Buat cluster ROSA klasik yang menggunakan AWS PrivateLink - Layanan OpenShift Red Hat di AWS
PrasyaratBuat Amazon VPC arsitekturBuat cluster ROSA klasik menggunakan ROSA CLIdan AWS PrivateLinkKonfigurasi AWS PrivateLink DNSpenerusanKonfigurasikan penyedia identitas dan hibah klaster aksesMemberikan akses pengguna ke klasterKonfigurasikan cluster-admin izinKonfigurasikan dedicated-admin izinAkses a klaster melalui Red Hat Hybrid Cloud ConsoleMenyebarkan aplikasi dari Katalog PengembangMencabut cluster-admin izin dari penggunaMencabut dedicated-admin izin dari penggunaMencabut akses pengguna ke klasterHapus klaster dan AWS STS sumber daya

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Buat cluster ROSA klasik yang menggunakan AWS PrivateLink

ROSAklaster klasik dapat digunakan dalam beberapa cara berbeda: publik, pribadi, atau pribadi dengan AWS PrivateLink. Untuk informasi lebih lanjut tentang ROSA klasik, lihatModel arsitektur. Untuk publik dan swasta klaster konfigurasi, OpenShift klaster memiliki akses ke internet, dan privasi diatur pada beban kerja aplikasi di lapisan aplikasi.

Jika Anda membutuhkan keduanya klaster dan beban kerja aplikasi menjadi pribadi, Anda dapat mengkonfigurasi AWS PrivateLink dengan ROSA klasik. AWS PrivateLink adalah teknologi yang sangat tersedia dan dapat diskalakan yang ROSA digunakan untuk membuat koneksi pribadi antara ROSA layanan dan sumber daya cluster di AWS akun pelanggan. Dengan AWS PrivateLink, tim rekayasa keandalan situs Red Hat (SRE) dapat mengakses cluster untuk tujuan dukungan dan remediasi dengan menggunakan subnet pribadi yang terhubung ke cluster AWS PrivateLink titik akhir.

Untuk informasi lebih lanjut tentang AWS PrivateLink, lihat Apa itu AWS PrivateLink?

Lengkapi tindakan prasyarat yang tercantum dalam. Siapkan untuk digunakan ROSA

Buat Amazon VPC arsitektur

Prosedur berikut menciptakan Amazon VPC arsitektur yang dapat digunakan untuk meng-host cluster. Semua klaster sumber daya di-host di subnet pribadi. Subnet publik mengarahkan lalu lintas keluar dari subnet pribadi melalui NAT gateway ke internet publik. Contoh ini menggunakan CIDR blok 10.0.0.0/16 untuk Amazon VPC. Namun, Anda dapat memilih CIDR blok yang berbeda. Untuk informasi lebih lanjut, lihat VPCukuran.

penting

Jika Amazon VPC persyaratan tidak terpenuhi, pembuatan cluster gagal.

Amazon VPC console

  1. Buka Amazon VPC konsol.

  2. Di VPC dasbor, pilih Buat VPC.

  3. Agar Sumber Daya dapat dibuat, pilih, VPCdan lainnya.

  4. Pastikan pembuatan otomatis tag Nama dipilih untuk membuat tag Nama untuk VPC sumber daya, atau hapus untuk menyediakan tag Nama Anda sendiri untuk VPC sumber daya.

  5. Untuk IPv4CIDRblok, masukkan rentang IPv4 alamat untuk fileVPC. A VPC harus memiliki rentang IPv4 alamat.

  6. (Opsional) Untuk mendukung IPv6 lalu lintas, pilih IPv6CIDRblokir, blok yang disediakan Amazon IPv6 CIDR.

