AWS 受管理的政策 ROSA - Red Hat OpenShift Service on AWS

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

AWS 受管理的政策 ROSA

受 AWS 管理的策略是由建立和管理的獨立策略 AWS。 AWS 受管理的策略旨在為許多常見使用案例提供權限,以便您可以開始將權限指派給使用者、群組和角色。

請記住, AWS 受管理的政策可能不會為您的特定使用案例授與最低權限權限,因為這些權限可供所有 AWS 客戶使用。我們建議您定義使用案例專屬的客戶管理政策,以便進一步減少許可。

您無法變更受 AWS 管理策略中定義的權限。如果 AWS 更新 AWS 受管理原則中定義的權限,則此更新會影響附加原則的所有主體識別 (使用者、群組和角色)。 AWS 當新的啟動或新API作業可供現有服務使 AWS 服務 用時,最有可能更新 AWS 受管理的策略。如需詳細資訊,請參閱 IAM 使用指南中的AWS 受管理策略

AWS 受管理的策略:ROSAManageSubscription

您可以將ROSAManageSubscription原則附加至您的 IAM 實體。在 AWS ROSA 主控台 ROSA 中啟用之前,必須先將此原則附加至主控台角色。

此原則會授予您管理 ROSA 訂閱所需的 AWS Marketplace 權限。

許可詳細資訊

此政策包含以下許可。

  • aws-marketplace:Subscribe-授予訂閱 AWS Marketplace 產品的權限 ROSA。

  • aws-marketplace:Unsubscribe-允許主參與者移除 AWS Marketplace 產品的訂閱。

  • aws-marketplace:ViewSubscriptions-允許主參與者從中 AWS Marketplace檢視訂閱。這是必要的, IAM 主體才能檢視可用的 AWS Marketplace 訂閱。

若要檢視完整的JSON政策文件,請參閱ROSAManageSubscription AWS 管理策略參考指南中的。

ROSA與HCP帳戶策略

本節提供託管控制平面 (HCP) 所需帳號策略ROSA的詳細資料。這些 AWS 受管理的原則會新增HCPIAM角色使ROSA用的權限。Red Hat 網站可靠性工程 (SRE) 技術支援、叢集安裝、控制平面和運算功能都需要這些權限。

注意

AWS 受管理的策略旨在ROSA與託管控制平面 (HCP) 搭配使用。ROSA傳統叢集使用客戶受管IAM政策。如需有關ROSA傳統策略的詳細資訊,請參閱ROSA傳統帳戶策略ROSA經典操作員政策

AWS 受管理的策略:ROSAWorkerInstancePolicy

您可以附加ROSAWorkerInstancePolicy到您的 IAM 實體。建立ROSA含託管控制平面叢集之前,您必須先將此原則附加至背景工作者IAM角色。

許可詳細資訊

此原則包含下列權限,可讓 ROSA 服務完成下列工作:

  • ec2— 作為 ROSA 叢集中工作者節點生命週期管理的一部分,檢閱 AWS 區域 和 Amazon EC2 執行個體詳細資料。

若要檢視完整的JSON政策文件,請參閱ROSAWorkerInstancePolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSASRESupportPolicy

您可以附加ROSASRESupportPolicy到您的IAM實體。

建立ROSA含託管控制平面叢集之前,您必須先將此原則附加至支援IAM角色。此原則會將必要的權限授予 Red Hat 網站可靠性工程師 (SREs),以直接觀察、診斷及支援與 ROSA 叢集相關的 AWS 資源,包括變更 ROSA 叢集節點狀態的能力。

許可詳細資訊

此原則包含下列權限,可讓 Red Hat SREs 完成下列工作:

  • cloudtrail— 讀取與叢集相關的 AWS CloudTrail 事件和追蹤。

  • cloudwatch— 讀取與叢 Amazon CloudWatch 集相關的指標。

  • ec2— 讀取、描述和檢閱與叢集健全狀況相關的 Amazon EC2 元件,例如安全群組、VPC端點連線和磁碟區狀態。啟動、停止、重新啟動和終止 Amazon EC2 執行個體。

