Erste Schritte mit ROSA classic mithilfe der ROSA CLI im manuellen Modus

In den folgenden Abschnitten wird beschrieben, wie Sie mit der Verwendung von ROSA classic AWS STS und der ROSA CLI beginnen. Weitere Informationen zu ROSA classic finden Sie unter Bereitstellungsoptionen.

Die ROSA CLI verwendet auto Modus oder manual Modus, um die IAM Ressourcen zu erstellen, die für die Bereitstellung von a erforderlich sind ROSACluster. automode erstellt sofort die erforderlichen IAM Rollen und Richtlinien sowie einen OpenID Connect (OIDC) -Anbieter. manualmode gibt die AWS CLI Befehle aus, die zum Erstellen der Ressourcen benötigt werden. IAM Wenn Sie manual den Modus verwenden, können Sie die generierten AWS CLI Befehle überprüfen, bevor Sie sie manuell ausführen. Sie können die Befehle auch an einen anderen Administrator oder eine andere Gruppe in Ihrer Organisation weiterleiten, sodass diese die Ressourcen erstellen können. manual

Die Verfahren in diesem Dokument verwenden den manual Modus der ROSA CLI, um die erforderlichen IAM Ressourcen für ROSA classic zu erstellen. Weitere Optionen für den Einstieg finden Sie unter Erste Schritte mit ROSA.

Voraussetzungen

Bevor Sie beginnen, stellen Sie sicher, dass Sie die folgenden Aktionen abgeschlossen haben:

• Installieren und konfigurieren Sie die neueste VersionAWS CLI. Weitere Informationen finden Sie unter Installieren oder Aktualisierung auf die neueste Version von AWS CLI.

• Installieren und konfigurieren Sie die neueste ROSA CLI und OpenShift Container Platform CLI. Weitere Informationen finden Sie unter Erste Schritte mit der ROSA CLI.

• Service Quotasmuss über die erforderlichen Dienstkontingente fürAmazon EC2,, Amazon VPCAmazon EBS, verfügen, Elastic Load Balancing die für die Erstellung und Ausführung eines ROSA Clusters erforderlich sind. AWSoder Red Hat kann in Ihrem Namen eine Erhöhung der Servicekontingenten beantragen, sofern dies zur Problemlösung erforderlich ist. Die erforderlichen Kontingente finden Sie unter Red Hat OpenShift Service in AWSEndpunkte und Kontingente in der AWSAllgemeinen Referenz.

• Um AWS Support für zu erhaltenROSA, müssen Sie die AWS Supportpläne Business, Enterprise On-Ramp oder Enterprise aktivieren. Red Hat kann in Ihrem Namen AWS Support anfordern, sofern dies zur Problemlösung erforderlich ist. Weitere Informationen finden Sie unter Support für ROSA. Informationen zur Aktivierung AWS Support finden Sie AWS Supportauf der Seite.

• Wenn Sie den Service AWS Organizations zur Verwaltung des AWS-Konten Dienstes verwenden, muss die ROSA Service Control Policy (SCP) der Organisation so konfiguriert sein, dass Red Hat die im SCP aufgeführten Richtlinienaktionen ohne Einschränkungen ausführen kann. Weitere Informationen finden Sie in der ROSASCP-Dokumentation zur Fehlerbehebung. Weitere Informationen zu SCPs finden Sie unter Service Control Policies (SCPs).

• Wenn Sie ein ROSA Cluster With-Token AWS STS in einem aktivierten System bereitstellen, AWS-Region das standardmäßig deaktiviert ist, müssen Sie das Sicherheitstoken AWS-Konto mit dem folgenden Befehl für alle Regionen in der auf Version 2 aktualisieren.

  aws iam set-security-token-service-preferences --global-endpoint-token-version v2Token

  Weitere Informationen zur Aktivierung von Regionen finden Sie unter Verwaltung AWS-Regionen in der allgemeinen AWS-Referenz.

