流程

1. 运行以下命令，打开 shell 提示符并克隆 Terraform VPC 存储库：

   $ git clone https://github.com/openshift-cs/terraform-vpc-example

2. 运行以下命令进入创建的目录：

   $ cd terraform-vpc-example

3. 运行以下命令来启动 Terraform 文件：

   $ terraform init

   此进程完成后会出现确认初始化的消息。

4. 要基于现有的 Terraform 模板构建 VPC Terraform 计划，请运行 plan 命令。您必须包含 AWS 区域。您可以选择指定集群名称。在 terraform plan 完成后，一个 rosa.tfplan 文件会被添加到 hypershift-tf 目录。有关更详细的选项，请参阅 Terraform VPC 存储库的 README 文件。

   $ terraform plan -out rosa.tfplan -var region=<region>

5. 运行以下命令应用此计划文件来构建 VPC：

   $ terraform apply rosa.tfplan

   1. 可选： 您可以运行以下命令来捕获 Terraform-provisioned private、public 和 machinepool 子网 ID 的值作为环境变量，以便在使用 HCP 集群创建 ROSA 时使用：

      $ export SUBNET_IDS=$(terraform output -raw cluster-subnets-string)

   2. 使用以下命令验证变量是否已正确设置：

      $ echo $SUBNET_IDS

      输出示例

      $ subnet-0a6a57e0f784171aa,subnet-078e84e5b10ecf5b0

流程

1. 运行以下命令在终端中标记您的资源：

   1. 对于公共子网，请运行：

      $ aws ec2 create-tags --resources <public-subnet-id> --tags Key=kubernetes.io/role/elb,Value=1

   2. 对于专用子网，请运行：

      $ aws ec2 create-tags --resources <private-subnet-id> --tags Key=kubernetes.io/role/internal-elb,Value=1

流程

1. 如果 AWS 帐户中不存在它们，请创建所需的账户范围的 STS 角色，并通过运行以下命令附加策略：

   $ rosa create account-roles --hosted-cp

2. 可选：运行以下命令将前缀设置为环境变量：

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   • 运行以下命令，查看变量的值：

     $ echo $ACCOUNT_ROLES_PREFIX

     输出示例

     ManagedOpenShift

流程

1. 要创建 OIDC 配置和 AWS 资源，请运行以下命令：

   $ rosa create oidc-config --mode=auto --yes

   此命令返回以下信息：

   输出示例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   在创建集群时，您必须提供 OIDC 配置 ID。CLI 输出为 --mode auto 提供这个值，否则您必须根据 --mode manual 的 aws CLI 输出来确定这些值。

2. 可选： 您可以将 OIDC 配置 ID 保存为变量，以便稍后使用。运行以下命令来保存变量：

   $ export OIDC_ID=<oidc_config_id>1

   1

   在上面的示例输出中，OIDC 配置 ID 是 13cdr6b。

   • 运行以下命令，查看变量的值：

     $ echo $OIDC_ID

     输出示例

     13cdr6b

流程

1. 使用以下命令将前缀名称设置为环境变量：

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

2. 要创建 Operator 角色，请运行以下命令：

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   以下分类提供了 Operator 角色创建的选项。

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 1
   	--oidc-config-id=$OIDC_ID 2
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 3

   1

   在创建这些 Operator 角色时，您必须提供一个前缀。如果不这样做会产生错误。如需有关 Operator 前缀的信息，请参阅本节的附加资源。

   2

   这个值是您为使用 HCP 集群的 ROSA 创建的 OIDC 配置 ID。

   3

   这个值是您在创建 ROSA 帐户角色时创建的安装程序角色 ARN。

   您必须包含 --hosted-cp 参数，以使用 HCP 集群为 ROSA 创建正确的角色。此命令返回以下信息：

   输出示例

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 1
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 2
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   1