  7. Tinggalkan Tenancy sebagaiDefault.

  8. Untuk Jumlah Availability Zones (AZs), pilih nomor yang Anda butuhkan. Untuk penerapan Multi-AZ, ROSA membutuhkan tiga Availability Zone. Untuk memilih subnet Anda, perluas Kustomisasi AZs. AZs

    catatan

    Beberapa ROSA jenis instance hanya tersedia di Availability Zones tertentu. Anda dapat menggunakan ROSA CLIperintah rosa list instance-types perintah untuk daftar semua ROSA jenis contoh yang tersedia. Untuk memeriksa apakah jenis instans tersedia untuk Availability Zone tertentu, gunakan AWS CLI perintahaws ec2 describe-instance-type-offerings --location-type availability-zone --filters Name=location,Values=<availability_zone> --region <region> --output text | egrep "<instance_type>".

  9. Untuk mengkonfigurasi subnet Anda, pilih nilai untuk Jumlah subnet publik dan Jumlah subnet pribadi. Untuk memilih rentang alamat IP untuk subnet Anda, perluas blok Sesuaikan subnet CIDR.

    catatan

    ROSA mengharuskan pelanggan mengonfigurasi setidaknya satu subnet pribadi per Availability Zone yang digunakan untuk membuat cluster.

  10. Untuk memberikan sumber daya di subnet pribadi akses ke internet publik melaluiIPv4, untuk NATgateway, pilih jumlah AZs di mana untuk membuat gateway. NAT Dalam produksi, kami menyarankan Anda menerapkan NAT gateway di setiap AZ dengan sumber daya yang memerlukan akses ke internet publik.

  11. (Opsional) Jika Anda perlu mengakses Amazon S3 langsung dari AndaVPC, pilih VPCtitik akhir, S3 Gateway.

  12. Biarkan DNS opsi default dipilih. ROSA membutuhkan dukungan DNS nama host di. VPC

  13. Pilih Buat VPC.

AWS CLI

  1. Buat VPC dengan 10.0.0.0/16 CIDR blok.

     aws ec2 create-vpc \
     --cidr-block 10.0.0.0/16 \
     --query Vpc.VpcId \
     --output text

    Perintah sebelumnya mengembalikan ID. VPC Berikut ini adalah output contoh.

    vpc-1234567890abcdef0

  2. Simpan VPC ID dalam variabel lingkungan.

    export VPC_ID=vpc-1234567890abcdef0

  3. Buat Name tag untukVPC, menggunakan variabel VPC_ID lingkungan.

    aws ec2 create-tags --resources $VPC_ID --tags Key=Name,Value=MyVPC

  4. Aktifkan dukungan DNS nama host di file. VPC

    aws ec2 modify-vpc-attribute \
    --vpc-id $VPC_ID \
    --enable-dns-hostnames

  5. Buat subnet publik dan pribadi diVPC, tentukan Availability Zones tempat sumber daya harus dibuat.

    penting

    ROSA mengharuskan pelanggan mengonfigurasi setidaknya satu subnet pribadi per Availability Zone yang digunakan untuk membuat cluster. Untuk penerapan Multi-AZ, diperlukan tiga Availability Zone. Jika persyaratan ini tidak terpenuhi, pembuatan cluster gagal.

    catatan

    Beberapa ROSA jenis instance hanya tersedia di Availability Zones tertentu. Anda dapat menggunakan ROSA CLIperintah rosa list instance-types perintah untuk daftar semua ROSA jenis contoh yang tersedia. Untuk memeriksa apakah jenis instans tersedia untuk Availability Zone tertentu, gunakan AWS CLI perintahaws ec2 describe-instance-type-offerings --location-type availability-zone --filters Name=location,Values=<availability_zone> --region <region> --output text | egrep "<instance_type>".

    aws ec2 create-subnet \
    --vpc-id $VPC_ID \
    --cidr-block 10.0.1.0/24 \
    --availability-zone us-east-1a \
    --query Subnet.SubnetId \
    --output text
aws ec2 create-subnet \
    --vpc-id $VPC_ID \
    --cidr-block 10.0.0.0/24 \
    --availability-zone us-east-1a \
    --query Subnet.SubnetId \
    --output text

  6. Simpan subnet publik dan pribadi IDs dalam variabel lingkungan.

    export PUBLIC_SUB=subnet-1234567890abcdef0
export PRIVATE_SUB=subnet-0987654321fedcba0