Schritt 1: Voraussetzungen aktivieren ROSA und konfigurieren

Um einen zu erstellen ROSACluster, müssen Sie zuerst den ROSA Dienst in der AWS ROSA Konsole aktivieren. Die AWS ROSA Konsole überprüft, ob Sie AWS-Konto über die erforderlichen AWS Marketplace Berechtigungen, Dienstkontingente und die benannte Elastic Load Balancing (ELB) -Serviceverknüpfte Rolle verfügen. AWSServiceRoleForElasticLoadBalancing Wenn eine dieser Voraussetzungen fehlt, finden Sie in der Konsole Anleitungen zur Konfiguration Ihres Kontos, sodass es die Voraussetzungen erfüllt.

1. Navigieren Sie zur ROSA-Konsole.

2. Wählen Sie Get started (Erste Schritte) aus.

3. Wählen Sie auf der Seite ROSAVoraussetzungen überprüfen die Option Ich stimme zu, meine Kontaktinformationen an Red Hat weiterzugeben.

4. Wählen Sie Aktivieren ROSA.

5. Sobald auf der Seite überprüft wurde, ob Ihre Dienstkontingente die ROSA Voraussetzungen erfüllen, und die mit dem ELB-Dienst verknüpfte Rolle erstellt wurde, öffnen Sie eine neue Terminalsitzung, um Ihre erste ROSA Cluster mit der ROSA CLI zu erstellen.

Schritt 2: Erstellen Sie einen klassischen ROSA-Cluster mit AWS STS und dem ROSAmanual CLI-Modus

Sie können einen ROSA-Klassiker Cluster mit AWS Security Token Service (AWS STS) und dem in der ROSA CLI bereitgestellten manual Modus erstellen.

Wenn Sie eine erstellenCluster, können Sie ausführen, rosa create cluster --interactive um Ihre Bereitstellung mit einer Reihe interaktiver Eingabeaufforderungen anzupassen. Weitere Informationen finden Sie in der Referenz zum interaktiven Clustererstellungsmodus in der Red Hat-Dokumentation.

Nach der Bereitstellung Cluster wird ein einziger Befehl in der Ausgabe bereitgestellt. Führen Sie diesen Befehl aus, um weitere Cluster bereitzustellen, die genau dieselbe benutzerdefinierte Konfiguration verwenden.

Anmerkung

AWSGemeinsam genutzte VPCs werden derzeit nicht für ROSA Installationen unterstützt.

1. Erstellen Sie die erforderlichen IAM Kontorollen und Richtlinien.

   rosa create account-roles --mode manual

   Anmerkung

   Wenn Ihr Offline-Zugriffstoken abgelaufen ist, gibt die ROSA CLI eine Fehlermeldung aus, die besagt, dass Ihr Autorisierungstoken aktualisiert werden muss. Schritte zur Fehlerbehebung finden Sie unter Problembehandlung bei abgelaufenen Offline-Zugriffstoken für ROSA CLI.

2. Führen Sie die in der Ausgabe generierten AWS CLI Befehle aus, um die Rollen und Richtlinien zu erstellen.

3. Erstellen Sie Cluster einen AWS STS --interactive With-In-Modus, um benutzerdefinierte Einstellungen anzugeben.

   rosa create cluster --interactive --sts

   Wichtig

   Nachdem Sie die etcd-Verschlüsselung für die Schlüsselwerte in etcd aktiviert haben, entsteht ein Leistungsaufwand von etwa 20%. Der Mehraufwand ist darauf zurückzuführen, dass zusätzlich zur Standardverschlüsselung, die die etcd-Volumes verschlüsselt, diese zweite Amazon EBS Verschlüsselungsebene eingeführt wird.

4. Um die clusterspezifischen IAM Operatorrollen zu erstellen, generieren Sie die JSON-Dateien mit den Operatorrichtlinien im aktuellen Arbeitsverzeichnis und geben Sie die Befehle zur AWS CLI Überprüfung aus.

   rosa create operator-roles --mode manual --cluster <CLUSTER_NAME|CLUSTER_ID>

5. Führen Sie die AWS CLI Befehle von der Ausgabe aus.

6. Erstellen Sie den OpenID Connect (OIDC) -Anbieter, den die Cluster Betreiber zur Authentifizierung verwenden.

   rosa create oidc-provider --mode auto --cluster <CLUSTER_NAME|CLUSTER_ID>

7. Überprüfen Sie den Status Ihres. Cluster

   rosa describe cluster -c <CLUSTER_NAME>

   Anmerkung

   Wenn der Erstellungsvorgang fehlschlägt oder das State Feld nach 40 Minuten nicht den Status „Bereit“ annimmt, finden Sie weitere Informationen unter Problembehandlung bei der ROSA Clustererstellung.

