1. Criação do Identity Provider
   1. Navegue até o Identity and Access Management (IAM)
   2. Em Access Management selecione Identity Providers
      
      
   3. Clique em Add Provider
      
      
   4. Selecione OpenID Connect
   5. No Provider URL coloque o endereço do OIDC de acordo com a URL do seu tenant:
      • Se o seu tenant for no formato xxxxxx.customer.turbonomic.ibmappdomain.cloud use a seguinte URL: https://rh-oidc.s3.us-east-1.amazonaws.com/22ejnvnnturfmt6km08idd0nt4hekbn7
      • Se o seu tenant for no formato xxxxxx.apptio.turbonomic.ibmappdomain.cloud use a seguinte URL: https://oidc.op1.openshiftapps.com/2c51blsaqa9gkjt0o9rt11mle8mmropu
   6. Clique em Get thumbprint
   7. Em Audience coloque: sts.amazonaws.com
   8. Clique em Add provider
      
      
2. Crie agora a IAM Role
   1. Navegue até Identity and Access Management (IAM)
   2. Em Access Management selecione Roles
      
      
   3. Clique em Create Role
      
      
   4. Selecione Web Identity
   5. Em Identity Provider, selecione o que foi criado no passo 1.e.
      • Se o seu tenant for no formato xxxxxx.customer.turbonomic.ibmappdomain.cloud use a seguinte URL: https://rh-oidc.s3.us-east-1.amazonaws.com/22ejnvnnturfmt6km08idd0nt4hekbn7
      • Se o seu tenant for no formato xxxxxx.apptio.turbonomic.ibmappdomain.cloud use a seguinte URL: https://oidc.op1.openshiftapps.com/2c51blsaqa9gkjt0o9rt11mle8mmropu
   6. Em Audience coloque: sts.amazonaws.com
   7. Clique em Next
      
      
   8. Adicione as permissões na Role.
      • Para permissões apenas de leitura, use esta policy.
      • Para permissões de leitura e escrita, use esta policy.
   9. Após colocar a policy desejada, clique em Next.
   10. Para o Role Name, coloque um nome desejado qualquer.
   11. Clique em Create Role
       
       
       
3. Conectar o Trust Relationship na Role
   1. Navegue até Identity and Access Management (IAM)
   2. Em Access Management selecione Roles
   3. Localize a Role criada no passo 2 e selecione-a
   4. Clique em Trust Relationship
   5. Clique em Edit trust policy
      
   6. Sobrescreva a policy atual por esse modelo abaixo, lembrando que:
      • <YOUR_AWS_ACCOUNT_NUMBER> - O ID da sua conta que está dando acesso.
      • <TENANT_ID> O Tenant ID enviado pela IBM por seu representante.
      • <TENANT_SVC_ACCOUNT> O Tenant Service Account enviado pela IBM por um representante.
        
        

        Se o seu tenant for no formato xxxxxx.customer.turbonomic.ibmappdomain.cloud

        {
            "Version": "2012-10-17",
            "Statement": [{
                    "Effect": "Allow",
                    "Principal": {
                        "Federated": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:oidc-provider/rh-oidc.s3.us-east-1.amazonaws.com/22ejnvnnturfmt6km08idd0nt4hekbn7"
                    },
                    "Action": "sts:AssumeRoleWithWebIdentity",
                    "Condition": {
                        "StringEquals": {
                            "rh-oidc.s3.us-east-1.amazonaws.com/22ejnvnnturfmt6km08idd0nt4hekbn7:sub":"system:serviceaccount:<TENANT_ID>:<TENANT_SVC_ACCOUNT>"
                        }
                    }
                }
            ]
        }

        Se o seu tenant for no formato xxxxxx.apptio.turbonomic.ibmappdomain.cloud

        {
            "Version": "2012-10-17",
            "Statement": [{
                    "Effect": "Allow",
                    "Principal": {
                        "Federated": "arn:aws:iam::<YOUR_AWS_ACCOUNT_NUMBER>:oidc.op1.openshiftapps.com/2c51blsaqa9gkjt0o9rt11mle8mmropu"
                    },
                    "Action": "sts:AssumeRoleWithWebIdentity",
                    "Condition": {
                        "StringEquals": {
                            "oidc.op1.openshiftapps.com/2c51blsaqa9gkjt0o9rt11mle8mmropu:sub": "system:serviceaccount:<TENANT_ID>:<TENANT_SVC_ACCOUNT>"
                        }
                    }
                }
            ]
        }

   7. Clique em Update Policy
      
      
   8. Use o ID da ARN Role para adicionar como target no IBM Turbonomic
      
      
      
4. Conectando a IAM Role no Turbonomic
   1. No Turbonomic, vá em Settings > Target Configuration > New Target
   2. Selecione Public Cloud > AWS
   3. Altere o botão para IAM Role e cole a ARN Role do passo 3.h
   4. Clique em Add.
      
      
      
5. Pronto! O target deve ficar em estado "verde" e aproximadamente 40 minutos os dados já começam a aparecer.
6. Se desejar, este é um CloudFormation onde os passos acima podem ser automatizados para múltiplas Accounts. Basta baixá-lo, e editar com o trust correto.

Obrigado e até a próxima!