  7. Buat gateway internet dan tabel rute untuk lalu lintas keluar. Buat tabel rute dan alamat IP elastis untuk lalu lintas pribadi.

    aws ec2 create-internet-gateway \
    --query InternetGateway.InternetGatewayId \
    --output text
aws ec2 create-route-table \
    --vpc-id $VPC_ID \
    --query RouteTable.RouteTableId \
    --output text
aws ec2 allocate-address \
    --domain vpc \
    --query AllocationId \
    --output text
aws ec2 create-route-table \
    --vpc-id $VPC_ID \
    --query RouteTable.RouteTableId \
    --output text

  8. Menyimpan variabel IDs dalam lingkungan.

    export IGW=igw-1234567890abcdef0
export PUBLIC_RT=rtb-0987654321fedcba0
export EIP=eipalloc-0be6ecac95EXAMPLE
export PRIVATE_RT=rtb-1234567890abcdef0

  9. Lampirkan gateway internet keVPC.

    aws ec2 attach-internet-gateway \
    --vpc-id $VPC_ID \
    --internet-gateway-id $IGW

  10. Kaitkan tabel rute publik ke subnet publik, dan konfigurasikan lalu lintas untuk rute ke gateway internet.

    aws ec2 associate-route-table \
    --subnet-id $PUBLIC_SUB \
    --route-table-id $PUBLIC_RT
aws ec2 create-route \
    --route-table-id $PUBLIC_RT \
    --destination-cidr-block 0.0.0.0/0 \
    --gateway-id $IGW

  11. Buat NAT gateway dan kaitkan dengan alamat IP elastis untuk mengaktifkan lalu lintas ke subnet pribadi.

    aws ec2 create-nat-gateway \
    --subnet-id $PUBLIC_SUB \
    --allocation-id $EIP \
    --query NatGateway.NatGatewayId \
    --output text

  12. Kaitkan tabel rute pribadi ke subnet pribadi, dan konfigurasikan lalu lintas untuk merutekan ke NAT gateway.

    aws ec2 associate-route-table \
    --subnet-id $PRIVATE_SUB \
    --route-table-id $PRIVATE_RT
aws ec2 create-route \
    --route-table-id $PRIVATE_RT \
    --destination-cidr-block 0.0.0.0/0 \
    --gateway-id $NATGW

  13. (Opsional) Untuk penerapan Multi-AZ, ulangi langkah-langkah di atas untuk mengonfigurasi dua Zona Ketersediaan lainnya dengan subnet publik dan pribadi.

Anda dapat menggunakan ROSA CLIdan AWS PrivateLink untuk membuat klaster dengan satu Availability Zone (Single-AZ) atau beberapa Availability Zone (Multi-AZ). Dalam kedua kasus, CIDR nilai mesin Anda harus sesuai dengan CIDR nilai AndaVPC.

Prosedur berikut menggunakan rosa create cluster perintah untuk membuat ROSA klasik klaster. Untuk membuat Multi-AZ klaster, tentukan --multi-az dalam perintah, lalu pilih subnet pribadi IDs yang ingin Anda gunakan saat diminta.

catatan

Jika Anda menggunakan firewall, Anda harus mengkonfigurasinya sehingga ROSA dapat mengakses situs yang diperlukan untuk berfungsi.

Untuk informasi selengkapnya, silakan lihat AWS prasyarat firewall dalam dokumentasi Red Hat. OpenShift

  1. Buat yang dibutuhkan IAM peran akun dan kebijakan menggunakan --mode auto atau--mode manual.

    • rosa create account-roles --classic --mode auto

    • rosa create account-roles --classic --mode manual
      catatan

      Jika token akses offline Anda telah kedaluwarsa, ROSA CLImengeluarkan pesan kesalahan yang menyatakan bahwa token otorisasi Anda perlu diperbarui. Untuk langkah-langkah untuk memecahkan masalah, lihat. Memecahkan masalah token akses offline yang ROSA CLI kedaluwarsa

  2. Buat klaster dengan menjalankan salah satu perintah berikut.

    • AZ Tunggal

      rosa create cluster --private-link --cluster-name=<CLUSTER_NAME> --machine-cidr=10.0.0.0/16 --subnet-ids=<PRIVATE_SUBNET_ID>