   Wenn Sie sich an den Red Hat Support wenden AWS Support möchten, um Unterstützung zu erhalten, siehe Support für ROSA.

8. Verfolgen Sie den Fortschritt der Cluster Erstellung, indem Sie sich die OpenShift Installationsprotokolle ansehen.

   rosa logs install -c <CLUSTER_NAME> --watch

Schritt 3: Konfigurieren Sie einen Identitätsanbieter und gewähren Cluster Sie Zugriff

ROSAbeinhaltet einen integrierten OAuth-Server. Nach der Erstellung müssen Sie OAuth für die Verwendung eines Identitätsanbieters konfigurieren. Cluster Anschließend können Sie Benutzer zu Ihrem konfigurierten Identitätsanbieter hinzufügen, um ihnen Zugriff auf Ihren zu gewähren. Cluster Sie können diesen Benutzern cluster-admin oder dedicated-admin Berechtigungen nach Bedarf gewähren.

Sie können verschiedene Identitätsanbietertypen für Ihren konfigurierenCluster. Zu den unterstützten Typen gehören GitHub Enterprise- GitHub, Google GitLab -, LDAP-, OpenID Connect- und HTPasswd-Identitätsanbieter.

Wichtig

Der htPasswd-Identitätsanbieter ist nur enthalten, um die Erstellung eines einzelnen statischen Administratorbenutzers zu ermöglichen. htPasswd wird nicht als allgemein verwendbarer Identitätsanbieter für unterstützt. ROSA

Das folgende Verfahren konfiguriert als Beispiel einen GitHub Identitätsanbieter. Anweisungen zur Konfiguration der einzelnen unterstützten Identitätsanbietertypen finden Sie unter Konfiguration von Identitätsanbietern für AWS STS.

1. Navigieren Sie zu github.com und melden Sie sich bei Ihrem GitHub Konto an.

2. Wenn Sie keine GitHub Organisation haben, die Sie für die Identitätsbereitstellung verwenden können ROSACluster, erstellen Sie eine. Weitere Informationen finden Sie in den Schritten in der GitHub Dokumentation.

3. Konfigurieren Sie im interaktiven Modus der ROSA CLI einen Identitätsanbieter für Ihren Cluster.

   rosa create idp --cluster=<CLUSTER_NAME> --interactive

4. Folgen Sie den Konfigurationsanweisungen in der Ausgabe, um den Cluster Zugriff auf Mitglieder Ihrer GitHub Organisation zu beschränken.

   I: Interactive mode enabled.
   Any optional fields can be left empty and a default will be selected.
   ? Type of identity provider: github
   ? Identity provider name: github-1
   ? Restrict to members of: organizations
   ? GitHub organizations: <GITHUB_ORG_NAME>
   ? To use GitHub as an identity provider, you must first register the application:
     - Open the following URL:
       https://github.com/organizations/<GITHUB_ORG_NAME>/settings/applications/new?oauth_application%5Bcallback_url%5D=https%3A%2F%2Foauth-openshift.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com%2Foauth2callback%2Fgithub-1&oauth_application%5Bname%5D=<CLUSTER_NAME>&oauth_application%5Burl%5D=https%3A%2F%2Fconsole-openshift-console.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com
     - Click on 'Register application'
   ...

5. Öffnen Sie die URL in der Ausgabe mit dem folgenden Befehl. <GITHUB_ORG_NAME>Ersetzen Sie es durch den Namen Ihrer GitHub Organisation.

6. Wählen Sie auf der GitHub Webseite Anwendung registrieren aus, um eine neue OAuth-Anwendung in Ihrer GitHub Organisation zu registrieren.