  • elasticloadbalancing— 讀取、描述和檢閱叢集健康狀態相關的 Elastic Load Balancing 參數。

  • iam— 評估與叢集健全狀況相關的 IAM 角色。

  • route53— 檢閱與叢集健全狀況相關的DNS設定。

  • stsDecodeAuthorizationMessage — 讀取 IAM 消息以進行調試。

若要檢視完整的JSON政策文件,請參閱ROSASRESupportPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAInstallerPolicy

您可以附加ROSAInstallerPolicy到您的 IAM 實體。

建立ROSA含託管控制平面叢集之前,您必須先將此原則附加至名為的IAM角色[Prefix]-ROSA-Worker-Role。此原則可讓實體將遵循[Prefix]-ROSA-Worker-Role模式的任何角色新增至執行個體設定檔。此原則會授與必要的權限給安裝程式,以管理支援 ROSA 叢集安裝的 AWS 資源。

許可詳細資訊

此原則包含下列權限,可讓安裝程式完成下列工作:

  • ec2— 使用 Red Hat AWS 帳戶 擁有和管理的AMIs託管來 Amazon EC2 執行執行個體。說明與 Amazon EC2 節點相關聯的 Amazon EC2 執行個體、磁碟區和網路資源。需要此權限,以便 Kubernetes 控制平面可以將執行個體加入叢集,並且叢集可以評估其在其中的存在情況。 Amazon VPC使用標籤索引鍵比對"kubernetes.io/cluster/*"來標記子網路。為了確保用於叢集輸入的負載平衡器僅在適用的子網路中建立,這是必要的。

  • elasticloadbalancing— 將負載平衡器新增至叢集上的目標節點。從叢集上的目標節點移除負載平衡器。需要此權限,Kubernetes 控制平面才能動態佈建 Kubernetes 服務和應用程式服務所要求的負載平衡器。 OpenShift

  • kms— 讀取 AWS KMS 金鑰、建立和管理授權 Amazon EC2,以及傳回唯一的對稱資料金鑰以供外部 AWS KMS使用。當建立叢集時啟用加密時,使用etcd加密etcd資料是必要的。

  • iam— 驗證IAM角色和原則。動態佈建和管理叢集相關的 Amazon EC2 執行個體設定檔。使用iam:TagInstanceProfile權限將標籤新增至IAM執行個體設定檔。當叢集安裝因缺少客戶指定的叢集提供OIDC者而失敗時,提供安裝程式錯誤訊息。

  • route53— 管理建立叢集所需的 Route 53 資源。

  • servicequotas— 評估建立叢集所需的服務配額。

  • sts— 建立 ROSA 元件的臨時 AWS STS 認證。假設用於建立叢集的認證。

  • secretsmanager— 讀取秘密值,以安全地允許客戶管理的OIDC配置作為叢集佈建的一部分。

若要檢視完整的JSON政策文件,請參閱ROSAInstallerPolicy AWS 管理策略參考指南中的。

ROSA與HCP操作員政策

本節提供託管控制平面 (HCP) 所需ROSA的操作員原則的詳細資料。您可以將這些 AWS 受管理的政策附加到ROSA搭配使用所需的操作員角色HCP。需要權限才能允許 OpenShift 操作員ROSA使用HCP叢集節點進行管理。

注意

AWS 受管理的策略旨在ROSA與託管控制平面 (HCP) 搭配使用。ROSA傳統叢集使用客戶受管IAM政策。如需有關ROSA傳統策略的詳細資訊,請參閱ROSA傳統帳戶策略ROSA經典操作員政策