    • Multi-AZ

      rosa create cluster --private-link --multi-az --cluster-name=<CLUSTER_NAME> --machine-cidr=10.0.0.0/16
      catatan

      Untuk membuat cluster yang menggunakan AWS PrivateLink dengan AWS Security Token Service (AWS STS) kredensi berumur pendek, tambahkan --sts --mode auto atau --sts --mode manual ke akhir perintah. rosa create cluster

  3. Buat klaster operator IAM peran dengan mengikuti petunjuk interaktif.

    rosa create operator-roles --interactive -c <CLUSTER_NAME>

  4. Buat penyedia OpenID Connect (OIDC) klaster operator gunakan untuk mengautentikasi.

    rosa create oidc-provider --interactive -c <CLUSTER_NAME>

  5. Periksa status Anda klaster.

    rosa describe cluster -c <CLUSTER_NAME>
    catatan

    Mungkin diperlukan waktu hingga 40 menit untuk klaster Statebidang untuk menunjukkan ready status. Jika penyediaan gagal atau tidak ditampilkan ready setelah 40 menit, lihat. Pemecahan Masalah Untuk menghubungi AWS Support atau dukungan Red Hat untuk bantuan, lihatMendapatkan ROSA dukungan.

  6. Lacak kemajuan klaster pembuatan dengan menonton log OpenShift penginstal.

    rosa logs install -c <CLUSTER_NAME> --watch

Cluster yang menggunakan AWS PrivateLink buat zona yang dihosting publik dan zona host pribadi di Route 53. Catatan di dalam Route 53 zona yang dihosting pribadi hanya dapat diselesaikan dari dalam zona VPC yang ditetapkan.

Validasi Let's Encrypt DNS -01 memerlukan zona publik sehingga sertifikat yang valid dan dipercaya publik dapat dikeluarkan untuk domain tersebut. Catatan validasi dihapus setelah validasi Let's Encrypt selesai. Zona ini masih diperlukan untuk menerbitkan dan memperbarui sertifikat ini, yang biasanya diperlukan setiap 60 hari. Meskipun zona ini biasanya tampak kosong, zona publik memainkan peran penting dalam proses validasi.

Untuk informasi lebih lanjut tentang AWS zona yang dihosting pribadi, lihat Bekerja dengan zona pribadi. Untuk informasi selengkapnya tentang zona yang dihosting publik, lihat Bekerja dengan zona yang dihosting publik.

  1. Untuk memungkinkan catatan seperti api.<cluster_domain> dan *.apps.<cluster_domain> untuk menyelesaikan di luarVPC, konfigurasikan Route 53 Resolver titik akhir masuk.

    catatan

    Saat Anda mengonfigurasi titik akhir masuk, Anda diminta untuk menentukan minimal dua alamat IP untuk redundansi. Kami menyarankan Anda menentukan alamat IP di setidaknya dua Availability Zone. Secara opsional Anda dapat menentukan alamat IP tambahan di Availability Zone tersebut atau lainnya.

  2. Saat Anda mengonfigurasi titik akhir masuk, pilih subnet VPC dan pribadi yang digunakan saat Anda membuat cluster.

Setelah Route 53 Resolver endpoint internal terkait dan operasional, konfigurasikan DNS penerusan sehingga DNS kueri dapat ditangani oleh server yang ditunjuk di jaringan Anda.

  1. Konfigurasikan jaringan perusahaan Anda untuk meneruskan DNS kueri ke alamat IP tersebut untuk domain tingkat atas, seperti. drow-pl-01.htno.p1.openshiftapps.com

  2. Jika Anda meneruskan DNS kueri dari satu VPC ke yang lainVPC, ikuti petunjuk dalam Mengelola aturan penerusan.

  3. Jika Anda mengonfigurasi DNS server jaringan jarak jauh, lihat dokumentasi DNS server spesifik Anda untuk mengonfigurasi DNS penerusan selektif untuk domain cluster yang diinstal.