7. Verwenden Sie die Informationen auf der GitHub OAuth-Seite, um die verbleibenden rosa create idp interaktiven Eingabeaufforderungen mit dem folgenden Befehl auszufüllen. Ersetzen Sie <GITHUB_CLIENT_ID> und <GITHUB_CLIENT_SECRET> durch die Anmeldeinformationen aus Ihrer OAuth-Anwendung. GitHub

   ...
   ? Client ID: <GITHUB_CLIENT_ID>
   ? Client Secret: [? for help] <GITHUB_CLIENT_SECRET>
   ? GitHub Enterprise Hostname (optional):
   ? Mapping method: claim
   I: Configuring IDP for cluster '<CLUSTER_NAME>'
   I: Identity Provider 'github-1' has been created.
      It will take up to 1 minute for this configuration to be enabled.
      To add cluster administrators, see 'rosa grant user --help'.
      To login into the console, open https://console-openshift-console.apps.<CLUSTER_NAME>.<RANDOM_STRING>.p1.openshiftapps.com and click on github-1.

   Anmerkung

   Es kann etwa zwei Minuten dauern, bis die Identitätsanbieter-Konfiguration aktiv wird. Wenn Sie einen cluster-admin Benutzer konfiguriert haben, können Sie den oc get pods -n openshift-authentication --watch Befehl ausführen, um zu beobachten, wie die OAuth-Pods mit der aktualisierten Konfiguration erneut bereitgestellt werden.

8. Stellen Sie mithilfe des folgenden Befehls sicher, dass der Identitätsanbieter korrekt konfiguriert wurde.

   rosa list idps --cluster=<CLUSTER_NAME>

Schritt 4: Gewähren Sie dem Benutzer Zugriff auf eine Cluster

Sie können einem Benutzer Zugriff auf Ihre gewähren, Cluster indem Sie ihn dem konfigurierten Identitätsanbieter hinzufügen.

Mit dem folgenden Verfahren wird ein Benutzer zu einer GitHub Organisation hinzugefügt, die für die Identitätsbereitstellung konfiguriert ist. Cluster

1. Navigieren Sie zu github.com und melden Sie sich bei Ihrem GitHub Konto an.

2. Laden Sie Benutzer ein, die Cluster Zugriff auf Ihre GitHub Organisation benötigen. Weitere Informationen finden Sie in der Dokumentation auf Github unter Benutzer einladen, Ihrer Organisation beizutreten.

Schritt 5: Erteilen Sie einem Benutzer Administratorrechte

Nachdem Sie Ihrem konfigurierten Identitätsanbieter einen Benutzer hinzugefügt haben, können Sie dem Benutzer cluster-admin oder dedicated-admin Berechtigungen für Ihren gewährenCluster.

cluster-adminBerechtigungen konfigurieren

1. Erteilen Sie die cluster-admin Berechtigungen mit dem folgenden Befehl. Ersetzen Sie <IDP_USER_NAME> und <CLUSTER_NAME> durch Ihren Benutzer- und Clusternamen.

   rosa grant user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

2. Stellen Sie sicher, dass der Benutzer als Mitglied der cluster-admins Gruppe aufgeführt ist.

   rosa list users --cluster=<CLUSTER_NAME>

dedicated-adminBerechtigungen konfigurieren

1. Erteilen Sie die dedicated-admin Berechtigungen mit dem folgenden Befehl. Ersetzen Sie <IDP_USER_NAME> und <CLUSTER_NAME> durch Ihren Benutzer und Cluster Namen.

   rosa grant user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

2. Stellen Sie sicher, dass der Benutzer als Mitglied der cluster-admins Gruppe aufgeführt ist.

   rosa list users --cluster=<CLUSTER_NAME>

Schritt 6: Greifen Sie Cluster über die Webkonsole auf a zu

Nachdem Sie einen Cluster Administratorbenutzer erstellt oder einen Benutzer zu Ihrem konfigurierten Identity Provider hinzugefügt haben, können Sie sich Cluster über die Red Hat Hybrid Cloud Console bei Ihrem anmelden.