   此字段预先填充您在初始创建命令中设置的前缀。

   2

   此字段要求您选择为使用 HCP 集群的 ROSA 创建的 OIDC 配置。

   Operator 角色现已创建，并可用于使用 HCP 集群创建 ROSA。

流程

1. 运行以下命令，打开 shell 提示符并克隆 Terraform VPC 存储库：

   $ git clone https://github.com/openshift-cs/terraform-vpc-example

2. 运行以下命令进入创建的目录：

   $ cd terraform-vpc-example

3. 运行以下命令来启动 Terraform 文件：

   $ terraform init

   此进程完成后会出现确认初始化的消息。

4. 要基于现有的 Terraform 模板构建 VPC Terraform 计划，请运行 plan 命令。您必须包含 AWS 区域。您可以选择指定集群名称。在 terraform plan 完成后，一个 rosa.tfplan 文件会被添加到 hypershift-tf 目录。有关更详细的选项，请参阅 Terraform VPC 存储库的 README 文件。

   $ terraform plan -out rosa.tfplan -var region=<region>

5. 运行以下命令应用此计划文件来构建 VPC：

   $ terraform apply rosa.tfplan

   1. 可选： 您可以运行以下命令来捕获 Terraform-provisioned private、public 和 machinepool 子网 ID 的值作为环境变量，以便在使用 HCP 集群创建 ROSA 时使用：

      $ export SUBNET_IDS=$(terraform output -raw cluster-subnets-string)

   2. 使用以下命令验证变量是否已正确设置：

      $ echo $SUBNET_IDS

      输出示例

      $ subnet-0a6a57e0f784171aa,subnet-078e84e5b10ecf5b0

流程

1. 如果 AWS 帐户中不存在它们，请创建所需的账户范围的 STS 角色，并通过运行以下命令附加策略：

   $ rosa create account-roles --hosted-cp

2. 可选：运行以下命令将前缀设置为环境变量：

   $ export ACCOUNT_ROLES_PREFIX=<account_role_prefix>

   • 运行以下命令，查看变量的值：

     $ echo $ACCOUNT_ROLES_PREFIX

     输出示例

     ManagedOpenShift

流程

1. 要创建 OIDC 配置和 AWS 资源，请运行以下命令：

   $ rosa create oidc-config --mode=auto --yes

   此命令返回以下信息：

   输出示例

   ? Would you like to create a Managed (Red Hat hosted) OIDC Configuration Yes
   I: Setting up managed OIDC configuration
   I: To create Operator Roles for this OIDC Configuration, run the following command and remember to replace <user-defined> with a prefix of your choice:
   	rosa create operator-roles --prefix <user-defined> --oidc-config-id 13cdr6b
   If you are going to create a Hosted Control Plane cluster please include '--hosted-cp'
   I: Creating OIDC provider using 'arn:aws:iam::4540112244:user/userName'
   ? Create the OIDC provider? Yes
   I: Created OIDC provider with ARN 'arn:aws:iam::4540112244:oidc-provider/dvbwgdztaeq9o.cloudfront.net/13cdr6b'

   在创建集群时，您必须提供 OIDC 配置 ID。CLI 输出为 --mode auto 提供这个值，否则您必须根据 --mode manual 的 aws CLI 输出来确定这些值。

2. 可选： 您可以将 OIDC 配置 ID 保存为变量，以便稍后使用。运行以下命令来保存变量：

   $ export OIDC_ID=<oidc_config_id>1

   1

   在上面的示例输出中，OIDC 配置 ID 是 13cdr6b。

   • 运行以下命令，查看变量的值：

     $ echo $OIDC_ID

     输出示例

     13cdr6b

流程

1. 使用以下命令将前缀名称设置为环境变量：

   $ export OPERATOR_ROLES_PREFIX=<prefix_name>

2. 要创建 Operator 角色，请运行以下命令：

   $ rosa create operator-roles --hosted-cp --prefix=$OPERATOR_ROLES_PREFIX --oidc-config-id=$OIDC_ID --installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role

   以下分类提供了 Operator 角色创建的选项。

   $ rosa create operator-roles --hosted-cp
   	--prefix=$OPERATOR_ROLES_PREFIX 1
   	--oidc-config-id=$OIDC_ID 2
   	--installer-role-arn arn:aws:iam::${AWS_ACCOUNT_ID}:role/${ACCOUNT_ROLES_PREFIX}-HCP-ROSA-Installer-Role 3

