AWSIAM politiques gérées pour ROSA

Une politique AWS gérée est une politique autonome créée et administrée par AWS. AWS les politiques gérées sont conçues pour fournir des autorisations pour de nombreux cas d'utilisation courants afin que vous puissiez commencer à attribuer des autorisations aux utilisateurs, aux groupes et aux rôles.

N'oubliez pas que les politiques AWS gérées peuvent ne pas accorder d'autorisations de moindre privilège pour vos cas d'utilisation spécifiques, car elles sont accessibles à tous les AWS clients. Nous vous recommandons de réduire encore les autorisations en définissant des politiques gérées par le client qui sont propres à vos cas d’utilisation.

Vous ne pouvez pas modifier les autorisations définies dans les politiques AWS gérées. Si les autorisations définies dans une politique AWS gérée sont AWS mises à jour, la mise à jour affecte toutes les identités principales (utilisateurs, groupes et rôles) auxquelles la politique est attachée. AWS est le plus susceptible de mettre à jour une politique AWS gérée lorsqu'une nouvelle Service AWS est lancée ou lorsque de nouvelles opérations d'API sont disponibles pour les services existants.

Pour plus d'informations, consultez la section Politiques AWS gérées dans le Guide de IAM l'utilisateur.

AWS politique gérée : ROSA ManageSubscription

Vous pouvez associer la ROSAManageSubscription politique à vos IAM entités. Avant de procéder ROSA à l'activation dans la AWS ROSA console, vous devez d'abord associer cette politique à un rôle de console.

Cette politique vous accorde les AWS Marketplace autorisations nécessaires pour gérer l' ROSA abonnement.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes.

• aws-marketplace:Subscribe- Accorde l'autorisation de s'abonner au AWS Marketplace produit pour ROSA.

• aws-marketplace:Unsubscribe- Permet aux donneurs d'ordre de supprimer les abonnements aux AWS Marketplace produits.

• aws-marketplace:ViewSubscriptions- Permet aux principaux de consulter les abonnements depuis AWS Marketplace. Cela est nécessaire pour que le IAM principal puisse consulter les AWS Marketplace abonnements disponibles.

Pour consulter le document de politique JSON complet, consultez ROSA ManageSubscription dans le AWS Managed Policy Reference Guide.

AWS politiques gérées pour ROSA avec rôles de compte HCP

Vous pouvez associer ces politiques AWS gérées aux rôles de compte nécessaires pour utiliser ROSA avec des plans de contrôle hébergés (HCP). Les autorisations sont requises pour le support de l'ingénierie de fiabilité des sites (SRE) Red Hat sur le cluster, la création du cluster et les fonctionnalités de calcul.

Les politiques gérées suivantes sont requises :

• ROSA WorkerInstancePolicy — Permet au ROSA service de gérer le cycle de vie des Amazon EC2 instances dans un ROSA cluster.

• ROSASRE SupportPolicy : accorde les autorisations requises aux ingénieurs de fiabilité des sites (SRE) Red Hat pour observer, diagnostiquer et prendre en charge directement les AWS ressources associées aux ROSA clusters, y compris la possibilité de modifier l'état des nœuds du ROSA cluster.

• ROSA InstallerPolicy — Accorde les autorisations requises au programme d'installation pour gérer les AWS ressources qui prennent en charge l'installation du cluster.

AWS politiques gérées pour ROSA avec rôles d'opérateur HCP

Vous pouvez associer ces politiques AWS gérées aux rôles d'opérateur nécessaires pour utiliser ROSA avec des plans de contrôle hébergés (HCP). Les autorisations sont requises pour permettre aux OpenShift opérateurs de gérer ROSA avec des nœuds de cluster HCP.

Les politiques gérées suivantes sont requises :

• RosaAmazoneBSCSI DriverOperatorPolicy — Accorde les autorisations requises à l'opérateur du pilote Amazon EBS CSI pour installer et gérer le pilote CSI sur un cluster. Amazon EBS ROSA

• ROSA IngressOperatorPolicy — Accorde les autorisations requises à l'opérateur d'entrée pour fournir et gérer les équilibreurs de charge et les configurations DNS pour les ROSA clusters. La politique autorise l'accès en lecture aux valeurs des balises. L'opérateur filtre ensuite les valeurs des balises pour les Route 53 ressources afin de découvrir les zones hébergées.

• ROSA ImageRegistryOperatorPolicy — Accorde les autorisations requises à l'opérateur de registre d'images pour fournir et gérer les ressources pour le registre d'images ROSA intégré au cluster et les services dépendants, y compris S3.