AWS 受管理策略:ROSAAmazonEBSCSIDriverOperatorPolicy

您可以附加ROSAAmazonEBSCSIDriverOperatorPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則授予 Amazon EBS CSI驅動程式操作員必要的權限,以便在 ROSA 叢集上安裝和維護 Amazon EBS CSI驅動程式。如需有關運算子的詳細資訊,請參閱 OpenShift GitHub 文件中的aws-ebs-csi-driver 運算子

許可詳細資訊

此原則包含下列權限,可讓 Amazon EBS 驅動程式操作員完成下列工作:

  • ec2— 建立、修改、連接、卸離和刪除連接至 Amazon EC2 執行個體的 Amazon EBS 磁碟區。建立和刪除磁 Amazon EBS 碟區快照,並列出 Amazon EC2 執行個體、磁碟區和快照。

若要檢視完整的JSON政策文件,請參閱ROSAAmazonEBSCSIDriverOperatorPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAIngressOperatorPolicy

您可以附加ROSAIngressOperatorPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則會將必要的權限授與 Ingress 操作員,以佈建和管理叢集的負載平衡器和DNS組態。 ROSA 此原則允許讀取標籤值。然後,操作員會篩選 Route 53 資源的標籤值,以探索託管區域。如需有關操作員的詳細資訊,請參閱 OpenShift GitHub 文件中的OpenShift 入口操作員

許可詳細資訊

此原則包含下列權限,可讓 Ingress 操作員完成下列工作:

  • elasticloadbalancing— 描述佈建負載平衡器的狀態。

  • route53— 列出 Route 53 託管區域並編輯管理由ROSA群集DNS控制的記錄。

  • tag— 使用權限管理已標記的tag:GetResources資源。

若要檢視完整的JSON政策文件,請參閱ROSAIngressOperatorPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAImageRegistryOperatorPolicy

您可以附加ROSAImageRegistryOperatorPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此政策授予映像登錄操作員所需的權限,以佈建和管理 ROSA 叢集內映像登錄和相依服務 (包括 S3) 的資源。這是必要的,以便操作員可以安裝和維護 ROSA 叢集的內部登錄。如需有關運算子的詳細資訊,請參閱 OpenShift GitHub 文件中的映像登錄操作員

許可詳細資訊

此原則包含下列權限,可讓映像登錄操作員完成下列動作:

  • s3— 將 Amazon S3 值區管理並評估為容器映像內容和叢集中繼資料的持續性儲存區。

若要檢視完整的JSON政策文件,請參閱ROSAImageRegistryOperatorPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSACloudNetworkConfigOperatorPolicy

您可以附加ROSACloudNetworkConfigOperatorPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則會授予雲端網路 Config 控制器操作員所需的權限,以佈建及管理 ROSA 叢集網路覆蓋的網路資源。操作員會使用這些權限來管理 ROSA 叢集中 Amazon EC2 執行個體的私有 IP 位址。如需有關運算子的詳細資訊,請參閱 OpenShift GitHub 文件loud-network-config-controller中的 C

許可詳細資訊

此原則包含下列權限,可讓 Cloud 網路 Config 控制器操作員完成下列工作:

  • ec2— 讀取、指派和說明叢集中連線 Amazon EC2 執行個體、 Amazon VPC 子網路和彈性網路介面的 ROSA 組態。

若要檢視完整的JSON政策文件,請參閱ROSACloudNetworkConfigOperatorPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAKubeControllerPolicy

您可以附加ROSAKubeControllerPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則會授與 kube 控制器所需的權限 Amazon EC2 Elastic Load Balancing,以便管理ROSA與託管控制平面叢集的 AWS KMS 資源。如需有關此控制器的詳細資訊,請參閱 OpenShift 文件中的控制器架構

許可詳細資訊

此原則包含下列權限,可讓 kube 控制器完成下列工作:

  • ec2— 建立、刪除和新增標籤至 Amazon EC2 執行個體安全群組。將輸入規則新增至安全群組。說明可用區域、 Amazon EC2 執行個體、路由表、安全群組和子網路。VPCs

