統合クラウドプロバイダー統合を設定する

spec.cloudProviderIntegrationsフィールドをAtlasProject カスタムリソースに追加します。

1. spec.cloudProviderIntegration.iamAssumedRoleArn 内で空の値プレースホルダーを指定しますAtlasProject カスタム リソースの パラメータ。

2. spec.cloudProviderIntegration.providerName 内で AWS を指定しますAtlasProject カスタム リソースの パラメータ。

例:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Project
  projectIpAccessList:
    - ipAddress: "192.0.2.15"
      comment: "IP address for Application"
  cloudProviderIntegrations:
  - providerName: "AWS"
    iamAssumedRoleArn: ""
EOF

プロジェクトのatlasAWSAccountArn とatlasAssumedRoleExternalId を取得します。

1. コマンドを実行してatlasAWSAccountArnを取得します。これは次のステップで必要です。

   kubectl get atlasprojects my-project -o=jsonpath='{.status.cloudProviderIntegrations.atlasAWSAccountArn.type}'

   出力を非表示

   arn:aws:iam::198765432109:root

2. コマンドを実行してatlasAssumedRoleExternalIdを取得します。これは次のステップで必要です。

   kubectl get atlasprojects my-project -o=jsonpath='{.status.cloudProviderIntegrations.atlasAssumedRoleExternalId.type}'

   出力を非表示

   1a234b56-c789-0d12-345e-67f89012345a

AWS IAM ロールの信頼ポリシーを変更します。

統合アクセス用に既存のIAMロールを使用することも、新しいIAMロールを作成することもできます。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"<atlasAWSAccountArn>"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "sts:ExternalId":"<atlasAssumedRoleExternalId>"
            }
         }
      }
   ]
}

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Effect":"Allow",
         "Principal":{
            "AWS":"<atlasAWSAccountArn>"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "sts:ExternalId":"<atlasAssumedRoleExternalId>"
            }
         }
      }
   ]
}

AWSで IAM ロールの ARN を見つけます。

マネジメント コンソールのRolesAmazon Web Services セクションで、 アクセス用に編集または作成した IAMAtlas ロールをクリックします。Amazon Web Servicesでは、Summary セクションにARNが表示されます。

Atlas Kubernetes Operator を使用して、IAM ロールのアクセスを認証します。

spec.cloudProviderIntegration.iamAssumedRoleArn 内の空の値プレースホルダーを置き換えますAtlasProject前のステップの IAM ロールの AWS ARN を持つ カスタム リソース のパラメータ。

例:

cat <<EOF | kubectl apply -f -
apiVersion: atlas.mongodb.com/v1
kind: AtlasProject
metadata:
  name: my-project
spec:
  name: Test Project
  projectIpAccessList:
    - ipAddress: "192.0.2.15"
      comment: "IP address for Application"
  cloudProviderIntegrations:
  - providerName: "AWS"
    iamAssumedRoleArn: "arn:aws:iam::123456789012:role/aws-service-role/support.amazonaws.com/myRole"
EOF

cloudProviderIntegrationsのステータスを確認します。

1. ステータスを取得するには、 コマンドを実行します。

   kubectl get atlasprojects my-project -o=jsonpath='{.status.cloudProviderIntegrations}'

2. READYのステータスを確認します。

   • ステータスが CREATED の場合、 Atlasはロールを作成しましたが、 Amazon Web Services内で承認されていません。

   • ステータスがEMPTY_ARNの場合、Atlas はロールを作成しましたが、 spec.cloudProviderIntegrations.iamAssumedRoleArnは指定されていません。

   • ステータスが READY の場合、 Atlasはロールを作成し、ユーザーがAmazon Web Services内でそれを承認しています。