   1

   在创建这些 Operator 角色时，您必须提供一个前缀。如果不这样做会产生错误。如需有关 Operator 前缀的信息，请参阅本节的附加资源。

   2

   这个值是您为使用 HCP 集群的 ROSA 创建的 OIDC 配置 ID。

   3

   这个值是您在创建 ROSA 帐户角色时创建的安装程序角色 ARN。

   您必须包含 --hosted-cp 参数，以使用 HCP 集群为 ROSA 创建正确的角色。此命令返回以下信息：

   输出示例

   ? Role creation mode: auto
   ? Operator roles prefix: <pre-filled_prefix> 1
   ? OIDC Configuration ID: 23soa2bgvpek9kmes9s7os0a39i13qm4 | https://dvbwgdztaeq9o.cloudfront.net/23soa2bgvpek9kmes9s7os0a39i13qm4 2
   ? Create hosted control plane operator roles: Yes
   W: More than one Installer role found
   ? Installer role ARN: arn:aws:iam::4540112244:role/<prefix>-HCP-ROSA-Installer-Role
   ? Permissions boundary ARN (optional):
   I: Reusable OIDC Configuration detected. Validating trusted relationships to operator roles:
   I: Creating roles using 'arn:aws:iam::4540112244:user/<userName>'
   I: Created role '<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cluster-csi-drivers-ebs-cloud-credentials'
   I: Created role '<prefix>-openshift-cloud-network-config-controller-cloud-credenti' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-cloud-network-config-controller-cloud-credenti'
   I: Created role '<prefix>-kube-system-kube-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kube-controller-manager'
   I: Created role '<prefix>-kube-system-capa-controller-manager' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-capa-controller-manager'
   I: Created role '<prefix>-kube-system-control-plane-operator' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-control-plane-operator'
   I: Created role '<prefix>-kube-system-kms-provider' with ARN 'arn:aws:iam::4540112244:role/<prefix>-kube-system-kms-provider'
   I: Created role '<prefix>-openshift-image-registry-installer-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-image-registry-installer-cloud-credentials'
   I: Created role '<prefix>-openshift-ingress-operator-cloud-credentials' with ARN 'arn:aws:iam::4540112244:role/<prefix>-openshift-ingress-operator-cloud-credentials'
   I: To create a cluster with these roles, run the following command:
   	rosa create cluster --sts --oidc-config-id 23soa2bgvpek9kmes9s7os0a39i13qm4 --operator-roles-prefix <prefix> --hosted-cp

   1

   此字段预先填充您在初始创建命令中设置的前缀。

   2

   此字段要求您选择为使用 HCP 集群的 ROSA 创建的 OIDC 配置。

   Operator 角色现已创建，并可用于使用 HCP 集群创建 ROSA。

流程

1. 运行以下命令，创建自定义 AWS 客户管理的 KMS 密钥：

   $ KMS_ARN=$(aws kms create-key --region $AWS_REGION --description 'Custom ROSA Encryption Key' --tags TagKey=red-hat,TagValue=true --query KeyMetadata.Arn --output text)

   此命令保存此自定义密钥的 Amazon 资源名称(ARN)输出以获取进一步步骤。

   注意

   客户必须提供客户 KMS 密钥所需的 --tags TagKey=red-hat,TagValue=true 参数。

2. 运行以下命令验证 KMS 密钥是否已创建：

   $ echo $KMS_ARN

3. 将 AWS 帐户 ID 设置为环境变量。

   $ AWS_ACCOUNT_ID=<aws_account_id>

4. 将您在上一步中创建的集群范围的安装程序角色和 operator 角色的 ARN 添加到 文件中的 Statement.Principal.AWS 部分。在以下示例中，添加了默认 ManagedOpenShift-HCP-ROSA-Installer-Role 角色的 ARN：

   {
     "Version": "2012-10-17",
     "Id": "key-rosa-policy-1",
     "Statement": [
     {
                 "Sid": "Enable IAM User Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:root"
                 },
                 "Action": "kms:*",
                 "Resource": "*"
             },
           {
                 "Sid": "Installer Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/ManagedOpenShift-HCP-ROSA-Installer-Role"
                 },
                 "Action": [
                     "kms:CreateGrant",
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KubeControllerManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kube-controller-manager"
   
