17.2. 教程：使用 AWS STS 的 ROSA 解释

作为 ROSA 的一部分，红帽管理 AWS 帐户中的基础架构资源，且必须授予所需的权限。目前有两种方法来授予这些权限：

几个关键组件使带有 STS 的 ROSA 比使用 IAM 用户进行 ROSA 更安全：

ROSA 使用 AWS STS 为特定的和隔离的 IAM 角色，为特定的和隔离的 IAM 角色授予具有短期安全凭证的最低特权权限。凭证与特定于每个组件的 IAM 角色关联，并发出 AWS API 调用的集群。此方法与云服务资源管理中最低特权和安全实践的原则一致。ROSA 命令行界面(CLI)工具管理为唯一任务分配的 STS 角色和策略，并作为 OpenShift 功能的一部分对 AWS 资源执行操作。

必须为每个 ROSA 集群创建 STS 角色和策略。为了更容易实现这一点，安装工具提供了创建角色所需的所有命令和文件，以及一个允许 CLI 自动创建角色和策略的选项。如需有关 different- mode 选项的更多信息，请参阅使用自定义创建带有 STS 的 ROSA 集群。

您不应该从头开始创建以下步骤中列出的资源。ROSA CLI 为您创建所需的 JSON 文件，并输出您需要的命令。ROSA CLI 也可以进一步执行这一步，并在需要时为您运行命令。

角色和策略可由 ROSA CLI 自动创建，也可以使用 ROSA CLI 中的 --mode manual 或 --mode auto 标志手动创建。有关部署的详情，请参阅 使用自定义创建集群 或 部署集群指南。

用户创建所需的集群范围的角色和集群范围的策略。如需更多信息，请参阅本教程中的组件部分。在创建角色时，会创建一个信任策略，称为跨帐户信任策略，该策略允许红帽拥有的角色假定角色。还会为 EC2 服务创建信任策略，它允许 EC2 实例上的工作负载假定角色和获取凭据。然后，用户可以为每个角色分配对应的权限策略。

创建集群范围的角色和策略后，用户可以创建集群。启动集群创建后，会创建 Operator 角色，以便集群 Operator 可以发出 AWS API 调用。然后，这些角色被分配给之前创建的相应权限策略，以及带有 OIDC 供应商的信任策略。Operator 角色与集群范围的角色不同，它们最终代表需要访问 AWS 资源的 pod。因为用户无法将 IAM 角色附加到 pod，所以它们必须使用 OIDC 供应商创建信任策略，以便 Operator，因此 pod 可以访问它们所需的角色。

用户将角色分配给对应的策略权限后，最后一步是创建 OIDC 供应商。

当需要新角色时，当前使用红帽角色的工作负载将假定 AWS 帐户中的角色，从 AWS STS 获取临时凭证，并开始使用所假定角色的权限策略允许的用户 AWS 帐户中的 API 调用执行操作。凭据是临时的，最长持续时间为一小时。

整个工作流在下图中描述：

Operator 使用以下流程获取必要的凭证来执行其任务。每个 Operator 都会被分配一个 Operator 角色、权限策略和带有 OIDC 供应商的信任策略。Operator 将通过将包含角色和令牌文件的 JSON Web 令牌(web_identity_token_file)传递给 OIDC 供应商来假定角色，然后使用公钥验证签名密钥。公钥是在集群创建过程中创建的，并存储在 S3 存储桶中。然后，Operator 会确认签名令牌文件中的主题与角色信任策略中的角色匹配，以确保 OIDC 供应商只能获取允许的角色。然后，OIDC 供应商会向 Operator 返回临时凭证，以便 Operator 可以发出 AWS API 调用。有关视觉表示，请查看以下信息：

相同的流程也适用于支持问题单。在支持问题单中，红帽站点可靠性工程师(SRE)替换了安装程序。