• ROSA CloudNetworkConfigOperatorPolicy — Accorde les autorisations requises à l'opérateur Cloud Network Config Controller pour provisionner et gérer les ressources réseau pour la superposition réseau du ROSA cluster.

• ROSA KubeControllerPolicy — Accorde les autorisations requises au contrôleur Kube pour gérer Amazon EC2 Elastic Load Balancing, ainsi que les AWS KMS ressources pour un cluster ROSA avec des plans de contrôle hébergés.

• ROSA NodePoolManagementPolicy — Accorde les autorisations requises au NodePool contrôleur pour décrire, exécuter et mettre fin aux Amazon EC2 instances gérées en tant que nœuds de travail. Cette politique permet également le chiffrement du disque du volume racine du nœud de travail à l'aide de AWS KMS clés.

• ROSAMS ProviderPolicy — Accorde les autorisations requises au fournisseur de AWS chiffrement intégré pour gérer les AWS KMS clés prenant en charge le chiffrement des données, etc. Cette politique permet Amazon EC2 de chiffrer et de déchiffrer les etcd données à l'aide des clés KMS fournies par le fournisseur de AWS chiffrement.

• ROSA ControlPlaneOperatorPolicy — Accorde les autorisations nécessaires à l'opérateur du plan de contrôle pour gérer les clusters de plans de contrôle ROSA hébergés Amazon EC2 et les Route 53 ressources nécessaires à leur gestion.

Pour consulter les autorisations des politiques gérées, consultez les politiques AWS gérées dans le Guide de référence des politiques AWS gérées.

ROSA mises à jour des politiques AWS gérées

Consultez les détails des mises à jour des politiques AWS gérées ROSA depuis que ce service a commencé à suivre ces modifications. Pour recevoir des alertes automatiques concernant les modifications apportées à cette page, abonnez-vous au flux RSS sur la page d'historique du ROSA document.