                 },
                 "Action": "kms:DescribeKey",
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA KMS Provider Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-kms-provider"
                 },
                 "Action": [
                     "kms:Encrypt",
                     "kms:Decrypt",
                     "kms:DescribeKey"
                 ],
                 "Resource": "*"
             },
             {
                 "Sid": "ROSA NodeManager Permissions",
                 "Effect": "Allow",
                 "Principal": {
                     "AWS": "arn:aws:iam::${AWS_ACCOUNT_ID}:role/<operator_role_prefix>-kube-system-capa-controller-manager"
                 },
                 "Action": [
                     "kms:DescribeKey",
                     "kms:GenerateDataKeyWithoutPlaintext",
                     "kms:CreateGrant"
                 ],
                 "Resource": "*"
             }
         ]
     }

5. 运行以下命令确认创建的策略文件详情：

   $ cat rosa-key-policy.json

6. 运行以下命令，将新生成的密钥策略应用到自定义 KMS 密钥：

   $ aws kms put-key-policy --key-id $KMS_ARN \
   --policy file://rosa-key-policy.json \
   --policy-name default

7. 运行以下命令来创建集群：

   注意

   如果您的集群名称超过 15 个字符，它将包含自动生成的域前缀作为您 provisioned 集群 的子域。

   要自定义子域，请使用 --domain-prefix 标志。域前缀不能超过 15 个字符，它必须是唯一的，且在集群创建后无法更改。

   $ rosa create cluster --cluster-name <cluster_name> \
   --subnet-ids <private_subnet_id>,<public_subnet_id> \
   --sts \
   --mode auto \
   --machine-cidr 10.0.0.0/16 \
   --compute-machine-type m5.xlarge \
   --hosted-cp \
   --region <aws_region> \
   --oidc-config-id $OIDC_ID \
   --kms-key-arn $KMS_ARN \ 1
   --etcd-encryption-kms-arn $KMS_ARN \ 2
   --operator-roles-prefix $OPERATOR_ROLES_PREFIX

   1

   这个 KMS 密钥 ARN 用于加密所有 worker 节点根卷。如果只需要 etcd 数据库加密，则不需要它。

   2

   这个 KMS 密钥 ARN 用于加密 etcd 数据库。默认情况下，etcd 数据库总是使用 AES 密码块加密，但可以使用 KMS 密钥加密。如果只需要节点根卷加密，则不需要它。

1. 导航到 OpenShift Cluster Manager 并选择 Instances。
2. 选择您的实例。
3. 点 Storage 选项卡。
4. 复制 KMS 密钥 ID。
5. 搜索并选择 Key Management Service。
6. 在 Filter 字段中输入您复制的 KMS 密钥 ID。

流程

1. 删除集群范围的角色：

   1. 使用 ROSA CLI 列出 AWS 帐户中的系统范围角色 (rosa)：

      $ rosa list account-roles

      输出示例

      I: Fetching account roles
      ROLE NAME                                 ROLE TYPE      ROLE ARN                                                                 OPENSHIFT VERSION  AWS Managed
      ManagedOpenShift-HCP-ROSA-Installer-Role  Installer      arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-HCP-ROSA-Installer-Role  4.15               Yes
      ManagedOpenShift-HCP-ROSA-Support-Role    Support        arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-HCP-ROSA-Support-Role    4.15               Yes
      ManagedOpenShift-HCP-ROSA-Worker-Role     Worker         arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-HCP-ROSA-Worker-Role     4.15               Yes

   2. 删除集群范围的角色：

      $ rosa delete account-roles --prefix <prefix> --mode auto 1

      1

      您必须包含 --<prefix> 参数。将 <prefix> 替换为要删除的集群范围角色前缀。如果您在创建集群范围的角色时没有指定自定义前缀，请指定默认前缀 ManagedOpenShift。

      重要

      帐户范围的 IAM 角色可供同一 AWS 帐户中的其他 ROSA 集群使用。只有角色不再被其他集群需要时，才删除这些资源。

      输出示例

      W: There are no classic account roles to be deleted
      I: Deleting hosted CP account roles
      ? Delete the account role 'delete-rosa-HCP-ROSA-Installer-Role'? Yes
      I: Deleting account role 'delete-rosa-HCP-ROSA-Installer-Role'
      ? Delete the account role 'delete-rosa-HCP-ROSA-Support-Role'? Yes
      I: Deleting account role 'delete-rosa-HCP-ROSA-Support-Role'
      ? Delete the account role 'delete-rosa-HCP-ROSA-Worker-Role'? Yes
      I: Deleting account role 'delete-rosa-HCP-ROSA-Worker-Role'
      I: Successfully deleted the hosted CP account roles