ROSA termasuk OAuth server bawaan. Setelah Anda ROSA klaster dibuat, Anda harus mengkonfigurasi OAuth untuk menggunakan penyedia identitas. Anda kemudian dapat menambahkan pengguna ke penyedia identitas yang dikonfigurasi untuk memberi mereka akses ke klaster. Anda dapat memberikan pengguna cluster-admin atau dedicated-admin izin ini sesuai kebutuhan.

Anda dapat mengonfigurasi berbagai jenis penyedia identitas untuk klaster. Jenis yang didukung termasuk GitHub, GitHub Enterprise, GitLab, Google,LDAP, OpenID Connect, dan penyedia HTPasswd identitas.

penting

Penyedia HTPasswd identitas disertakan hanya untuk memungkinkan satu pengguna administrator statis dibuat. HTPasswdtidak didukung sebagai penyedia identitas penggunaan umum untuk ROSA.

Prosedur berikut mengkonfigurasi penyedia GitHub identitas sebagai contoh. Untuk petunjuk tentang cara mengonfigurasi setiap jenis penyedia identitas yang didukung, lihat Mengonfigurasi penyedia identitas untuk AWS STS.

  1. Arahkan ke github.com dan masuk ke akun Anda. GitHub

  2. Jika Anda tidak memiliki GitHub organisasi untuk digunakan untuk penyediaan identitas untuk Anda ROSA klaster, buat satu. Untuk informasi selengkapnya, lihat langkah-langkah dalam GitHub dokumentasi.

  3. Menggunakan ROSA CLImode interaktif, konfigurasikan penyedia identitas untuk cluster Anda dengan menjalankan perintah berikut.

    rosa create idp --cluster=<CLUSTER_NAME> --interactive

  4. Ikuti petunjuk konfigurasi di output untuk membatasi klaster akses ke anggota GitHub organisasi Anda.

    I: Interactive mode enabled.
Any optional fields can be left empty and a default will be selected.
? Type of identity provider: github
? Identity provider name: github-1
? Restrict to members of: organizations
? GitHub organizations: <GITHUB_ORG_NAME>
? To use GitHub as an identity provider, you must first register the application:
  - Open the following URL:
    https://github.com/organizations/<GITHUB_ORG_NAME>/settings/applications/new?oauth_application%5Bcallback_url%5D=https%3A%2F%2Foauth-openshift.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com%2Foauth2callback%2Fgithub-1&oauth_application%5Bname%5D=<CLUSTER_NAME>&oauth_application%5Burl%5D=https%3A%2F%2Fconsole-openshift-console.apps.<CLUSTER_NAME>/<RANDOM_STRING>.p1.openshiftapps.com
  - Click on 'Register application'
...

  5. Buka URL di output, ganti <GITHUB_ORG_NAME> dengan nama GitHub organisasi Anda.

  6. Di halaman GitHub web, pilih Daftarkan aplikasi untuk mendaftarkan OAuth aplikasi baru di GitHub organisasi Anda.

  7. Gunakan informasi dari GitHub OAuth halaman untuk mengisi permintaan rosa create idp interaktif yang tersisa, mengganti <GITHUB_CLIENT_ID> dan <GITHUB_CLIENT_SECRET> dengan kredensi dari aplikasi Anda. GitHub OAuth

    ...
? Client ID: <GITHUB_CLIENT_ID>
? Client Secret: [? for help] <GITHUB_CLIENT_SECRET>
? GitHub Enterprise Hostname (optional):
? Mapping method: claim
I: Configuring IDP for cluster '<CLUSTER_NAME>'
I: Identity Provider 'github-1' has been created.
   It will take up to 1 minute for this configuration to be enabled.
   To add cluster administrators, see 'rosa grant user --help'.
   To login into the console, open https://console-openshift-console.apps.<CLUSTER_NAME>.<RANDOM_STRING>.p1.openshiftapps.com and click on github-1.
    catatan

    Mungkin diperlukan waktu sekitar dua menit agar konfigurasi penyedia identitas menjadi aktif. Jika Anda mengonfigurasi cluster-admin pengguna, Anda dapat menjalankan oc get pods -n openshift-authentication --watch perintah untuk melihat OAuth pod di-deploy ulang dengan konfigurasi yang diperbarui.