Modification	Description	Date
ROSA NodePoolManagementPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au gestionnaire de pool de ROSA nœuds de décrire les ensembles d'options DHCP afin de définir les noms DNS privés appropriés. Pour en savoir plus, consultez ROSA NodePoolManagementPolicy.	2 mai 2024
ROSA InstallerPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au ROSA programme d'installation d'ajouter des balises aux sous-réseaux en utilisant la correspondance "kubernetes.io/cluster/*" des clés de balise. Pour en savoir plus, consultez ROSA InstallerPolicy.	24 avril 2024
ROSASRE SupportPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au rôle SRE de récupérer des informations sur les profils d'instance marqués ROSA commered-hat-managed. Pour en savoir plus, consultez ROSASRE SupportPolicy.	10 avril 2024
ROSA InstallerPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au ROSA programme d'installation de vérifier que les politiques AWS gérées pour ROSA sont associées aux IAM rôles utilisés par ROSA. Cette mise à jour permet également au programme d'installation de déterminer si des politiques gérées par le client ont été associées aux ROSA rôles. Pour en savoir plus, consultez ROSA InstallerPolicy.	10 avril 2024
ROSA InstallerPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au service de fournir des messages d'alerte au programme d'installation lorsque l'installation du cluster échoue en raison de l'absence d'un fournisseur OIDC de cluster spécifié par le client. Cette mise à jour permet également au service de récupérer les serveurs de noms DNS existants afin que les opérations de provisionnement de clusters soient idempotentes. Pour en savoir plus, consultez ROSA InstallerPolicy.	26 janvier 2024
ROSASRE SupportPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre au service d'effectuer des opérations de lecture sur les groupes de sécurité à l'aide de l' DescribeSecurityGroups API. Pour en savoir plus, consultez ROSASRE SupportPolicy.	22 janvier 2024
ROSA ImageRegistryOperatorPolicy — Politique mise à jour	ROSA a mis à jour la politique afin de permettre à l'opérateur du registre d'images d'effectuer des actions sur les Amazon S3 compartiments dans les régions portant des noms à 14 caractères. Pour en savoir plus, consultez ROSA ImageRegistryOperatorPolicy.	12 décembre 2023
ROSA KubeControllerPolicy — Politique mise à jour	ROSA a mis à jour la politique pour kube-controller-manager permettre de décrire les zones de disponibilité, les Amazon EC2 instances, les tables de routage, les groupes de sécurité, les VPC et les sous-réseaux. Pour en savoir plus, consultez ROSA KubeControllerPolicy.	16 octobre 2023
ROSA ManageSubscription — Politique mise à jour	ROSA a mis à jour la politique pour ajouter le ROSA avec des plans de contrôle hébergés ProductId. Pour en savoir plus, consultez ROSA ManageSubscription.	1er août 2023
ROSA KubeControllerPolicy — Politique mise à jour	ROSA a mis à jour la politique pour permettre de kube-controller-manager créer des équilibreurs de charge réseau en tant qu'équilibreurs de charge de service Kubernetes. Les équilibreurs de charge réseau offrent une meilleure capacité à gérer les charges de travail volatiles et prennent en charge les adresses IP statiques pour l'équilibreur de charge. Pour en savoir plus, consultez ROSA KubeControllerPolicy.	13 juillet 2023
ROSA NodePoolManagementPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant au NodePool contrôleur de décrire, d'exécuter et de mettre fin aux Amazon EC2 instances gérées en tant que nœuds de travail. Cette politique permet également le chiffrement du disque du volume racine du nœud de travail à l'aide de AWS KMS clés. Pour en savoir plus, consultez ROSA NodePoolManagementPolicy.	8 juin 2023
ROSA InstallerPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique pour permettre au programme d'installation de gérer les AWS ressources qui prennent en charge l'installation du cluster. Pour en savoir plus, consultez ROSA InstallerPolicy.	6 juin 2023
ROSASRE SupportPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant à Red Hat SRE d'observer, de diagnostiquer et de prendre directement en charge les AWS ressources associées aux ROSA clusters, y compris la possibilité de modifier l'état des nœuds du ROSA cluster. Pour en savoir plus, consultez ROSASRE SupportPolicy.	1er juin 2023
ROSAKMS ProviderPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique pour permettre au fournisseur de AWS chiffrement intégré de gérer les AWS KMS clés afin de prendre en charge le chiffrement des données etcd. Pour en savoir plus, consultez ROSAKMS ProviderPolicy.	27 avril 2023
ROSA KubeControllerPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique pour permettre au contrôleur Kube de gérer les clusters de plans de contrôle ROSA hébergés Amazon EC2 Elastic Load Balancing, ainsi que les AWS KMS ressources nécessaires. Pour en savoir plus, consultez ROSA KubeControllerPolicy.	27 avril 2023
ROSA ImageRegistryOperatorPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant à l'opérateur de registre d'images de fournir et de gérer les ressources pour le registre d'images ROSA intégré au cluster et les services dépendants, y compris S3. Pour en savoir plus, consultez ROSA ImageRegistryOperatorPolicy.	27 avril 2023
ROSA ControlPlaneOperatorPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant à l'opérateur du plan de contrôle de gérer les clusters de plans de contrôle ROSA hébergés Amazon EC2 et de gérer les Route 53 ressources nécessaires. Pour en savoir plus, consultez ROSA ControlPlaneOperatorPolicy.	24 avril 2023
ROSA CloudNetworkConfigOperatorPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant à l'opérateur Cloud Network Config Controller de provisionner et de gérer les ressources réseau pour la superposition réseau du ROSA cluster. Pour en savoir plus, consultez ROSA CloudNetworkConfigOperatorPolicy.	20 avril 2023
ROSA IngressOperatorPolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique permettant à l'opérateur d'entrée de provisionner et de gérer les équilibreurs de charge et les configurations DNS pour les ROSA clusters. Pour en savoir plus, consultez ROSA IngressOperatorPolicy.	20 avril 2023
DriverOperatorPolicy RosaAmazoneBSCSI — Nouvelle politique ajoutée	ROSA a ajouté une nouvelle politique permettant à l'opérateur du pilote Amazon EBS CSI d'installer et de gérer le pilote Amazon EBS CSI sur un ROSA cluster. Pour en savoir plus, consultez DriverOperatorPolicyRosaAmazoneBSCSI.	20 avril 2023
ROSA WorkerInstancePolicy — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique pour permettre au service de gérer les ressources du cluster. Pour en savoir plus, consultez ROSA WorkerInstancePolicy.	20 avril 2023
ROSA ManageSubscription — Ajout d'une nouvelle politique	ROSA a ajouté une nouvelle politique pour accorder les AWS Marketplace autorisations nécessaires à la gestion de l' ROSA abonnement. Pour en savoir plus, consultez ROSA ManageSubscription.	11 avril 2022
Red Hat OpenShift Service on AWS a commencé à suivre les modifications	Red Hat OpenShift Service on AWS a commencé à suivre les modifications apportées AWS à ses politiques gérées.	2 mars 2022