $ KMS_ARN=$(aws kms create-key --region $AWS_REGION --description 'Custom ROSA Encryption Key' --tags TagKey=red-hat,TagValue=true --query KeyMetadata.Arn --output text)

   此命令保存此自定义密钥的 Amazon 资源名称(ARN)输出以获取进一步步骤。

   注意

   客户必须提供客户 KMS 密钥所需的 --tags TagKey=red-hat,TagValue=true 参数。

2. 运行以下命令验证 KMS 密钥是否已创建：

   $ echo $KMS_ARN

3. 将 AWS 帐户 ID 设置为环境变量。

   $ AWS_ACCOUNT_ID=<aws_account_id>

4. 将您在上一步中创建的集群范围的安装程序角色和 operator 角色的 ARN 添加到 文件中的 Statement.Principal.AWS 部分。在以下示例中，添加了默认 ManagedOpenShift-HCP-ROSA-Installer-Role 角色的 ARN：

   {
     "Version": "2012-10-17",
     "Id": "key-rosa-policy-1",
     "Statement": [
     {
                 "Sid": "Enable IAM User Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:root"
                 },
                 "Action": "kms:*",
                 "Resource": "*"
             },
           {
                 "Sid": "Installer Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/ManagedOpenShift-HCP-ROSA-Installer-Role"
                 },
                 "Action": [
                     "kms:CreateGrant",
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KubeControllerManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kube-controller-manager"
   
                 },
                 "Action": "kms:DescribeKey",
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KMS Provider Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kms-provider"
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA NodeManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-capa-controller-manager"
                 },
                 "Action": [
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext",
                     "kms:CreateGrant"
                 ],
                 "Resource": "*"
             }
         ]
     }

5. 运行以下命令确认创建的策略文件详情：

   $ cat rosa-key-policy.json

6. 运行以下命令，将新生成的密钥策略应用到自定义 KMS 密钥：

   $ aws kms put-key-policy --key-id $KMS_ARN \
   --policy file://rosa-key-policy.json \
   --policy-name default

7. 运行以下命令来创建集群：

   注意

   如果您的集群名称超过 15 个字符，它将包含自动生成的域前缀作为您 provisioned 集群 的子域。

   要自定义子域，请使用 --domain-prefix 标志。域前缀不能超过 15 个字符，它必须是唯一的，且在集群创建后无法更改。

   $ rosa create cluster --cluster-name <cluster_name> \
   --subnet-ids <private_subnet_id>,<public_subnet_id> \
   --sts \
   --mode auto \
   --machine-cidr 10.0.0.0/16 \
   --compute-machine-type m5.xlarge \
   --hosted-cp \
   --region <aws_region> \
   --oidc-config-id $OIDC_ID \
   --kms-key-arn $KMS_ARN \ 1
   --etcd-encryption-kms-arn $KMS_ARN \ 2
   --operator-roles-prefix $OPERATOR_ROLES_PREFIX

   1

   这个 KMS 密钥 ARN 用于加密所有 worker 节点根卷。如果只需要 etcd 数据库加密，则不需要它。

   2

   这个 KMS 密钥 ARN 用于加密 etcd 数据库。默认情况下，etcd 数据库总是使用 AES 密码块加密，但可以使用 KMS 密钥加密。如果只需要节点根卷加密，则不需要它。

1. 导航到 OpenShift Cluster Manager 并选择 Instances。
2. 选择您的实例。
3. 点 Storage 选项卡。
4. 复制 KMS 密钥 ID。
5. 搜索并选择 Key Management Service。
6. 在 Filter 字段中输入您复制的 KMS 密钥 ID。