  8. Verifikasi penyedia identitas telah dikonfigurasi dengan benar.

    rosa list idps --cluster=<CLUSTER_NAME>

Anda dapat memberikan akses pengguna ke klaster dengan menambahkannya ke penyedia identitas yang dikonfigurasi.

Prosedur berikut menambahkan pengguna ke GitHub organisasi yang dikonfigurasi untuk penyediaan identitas ke cluster.

  1. Arahkan ke github.com dan masuk ke akun Anda. GitHub

  2. Mengundang pengguna yang membutuhkan klaster akses ke GitHub organisasi Anda. Untuk informasi selengkapnya, lihat Mengundang pengguna untuk bergabung dengan organisasi Anda dalam GitHub dokumentasi.

  1. Berikan cluster-admin izin menggunakan perintah berikut. Ganti <IDP_USER_NAME> dan <CLUSTER_NAME> dengan nama pengguna dan cluster Anda.

    rosa grant user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. Verifikasi bahwa pengguna terdaftar sebagai anggota cluster-admins grup.

    rosa list users --cluster=<CLUSTER_NAME>

  1. Berikan dedicated-admin izin dengan perintah berikut. Ganti <IDP_USER_NAME> dan <CLUSTER_NAME> dengan pengguna Anda dan klaster nama.

    rosa grant user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. Verifikasi bahwa pengguna terdaftar sebagai anggota cluster-admins grup.

    rosa list users --cluster=<CLUSTER_NAME>

Setelah Anda membuat klaster pengguna administrator atau menambahkan pengguna ke penyedia identitas yang dikonfigurasi, Anda dapat masuk ke klaster melalui Red Hat Hybrid Cloud Console.

  1. Dapatkan konsol URL untuk Anda klaster menggunakan perintah berikut. Ganti <CLUSTER_NAME> dengan nama Anda klaster.

    rosa describe cluster -c <CLUSTER_NAME> | grep Console

  2. Arahkan ke konsol URL di output dan masuk.

    • Jika Anda membuat cluster-admin pengguna, masuk menggunakan kredensi yang disediakan.

    • Jika Anda mengonfigurasi penyedia identitas untuk klaster, pilih nama penyedia identitas di dialog Masuk dengan... dan lengkapi permintaan otorisasi yang disajikan oleh penyedia Anda.

Dari Red Hat Hybrid Cloud Console, Anda dapat menerapkan aplikasi pengujian Katalog Pengembang dan mengeksposnya dengan rute.

  1. Arahkan ke Red Hat Hybrid Cloud Console dan pilih cluster tempat Anda ingin menerapkan aplikasi.

  2. Pada halaman cluster, pilih Open console.

  3. Dalam perspektif Administrator, pilih Home > Projects > Create Project.

  4. Masukkan nama untuk proyek Anda dan secara opsional tambahkan Nama Tampilan dan Deskripsi.

  5. Pilih Buat untuk membuat proyek.

  6. Beralih ke perspektif Pengembang dan pilih +Tambah. Pastikan bahwa proyek yang dipilih adalah yang baru saja dibuat.

  7. Dalam dialog Katalog Pengembang, pilih Semua layanan.

  8. Di halaman Katalog Pengembang, pilih Bahasa > JavaScriptdari menu.

  9. Pilih Node.js, lalu pilih Create Application untuk membuka halaman Create Source-to-Image Application.

    catatan

    Anda mungkin perlu memilih Hapus Semua Filter untuk menampilkan opsi Node.js.

  10. Di bagian Git, pilih Coba Sampel.

  11. Di bidang Nama, tambahkan nama unik.

  12. Pilih Buat.

    catatan

    Aplikasi baru membutuhkan waktu beberapa menit untuk digunakan.

  13. Ketika penyebaran selesai, pilih rute URL untuk aplikasi.

    Tab baru di browser terbuka dengan pesan yang mirip dengan berikut ini.