  • elasticloadbalancing— 建立和管理負載平衡器及其原則。建立和管理負載平衡器接聽程式。向目標群組註冊目標並管理目標群組。使用負載平衡器註冊和取消註冊 Amazon EC2 執行個體,並將標籤新增至負載平衡器。

  • kms-檢索有關 AWS KMS 密鑰的詳細信息。當建立叢集時啟用加密時,使用etcd加密etcd資料是必要的。

若要檢視完整的JSON政策文件,請參閱ROSAKubeControllerPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSANodePoolManagementPolicy

您可以附加ROSANodePoolManagementPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許裝載的控制平面叢集呼叫其他 AWS 服務。ROSA每個叢集都需要一組唯一的操作員角色。

此原則會將必要的權限授與 NodePool 控制器,以描述、執行及終止以 Worker 節點形式管理的 Amazon EC2 執行個體。此原則也授與允許使用 AWS KMS 金鑰對 Worker 節點根磁碟區進行磁碟加密的權限。如需有關此控制器的詳細資訊,請參閱 OpenShift 文件中的控制器架構

許可詳細資訊

此原則包含下列權限,可讓 NodePool 控制器完成下列工作:

  • ec2— 使用 Red Hat AWS 帳戶 擁有和管理的AMIs託管來 Amazon EC2 執行執行個體。管理EC2叢集中的 ROSA 生命週期。使用 Elastic Load Balancing、 Amazon VPC、和動態建立和整合工作者節點 Amazon EC2。 Route 53 Amazon EBS

  • iam— 透 Elastic Load Balancing 過名為AWSServiceRoleForElasticLoadBalancing的服務連結角色使用。指派角色給 Amazon EC2 執行個體設定檔。

  • kms— 讀取 AWS KMS 金鑰、建立和管理授權 Amazon EC2,以及傳回唯一的對稱資料金鑰以供外部 AWS KMS使用。若要允許 Worker 節點根磁碟區進行磁碟加密,這是必要的。

若要檢視完整的JSON政策文件,請參閱ROSANodePoolManagementPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAKMSProviderPolicy

您可以附加ROSAKMSProviderPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則會將必要權限授與內建的 AWS 加密提供者,以管理支援資etcd料加密的 AWS KMS 金鑰。此原則允許 Amazon EC2 使用 AWS 加密提供者提供的KMS金鑰來加密和解密etcd資料。如需有關此提供者的詳細資訊,請參閱 Kubernetes 文 GitHub 件中的AWS 加密提供者

許可詳細資訊

此原則包含下列權限,可讓加 AWS 密提供者完成下列工作:

  • kms— 加密, 解密, 和檢索密 AWS KMS 鑰. 當建立叢集時啟用加密時,使用etcd加密etcd資料是必要的。

若要檢視完整的JSON政策文件,請參閱ROSAKMSProviderPolicy AWS 管理策略參考指南中的。

AWS 受管理策略:ROSAControlPlaneOperatorPolicy

您可以附加ROSAControlPlaneOperatorPolicy到您的 IAM 實體。您必須將此原則附加至操作員IAM角色,才能允許ROSA具有託管控制平面的叢集對其他叢集進行呼叫 AWS 服務。每個叢集都需要一組唯一的操作員角色。

此原則會授ROSA與控制平面操作員所需的權限,以便管理 Amazon EC2 託管控制平面叢集的 Route 53 資源。如需有關此運算子的詳細資訊,請參閱 OpenShift 文件中的控制器架構

許可詳細資訊

此原則包含下列權限,可讓控制平面操作員完成下列工作:

  • ec2— 建立和管理 Amazon VPC 端點。

  • route53— 列出和更改 Route 53 記錄集和列出託管區域.

