Vereiste beheerde identiteiten en roltoewijzingen voor Azure Red Hat OpenShift met gehoste besturingsvlakken (preview)

Azure Red Hat OpenShift met gehoste besturingsvlakken maakt gebruik van door de gebruiker toegewezen beheerde identiteiten om OpenShift-clusteroperators de Azure machtigingen te verlenen die ze nodig hebben om clusterbewerkingen uit te voeren. U moet deze beheerde identiteiten maken en de juiste Azure rollen toewijzen voordat u uw cluster maakt.

In dit artikel wordt uitgelegd hoe beheerde identiteiten werken in Azure Red Hat OpenShift met gehoste besturingsvlakken, wordt elke vereiste identiteit vermeld en worden de roltoewijzingen beschreven die elk nodig hebben.

Hoe beheerde identiteiten werken in Azure Red Hat OpenShift met gehoste besturingsvlakken

In Azure Red Hat OpenShift met gehoste besturingsvlakken worden de OpenShift-clusteroperators die infrastructuur beheren, uitgevoerd als afzonderlijke onderdelen die elk hun eigen Azure machtigingen nodig hebben. In plaats van één referentie te delen, krijgt elke operator een eigen door de gebruiker toegewezen beheerde identiteit met alleen de benodigde machtigingen.

Beheerde identiteiten zijn ingedeeld in drie categorieën:

• Identiteiten van besturingsvlakoperatoren: wordt gebruikt door de OpenShift-operators die worden uitgevoerd op het gehoste besturingsvlak in het Azure-account van Red Hat. Deze operators beheren de clusterbrede infrastructuur, zoals het inrichten van knooppunten, netwerkconfiguratie en inkomend verkeer.
• Datavlak-Operator-identiteiten - Wordt gebruikt door de OpenShift-operators die worden uitgevoerd op de werkknooppunten in uw Azure-account. Voor drie operators (Disk Storage, File Storage en Image Registry) is een afzonderlijke identiteit van het gegevensvlak vereist naast de identiteit van het besturingsvlak.
• Door de service beheerde identiteit - Eén identiteit die door de Azure Red Hat OpenShift-service voor gehoste control planes zelf wordt gebruikt. Met deze identiteit schakelt u de beheerde identiteiten voor de operators van het cluster in en maakt u gefedereerde referenties voor de identiteiten van de operators van het gegevensvlak.

Zie Clusteroperators in de documentatie van OpenShift Container Platform voor meer informatie over OpenShift-clusteroperators .

Vereiste beheerde identiteiten

Voor een Azure Red Hat OpenShift met gehoste besturingsvlakken zijn 13 door de gebruiker toegewezen beheerde identiteiten vereist: negen voor operatoren van het besturingsvlak, drie voor gegevensvlakoperators en één voor de service zelf.
De identiteiten van de operator van het besturingsvlak bevatten een identiteit voor de KMS-operator, die toegang heeft tot de door de klant beheerde etcd-versleutelingssleutel in Azure Key Vault.

Het cluster moet deze beheerde identiteiten hebben in hetzelfde abonnement en dezelfde locatie.
U hebt inzender- en gebruikerstoegangsbeheerdersmachtigingen of eigenaarsmachtigingen voor de resourcegroep nodig om de identiteiten en hun roltoewijzingen te maken.

Identiteiten van operators van het controlevlak

U hebt één door de gebruiker toegewezen beheerde identiteit nodig voor elk van de volgende besturingsvlakoperators:

U moet ook een identiteit hebben voor de KMS-operator:

Operatoridentiteiten van het datavlak

Voor drie operators is een afzonderlijke identiteit van het gegevensvlak vereist, naast de identiteit van het besturingsvlak. U moet één door de gebruiker toegewezen beheerde identiteit hebben voor elk van de volgende gegevensvlakoperators:

Door service beheerde identiteit

U moet beschikken over één door de gebruiker toegewezen beheerde identiteit voor de Azure Red Hat OpenShift-service met gehoste besturingsvlakken. Met deze identiteit worden beheerbewerkingen uitgevoerd op het cluster, worden de beheerde identiteiten voor de clusteroperators ingeschakeld en worden federatieve referenties gemaakt voor de operatoridentiteiten van het gegevensvlak.

Roltoewijzingen

Wijs elke beheerde identiteit een of meer Azure rollen toe aan het juiste bereik. Maak alle roltoewijzingen voordat u het cluster maakt. De bereiken waarnaar in de volgende tabellen wordt verwezen (Subnet, VNet en Network Security Group) zijn dezelfde netwerkresources waar u rekening mee houdt bij het plannen van uw clusternetwerk.

Roltoewijzingen van besturingsvlakoperator

De volgende tabel vermeldt de vereiste roltoewijzing voor elke Operator-identiteit van het besturingsvlak en het bereik waarop de rol is toegewezen.

Voor de KMS-identiteit is ook de volgende roltoewijzing vereist:

Roltoewijzingen van gegevensvlakoperator

De volgende tabel bevat de vereiste roltoewijzingen voor de identiteiten van de operator van het gegevensvlak.

Roltoewijzingen voor door de service beheerde identiteiten

De door de service beheerde identiteit heeft meerdere roltoewijzingen nodig binnen verschillende bereiken.

Toewijzingen van servicerollen

Wijs de servicerol Azure Red Hat OpenShift met gehoste besturingsvlakken toe aan de door de service beheerde identiteit op de volgende bereiken:

• VNet
• Subnet
• Netwerkbeveiligingsgroep

Roltoewijzingen voor lezer

Wijs de rol Lezer toe aan de door de service beheerde identiteit voor elke door de Operator van het besturingsvlak beheerde identiteit. Deze rol verleent de service de mogelijkheid om de eigenschappen van elke Operator-identiteit te lezen tijdens het inrichten van het cluster.

Roltoewijzingen voor federatieve referenties

Wijs de rol Azure Red Hat OpenShift Federated Credential toe aan de door de service beheerde identiteit voor elke door de Operator beheerde identiteit van het datavlak. Deze rol geeft de service de mogelijkheid om gefedereerde referenties te maken waarmee data-plane-operators zich kunnen authenticeren door gebruik te maken van workloadidentiteit.

Verwante onderwerpen

• Uw permanente clusterinstellingen kiezen
• Een cluster maken met aangepaste configuratie
• Wat zijn beheerde identiteiten voor Azure-resources?