    Welcome to your Node.js application on OpenShift

  14. (Opsional) Hapus aplikasi dan bersihkan sumber daya.

    1. Dalam perspektif Administrator, pilih Home > Projects.

    2. Buka menu tindakan untuk proyek Anda dan pilih Hapus Proyek.

  1. Cabut cluster-admin izin menggunakan perintah berikut. Ganti <IDP_USER_NAME> dan <CLUSTER_NAME> dengan pengguna Anda dan klaster nama.

    rosa revoke user cluster-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. Verifikasi bahwa pengguna tidak terdaftar sebagai anggota cluster-admins grup.

    rosa list users --cluster=<CLUSTER_NAME>

  1. Cabut dedicated-admin izin menggunakan perintah berikut. Ganti <IDP_USER_NAME> dan <CLUSTER_NAME> dengan pengguna Anda dan klaster nama.

    rosa revoke user dedicated-admin --user=<IDP_USER_NAME> --cluster=<CLUSTER_NAME>

  2. Verifikasi bahwa pengguna tidak terdaftar sebagai anggota dedicated-admins grup.

    rosa list users --cluster=<CLUSTER_NAME>

Anda dapat mencabut klaster akses untuk pengguna penyedia identitas dengan menghapusnya dari penyedia identitas yang dikonfigurasi.

Anda dapat mengonfigurasi berbagai jenis penyedia identitas untuk klaster. Prosedur berikut mencabut klaster akses untuk anggota GitHub organisasi.

  1. Arahkan ke github.com dan masuk ke akun Anda. GitHub

  2. Hapus pengguna dari GitHub organisasi Anda. Untuk informasi selengkapnya, lihat Menghapus anggota dari organisasi Anda di GitHub dokumentasi.

Anda dapat menggunakan ROSA CLIuntuk menghapus klaster yang menggunakan AWS Security Token Service (AWS STS). Anda juga dapat menggunakan ROSA CLIuntuk menghapus IAM peran dan OIDC penyedia yang dibuat oleh ROSA. Untuk menghapus IAM kebijakan yang dibuat oleh ROSA, Anda dapat menggunakan IAM konsol.

penting

IAM peran dan kebijakan yang dibuat oleh ROSA dapat digunakan oleh orang lain ROSA cluster di akun yang sama.

  1. Hapus klaster dan perhatikan log. Ganti <CLUSTER_NAME> dengan nama atau ID Anda klaster.

    rosa delete cluster --cluster=<CLUSTER_NAME> --watch
    penting

    Anda harus menunggu klaster untuk menghapus sepenuhnya sebelum Anda menghapus IAM peran, kebijakan, dan OIDC penyedia. IAMPeran akun diperlukan untuk menghapus sumber daya yang dibuat oleh penginstal. IAMPeran operator diperlukan untuk membersihkan sumber daya yang dibuat oleh OpenShift operator. Operator menggunakan OIDC penyedia untuk mengautentikasi.

  2. Hapus OIDC penyedia yang klaster operator gunakan untuk mengautentikasi dengan menjalankan perintah berikut.

    rosa delete oidc-provider -c <CLUSTER_ID> --mode auto

  3. Hapus operator khusus cluster IAM peran.

    rosa delete operator-roles -c <CLUSTER_ID> --mode auto

  4. Hapus IAM peran akun menggunakan perintah berikut. Ganti <PREFIX> dengan awalan IAM peran akun yang akan dihapus. Jika Anda menetapkan awalan kustom saat membuat IAM peran akun, tentukan ManagedOpenShift awalan default.

    rosa delete account-roles --prefix <PREFIX> --mode auto

  5. Hapus IAM kebijakan yang dibuat oleh ROSA.

    1. Masuk ke IAM konsol.

    2. Di menu sebelah kiri di bawah Manajemen akses, pilih Kebijakan.

    3. Pilih kebijakan yang ingin Anda hapus dan pilih Tindakan > Hapus.

    4. Masukkan nama kebijakan dan pilih Hapus.

    5. Ulangi langkah ini untuk menghapus setiap IAM kebijakan untuk klaster.