1. Rufen Sie die Konsolen-URL für Sie mit Cluster dem folgenden Befehl ab. Ersetzen Sie <CLUSTER_NAME> durch den Namen Ihres Cluster.

   rosa describe cluster -c <CLUSTER_NAME> | grep Console

2. Navigieren Sie in der Ausgabe zur Konsolen-URL und melden Sie sich an.

   • Wenn Sie einen cluster-admin Benutzer erstellen, melden Sie sich mit den angegebenen Anmeldeinformationen an.

   • Wenn Sie einen Identitätsanbieter für Ihren konfigurierenCluster, wählen Sie den Namen des Identitätsanbieters im Dialogfeld Anmelden mit... und füllen Sie alle Autorisierungsanfragen aus, die von Ihrem Anbieter gestellt werden.

Schritt 7: Stellen Sie eine Anwendung aus dem Entwicklerkatalog bereit

Von der Red Hat Hybrid Cloud Console aus können Sie eine Developer Catalog-Testanwendung bereitstellen und sie mit einer Route verfügbar machen.

1. Navigieren Sie zur Red Hat Hybrid Cloud Console und wählen Sie den Cluster aus, in dem Sie die App bereitstellen möchten.

2. Wählen Sie auf der Seite des Clusters Open Console aus.

3. Wählen Sie in der Administratorperspektive Startseite > Projekte > Projekt erstellen aus.

4. Geben Sie einen Namen für Ihr Projekt ein und fügen Sie optional einen Anzeigenamen und eine Beschreibung hinzu.

5. Wählen Sie Erstellen, um das Projekt zu erstellen.

6. Wechseln Sie zur Entwicklerperspektive und wählen Sie +Hinzufügen. Stellen Sie sicher, dass das ausgewählte Projekt das ist, das gerade erstellt wurde.

7. Wählen Sie im Dialogfeld „Entwicklerkatalog“ die Option Alle Dienste aus.

8. Wählen Sie auf der Seite mit dem Entwicklerkatalog im Menü Sprachen > JavaScriptaus.

9. Wählen Sie „Node.js“ und anschließend „Anwendung erstellen“, um die Seite „Source-to-Image-Anwendung erstellen“ zu öffnen.

   Anmerkung

   Möglicherweise müssen Sie „Alle Filter löschen“ auswählen, um die Option Node.js anzuzeigen.

10. Wählen Sie im Abschnitt Git die Option Try Sample aus.

11. Fügen Sie im Feld Name einen eindeutigen Namen hinzu.

12. Wählen Sie Erstellen aus.

    Anmerkung

    Die Bereitstellung der neuen Anwendung dauert mehrere Minuten.

13. Wenn die Bereitstellung abgeschlossen ist, wählen Sie die Route-URL für die Anwendung aus.

    Eine neue Registerkarte im Browser wird mit einer Meldung ähnlich der folgenden geöffnet.

    Welcome to your Node.js application on OpenShift

14. (Optional) Löschen Sie die Anwendung und bereinigen Sie die Ressourcen.

    1. Wählen Sie in der Administratorperspektive „Startseite“ > „Projekte“.

    2. Öffnen Sie das Aktionsmenü für Ihr Projekt und wählen Sie Projekt löschen.

Schritt 8: Widerrufen Sie Administratorrechte und Benutzerzugriff

Mit der ROSA CLI können Sie einem Benutzer dedicated-admin Berechtigungen cluster-admin entziehen.

Um einem Benutzer den Zugriff zu entziehen, müssen Sie den Benutzer von Ihrem konfigurierten Identitätsanbieter entfernen.