2. 删除集群范围的 in-line 和 Operator 策略：

   1. 在 AWS IAM Console 的 Policies 页面中，根据您在创建集群范围的角色和策略时指定的前缀过滤策略列表。

      注意

      如果您在创建集群范围的角色时没有指定自定义前缀，请搜索默认前缀 ManagedOpenShift。

   2. 使用 AWS IAM 控制台删除集群范围的 in-line 策略和 Operator 策略。有关使用 AWS IAM 控制台删除 IAM 策略的更多信息，请参阅 AWS 文档中的删除 IAM 策略。

      重要

      帐户范围的 in-line 和 Operator IAM 策略可能被同一 AWS 帐户中的 HCP 使用其他 ROSA。只有角色不再被其他集群需要时，才删除这些资源。

流程

1. 从红帽机构取消链接 OpenShift Cluster Manager IAM 角色并删除角色：

   1. 列出 AWS 帐户中的 OpenShift Cluster Manager IAM 角色：

      $ rosa list ocm-roles

      输出示例

      I: Fetching ocm roles
      ROLE NAME                                                     ROLE ARN                                                                                         LINKED  ADMIN  AWS Managed
      ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>  Yes      Yes     Yes

   2. 如果您的 OpenShift Cluster Manager IAM 角色在上一命令的输出中被列为链接，请运行以下命令来取消链接红帽机构中的角色：

      $ rosa unlink ocm-role --role-arn <arn> 1

      1

      将 <arn > 替换为您的 OpenShift Cluster Manager IAM 角色的 Amazon 资源名称(ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 的格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id >。

      输出示例

      I: Unlinking OCM role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' role from organization '<red_hat_organization_id>'? Yes
      I: Successfully unlinked role-arn 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' from organization account '<red_hat_organization_id>'

   3. 删除 OpenShift Cluster Manager IAM 角色和策略：

      $ rosa delete ocm-role --role-arn <arn>

      输出示例

      I: Deleting OCM role
      ? OCM Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>
      ? Delete 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-OCM-Role-<red_hat_organization_external_id>' ocm role? Yes
      ? OCM role deletion mode: auto 1
      I: Successfully deleted the OCM role

      1

      指定删除模式。您可以使用 auto 模式自动删除 OpenShift Cluster Manager IAM 角色和策略。在手动模式中，ROSA CLI 生成删除角色和策略所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。

2. 从您的红帽机构中取消链接用户 IAM 角色并删除角色：

   1. 列出 AWS 帐户中的用户 IAM 角色：

      $ rosa list user-roles

      输出示例

      I: Fetching user roles
      ROLE NAME                                  ROLE ARN                                                                  LINKED
      ManagedOpenShift-User-<ocm_user_name>-Role  arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role  Yes

   2. 如果您的用户 IAM 角色在上一命令的输出中被列为链接，请取消链接您的红帽机构中的角色：

      $ rosa unlink user-role --role-arn <arn> 1

      1

      将 <arn > 替换为您的用户 IAM 角色的 Amazon 资源名称(ARN)。ARN 在上一命令的输出中指定。在上例中，ARN 格式为 arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role。

      输出示例

      I: Unlinking user role
      ? Unlink the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the current account '<ocm_user_account_id>'? Yes
      I: Successfully unlinked role ARN 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' from account '<ocm_user_account_id>'

   3. 删除用户 IAM 角色：

      $ rosa delete user-role --role-arn <arn>

      输出示例

      I: Deleting user role
      ? User Role ARN: arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role
      ? Delete the 'arn:aws:iam::<aws_account_id>:role/ManagedOpenShift-User-<ocm_user_name>-Role' role from the AWS account? Yes
      ? User role deletion mode: auto 1
      I: Successfully deleted the user role

      1

      指定删除模式。您可以使用 auto 模式自动删除用户 IAM 角色。在手动模式中，ROSA CLI 生成删除角色所需的 aws 命令。manual 模式允许您在手动运行 aws 命令前查看详情。