Примечание.
Для доступа к этой странице требуется авторизация. Вы можете попробовать войти или изменить каталоги.
Для доступа к этой странице требуется авторизация. Вы можете попробовать изменить каталоги.
Azure Red Hat OpenShift с размещёнными плоскостями управления использует управляемые удостоверения, назначаемые пользователем, чтобы предоставить операторам кластера OpenShift разрешения Azure, необходимые им для выполнения операций кластера. Перед созданием кластера необходимо создать эти управляемые удостоверения и назначить им соответствующие роли Azure.
В этой статье объясняется, как работают управляемые удостоверения в Azure Red Hat OpenShift с размещёнными управляющими плоскостями, перечисляются все необходимые удостоверения и описываются назначения ролей доступа, требуемые для каждого из них.
Как работают управляемые удостоверения в Azure Red Hat OpenShift с размещёнными плоскостями управления
В Azure Red Hat OpenShift с размещёнными управляющими плоскостями операторы кластера OpenShift, которые управляют инфраструктурой, работают как отдельные компоненты, каждому из которых требуются собственные разрешения Azure. Вместо использования одних общих учётных данных каждый Оператор получает собственную назначенную пользователем управляемую идентификацию только с теми разрешениями, которые ему необходимы.
Управляемые удостоверения организованы в три категории:
- Идентификаторы операторов плоскости управления — используются операторами OpenShift, работающими в размещённой плоскости управления в учётной записи Azure компании Red Hat. Эти операторы управляют инфраструктурой на уровне кластера, такой как подготовка узлов, конфигурация сети и входящий трафик.
- Идентификаторы операторов плоскости данных — используются операторами OpenShift, которые работают на рабочих узлах в вашей учетной записи Azure. Для трех операторов (Хранилище дисков, хранилища файлов и реестра образов) требуется отдельное удостоверение плоскости данных в дополнение к удостоверению уровня управления.
- Управляемое удостоверение сервиса — единое удостоверение, используемое самой службой размещённых плоскостей управления Azure Red Hat OpenShift. Это удостоверение включает управляемые удостоверения для операторов кластера и создает федеративные учетные данные для удостоверений операторов плоскости данных.
Дополнительные сведения о операторах кластера OpenShift см. в документации по платформе контейнеров OpenShift.
Требуемые управляемые удостоверения
Для кластера Azure Red Hat OpenShift с размещёнными плоскостями управления требуются 13 управляемых удостоверений, назначаемых пользователем: девять для операторов плоскости управления, три для операторов плоскости данных и одно для самой службы.
Идентификаторы операторов управляющей плоскости включают идентификатор для оператора KMS, который получает доступ к управляемому клиентом ключу шифрования etcd в Azure Key Vault.
Кластер должен иметь эти управляемые удостоверения личности в той же подписке и регионе.
Для создания удостоверений и назначений ролей необходимо разрешения администратора доступа пользователей или владельца группы ресурсов.
Идентификаторы операторов плоскости управления
Для каждого из следующих операторов плоскости управления требуется одна управляемая идентичность, назначенная пользователем:
| Operator | Description |
|---|---|
| Поставщик API кластера OpenShift | Управляет узлами, сетями и дисками кластера. |
| Оператор плоскости управления OpenShift | Считывает ресурсы, необходимые для кластера OpenShift. |
| Диспетчер облачных контроллеров OpenShift | Управляет интеграцией поставщиков облачных служб для подсистем балансировки нагрузки и жизненного цикла узлов. |
| Оператор Ingress-кластера OpenShift | Управляет внешним доступом к службам кластеров с помощью подсистем балансировки нагрузки и DNS. |
| Оператор хранилища дисков OpenShift | Управляет постоянными томами диска Azure для кластера. |
| Оператор хранилища файлов OpenShift | Управляет постоянными томами Файлы Azure для кластера. |
| Оператор реестра образов OpenShift | Управляет встроенным реестром образов контейнеров кластера. |
| Оператор сети OpenShift | Управляет конфигурацией облачной сети кластера. |
Кроме того, необходимо иметь удостоверение для оператора KMS:
| Operator | Description |
|---|---|
| Сервер управления ключами | Обращается к ключу шифрования, управляемому клиентом, в Azure Key Vault. |
Идентификаторы оператора плоскости данных
Трем операторам требуется отдельный идентификатор плоскости данных в дополнение к их идентификатору плоскости управления. Для каждого из следующих операторов плоскости данных необходимо иметь один управляемый идентификатор, назначаемый пользователем:
| Operator | Purpose |
|---|---|
| Оператор хранилища дисков OpenShift | Управляет операциями с дисками Azure на рабочих узлах. |
| Оператор хранилища файлов OpenShift | Управляет операциями Файлы Azure с рабочих узлов. |
| Оператор реестра образов OpenShift | Управляет операциями реестра образов с рабочих узлов. |
Управляемая идентификация службы
Для службы Azure Red Hat OpenShift с размещёнными управляющими плоскостями у вас должна быть одна управляемая идентичность, назначаемая пользователем. Эта идентичность выполняет операции управления кластером, включает управляемые идентичности для операторов кластера и создает федеративные учетные данные для идентичностей операторов плоскости данных.