Widerrufen cluster-admin Sie die Berechtigungen eines Benutzers

1. Widerrufen Sie die cluster-admin Erlaubnis mit dem folgenden Befehl. Ersetzen Sie <IDP_USER_NAME> und <CLUSTER_NAME> durch Ihren Benutzer und Cluster Namen.

   rosa revoke user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

2. Stellen Sie sicher, dass der Benutzer nicht als Mitglied der cluster-admins Gruppe aufgeführt ist.

   rosa list users --cluster=<CLUSTER_NAME>

Widerrufen dedicated-admin Sie die Berechtigungen eines Benutzers

1. Widerrufen Sie die dedicated-admin Erlaubnis mit dem folgenden Befehl. Ersetzen Sie <IDP_USER_NAME> und <CLUSTER_NAME> durch Ihren Benutzer und Cluster Namen.

   rosa revoke user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

2. Stellen Sie sicher, dass der Benutzer nicht als Mitglied der dedicated-admins Gruppe aufgeführt ist.

   rosa list users --cluster=<CLUSTER_NAME>

Widerrufen Sie den Benutzerzugriff auf eine Cluster

Sie können einem Identity Provider-Benutzer den Cluster Zugriff entziehen, indem Sie ihn aus dem konfigurierten Identity Provider entfernen.

Sie können verschiedene Arten von Identitätsanbietern für Ihren konfigurierenCluster. Mit dem folgenden Verfahren wird einem Mitglied einer GitHub Organisation der Cluster Zugriff entzogen.

1. Navigieren Sie zu github.com und melden Sie sich bei Ihrem GitHub Konto an.

2. Entferne den Benutzer aus deiner GitHub Organisation. Weitere Informationen finden Sie in der GitHub Dokumentation unter Ein Mitglied aus Ihrer Organisation entfernen.

Schritt 9: Löschen Sie einen Cluster und AWS STS Ressourcen

Sie können die ROSA CLI verwenden, um eine zu löschenCluster, die AWS Security Token Service (AWS STS) verwendet. Sie können die ROSA CLI auch verwenden, um die IAM Rollen und den OIDC-Anbieter zu löschen, die von erstellt wurden. ROSA Um die von erstellten IAM Richtlinien zu löschenROSA, können Sie die IAM Konsole verwenden.

Wichtig

IAMRollen und Richtlinien, die von erstellt wurden, ROSA können von anderen ROSA Clustern im selben Konto verwendet werden.

1. Löschen Sie die Cluster und sehen Sie sich die Protokolle an. <CLUSTER_NAME>Ersetzen Sie durch den Namen oder die ID IhresCluster.

   rosa delete cluster --cluster=<CLUSTER_NAME> --watch

   Wichtig

   Sie müssen wartenCluster, bis der vollständig gelöscht ist, bevor Sie die IAM Rollen, Richtlinien und den OIDC-Anbieter entfernen. Die IAM-Rollen des Kontos sind erforderlich, um die vom Installationsprogramm erstellten Ressourcen zu löschen. Die Operator-IAM-Rollen sind erforderlich, um die von den Operatoren erstellten Ressourcen zu bereinigen. OpenShift Die Operatoren verwenden den OIDC-Anbieter zur Authentifizierung.

2. Löschen Sie den OIDC-Anbieter, den die Cluster Operatoren zur Authentifizierung verwenden, indem Sie den folgenden Befehl ausführen.

   rosa delete oidc-provider -c <CLUSTER_ID> --mode auto

3. Löschen Sie die clusterspezifischen Operatorrollen. IAM

   rosa delete operator-roles -c <CLUSTER_ID> --mode auto

4. Löschen Sie die IAM-Rollen des Kontos mithilfe des folgenden Befehls. <PREFIX>Ersetzen Sie es durch das Präfix der zu löschenden Konto-IAM-Rollen. Wenn Sie bei der Erstellung der Account-IAM-Rollen ein benutzerdefiniertes Präfix angegeben haben, geben Sie das ManagedOpenShift Standardpräfix an.

   rosa delete account-roles --prefix <PREFIX> --mode auto

5. Löschen Sie die IAM Richtlinien, die von ROSA erstellt wurden.

   1. Melden Sie sich bei der IAM-Konsole an.

   2. Wählen Sie im linken Menü unter Zugriffsverwaltung die Option Richtlinien aus.

   3. Wählen Sie die Richtlinie aus, die Sie löschen möchten, und wählen Sie Aktionen > Löschen.

   4. Geben Sie den Namen der Richtlinie ein und wählen Sie Löschen.

   5. Wiederholen Sie diesen Schritt, um alle IAM-Richtlinien für zu löschen. Cluster