若要檢視完整的JSON政策文件,請參閱ROSAControlPlaneOperatorPolicy AWS 管理策略參考指南中的。

ROSAAWS 受管理策略的更新

檢視 ROSA 自此服務開始追蹤這些變更以來的 AWS 受管理策略更新詳細資料。如需有關此頁面變更的自動警示,請訂閱文件歷史記錄頁面上的RSS摘要。

變更 描述 日期

ROSANodePoolManagementPolicy— 政策更新

ROSA 已更新原則,以允許 ROSA 節點集區管理員描述DHCP選項集,以便設定適當的私人DNS名稱。如需進一步了解,請參閱AWS 受管理策略:ROSANodePoolManagementPolicy

2024年5月2日

ROSAInstallerPolicy— 政策更新

ROSA 已更新原則,允許 ROSA 安裝程式使用標籤金鑰比對"kubernetes.io/cluster/*"將標籤新增至子網路。如需進一步了解,請參閱AWS 受管理策略:ROSAInstallerPolicy

2024年4月24日

ROSASRESupportPolicy— 政策更新

ROSA 已更新原則,以允許SRE角色擷取已標記 ROSA 為的執行個體設定檔相關資訊red-hat-managed。如需進一步了解,請參閱AWS 受管理策略:ROSASRESupportPolicy

2024年4月10日

ROSAInstallerPolicy— 政策更新

ROSA 已更新原則,以允許 ROSA 安裝程式驗證的 AWS 受管理原則 ROSA 是否已附加至使用的 IAM 角色 ROSA。此更新也可讓安裝程式識別是否已將客戶管理的政策附加至 ROSA 角色。如需進一步了解,請參閱AWS 受管理策略:ROSAInstallerPolicy

2024年4月10日

ROSAInstallerPolicy— 政策更新

ROSA 已更新原則,以允許服務在因缺少客戶指定的叢集提供OIDC者而導致叢集安裝失敗時提供安裝程式警示訊息。此更新也允許服務擷取現有的DNS名稱伺服器,以便叢集佈建作業具有冪等性。如需進一步了解,請參閱AWS 受管理策略:ROSAInstallerPolicy

2024年1月26日

ROSASRESupportPolicy— 政策更新

ROSA 已更新原則,以允許服務對使用的安全性群組執行讀取作業 DescribeSecurityGroups API。如需進一步了解,請參閱AWS 受管理策略:ROSASRESupportPolicy

2024年1月22日

ROSAImageRegistryOperatorPolicy— 政策更新

ROSA 已更新原則,以允許映像登錄操作員對具有 14 個字元名稱的區域中的 Amazon S3 值區採取動作。如需進一步了解,請參閱AWS 受管理策略:ROSAImageRegistryOperatorPolicy

2023 年 12 月 12 日

ROSAKubeControllerPolicy— 政策更新

ROSA 已更新原則,以允許說明可用區域、 Amazon EC2 執行個體、路由表、安全群組和子網路。 kube-controller-manager VPCs如需進一步了解,請參閱AWS 受管理策略:ROSAKubeControllerPolicy

2023 年 10 月 16 日

ROSAManageSubscription— 政策更新

ROSA 更新了策略以添加ROSA託管控制平面 ProductId。如需進一步了解,請參閱AWS 受管理的策略:ROSAManageSubscription

2023 年 8 月 1 日

ROSAKubeControllerPolicy— 政策更新

ROSA 已更新原則,以允許將網路負載平衡器建立為 Kubernetes 服務負載平衡器。 kube-controller-manager 網路負載平衡器提供更強大的處理揮發性工作負載的能力,並支援負載平衡器的靜態 IP 位址。如需進一步了解,請參閱AWS 受管理策略:ROSAKubeControllerPolicy

2023 年 7 月 13 日

ROSANodePoolManagementPolicy-添加了新策略

ROSA 新增了一個新的政策,允許 NodePool 控制器描述、執行和終止作為工作節點管理的 Amazon EC2 執行個體。此原則也會使用金鑰啟用 Worker 節點根磁碟區的磁碟加 AWS KMS 密。如需進一步了解,請參閱AWS 受管理策略:ROSANodePoolManagementPolicy