Назначения ролей
Назначьте каждому управляемому удостоверению одну или несколько ролей Azure в нужной области видимости. Создайте все назначения ролей перед созданием кластера. Области, на которые ссылаются в следующих таблицах (подсеть, виртуальная сеть и группа безопасности сети), являются теми же сетевыми ресурсами, которые вы планируете при планировании сети кластера.
Назначения ролей оператора плоскости управления
В следующей таблице перечислены обязательные назначения ролей для каждого удостоверения оператора плоскости управления, а также область назначения роли.
| Манажируемая идентичность | Роль | Объем |
|---|---|---|
| Поставщик API кластера OpenShift | Поставщик Cluster API для размещённых управляющих плоскостей Azure Red Hat OpenShift | Виртуальная сеть и подсеть |
| Оператор плоскости управления OpenShift | Оператор плоскости управления для размещённых плоскостей управления Azure Red Hat OpenShift | Подсеть и группа безопасности сети |
| Диспетчер облачных контроллеров OpenShift | диспетчер облачных контроллеров Azure Red Hat OpenShift | VNet, подсеть и группа безопасности сети |
| Оператор Ingress-кластера OpenShift | Оператор Ingress кластера Azure Red Hat OpenShift | Виртуальная сеть и подсеть |
| Оператор хранилища дисков OpenShift | None | N/A |
| Оператор хранилища файлов OpenShift | Оператор хранилища файлов Azure Red Hat OpenShift | VNet, подсеть и группа безопасности сети |
| Оператор реестра образов OpenShift | Оператор реестра образов Azure Red Hat OpenShift | VNet |
| Оператор сети OpenShift | сетевой оператор Azure Red Hat OpenShift | Виртуальная сеть и подсеть |
Для удостоверения KMS также требуется следующее назначение роли:
| Манажируемая идентичность | Роль | Объем |
|---|---|---|
| Сервер управления ключами | Пользователь шифрования Key Vault | Azure Key Vault |
Назначения ролей оператора плоскости данных
В следующей таблице перечислены необходимые назначения ролей для идентификаторов оператора плоскости данных.
| Манажируемая идентичность | Роль | Объем |
|---|---|---|
| Оператор хранилища дисков OpenShift | None | N/A |
| Оператор хранилища файлов OpenShift | Оператор хранилища файлов Azure Red Hat OpenShift | VNet, подсеть и группа безопасности сети |
| Оператор реестра образов OpenShift | Оператор реестра образов Azure Red Hat OpenShift | VNet |
Назначения ролей для управляемой идентификации службы
Управляемое удостоверение службы требует нескольких назначений ролей в разных областях.
Назначения ролей службы
Назначьте управляемому удостоверению службы роль службы Azure Red Hat OpenShift с размещёнными управляющими плоскостями в следующих областях:
- VNet
- Подсеть
- Группа безопасности сети
Назначения роли «Читатель»
Назначьте роль читателя управляемому удостоверению службы на каждом управляемом удостоверении оператора уровня управления. Эта роль предоставляет службе возможность читать свойства каждого идентификатора Operator при подготовке кластера.
Назначения ролей для федеративных учетных данных
Назначьте роль федеративных учетных данных Azure Red Hat OpenShift управляемому удостоверению службы на каждом управляемом удостоверении оператора плоскости данных. Эта роль предоставляет службе возможность создавать федеративные учетные данные, позволяющие операторам плоскости данных проходить проверку подлинности с помощью удостоверения рабочей нагрузки.