2023 年 6 月 8 日

ROSAInstallerPolicy-添加了新策略

ROSA 增加了一個新的策略,以允許安裝程序管理支持集群安裝的 AWS 資源。如需進一步了解,請參閱AWS 受管理策略:ROSAInstallerPolicy

2023 年 6 月 6 日

ROSASRESupportPolicy-添加了新策略

ROSA 新增政策讓 Red Hat 能夠直SREs接觀察、診斷及支援與 ROSA 叢集相關的 AWS 資源,包括變更 ROSA 叢集節點狀態的能力。如需進一步了解,請參閱AWS 受管理策略:ROSASRESupportPolicy

2023 年 6 月 1 日

ROSAKMSProviderPolicy-添加了新策略

ROSA 已新增新原則,以允許內建的 AWS 加密提供者管理 AWS KMS 金鑰以支援 etcd 資料加密。如需進一步了解,請參閱AWS 受管理策略:ROSAKMSProviderPolicy

2023 年 4 月 27 日

ROSAKubeControllerPolicy-添加了新策略

ROSA 增加了一個新的策略,允許 kube 控制器管理 Amazon EC2 Elastic Load Balancing,並 ROSA 與託管控制平面集群的 AWS KMS 資源。如需進一步了解,請參閱AWS 受管理策略:ROSAKubeControllerPolicy

2023 年 4 月 27 日

ROSAImageRegistryOperatorPolicy-添加了新策略

ROSA 新增政策以允許映像登錄操作員佈建和管理 ROSA 叢集內映像登錄和相依服務 (包括 S3) 的資源。如需進一步了解,請參閱AWS 受管理策略:ROSAImageRegistryOperatorPolicy

2023 年 4 月 27 日

ROSAControlPlaneOperatorPolicy-添加了新策略

ROSA 已新增新原則,以允許控制平面操作員管 Amazon EC2 理託管控制平面叢集的 Route 53 資源。 ROSA 如需進一步了解,請參閱AWS 受管理策略:ROSAControlPlaneOperatorPolicy

2023 年 4 月 24 日

ROSACloudNetworkConfigOperatorPolicy-添加了新策略

ROSA 新增政策,允許雲端網路 Config 控制器操作員為 ROSA 叢集網路覆蓋佈建和管理網路資源。如需進一步了解,請參閱AWS 受管理策略:ROSACloudNetworkConfigOperatorPolicy

2023 年 4 月 20 日

ROSAIngressOperatorPolicy-添加了新策略

ROSA 已新增新原則,允許 Ingress 操作員佈建和管理叢集的負載平衡器和DNS組態。 ROSA 如需進一步了解,請參閱AWS 受管理策略:ROSAIngressOperatorPolicy

2023 年 4 月 20 日

ROSAAmazonEBSCSIDriverOperatorPolicy-添加了新策略

ROSA 添加了一個新的策略,以允許 Amazon EBS CSI驅動程序操作員在 ROSA 集群上安裝和維護 Amazon EBS CSI驅動程序。如需進一步了解,請參閱AWS 受管理策略:ROSAAmazonEBSCSIDriverOperatorPolicy

2023 年 4 月 20 日

ROSAWorkerInstancePolicy-添加了新策略

ROSA 新增政策以允許服務管理叢集資源。如需進一步了解,請參閱AWS 受管理的策略:ROSAWorkerInstancePolicy

2023 年 4 月 20 日

ROSAManageSubscription-添加了新策略

ROSA 已新增政策,以授與管理 ROSA 訂閱所需的 AWS Marketplace 權限。如需進一步了解,請參閱AWS 受管理的策略:ROSAManageSubscription

2022 年 4 月 11 日

Red Hat OpenShift Service on AWS 開始追蹤變更

Red Hat OpenShift Service on AWS 開始追蹤其 AWS 受管理策略的變更。

2022 年 3 月 2 日