Zugriffsrichtlinien mit Zugriffseinträgen verknüpfen

Öffnen Sie die Amazon-EKS-Konsole.

Wählen Sie den Namen des Clusters aus, der über einen Zugriffseintrag verfügt, dem Sie eine Zugriffsrichtlinien zuordnen möchten.

Wählen Sie die Registerkarte Zugriff aus.

Wenn es sich um einen Zugriffseintrag vom Typ Standard handelt, können Sie Zugriffsrichtlinien von Amazon EKS zuordnen oder deren Zuordnung aufheben. Wenn der Typ Ihres Zugriffseintrags etwas anderes als Standard ist, ist diese Option nicht verfügbar.

Wählen Sie Zugriffsrichtlinie zuordnen aus.

Wählen Sie unter Richtlinienname die Richtlinie mit den Berechtigungen aus, über die der IAM-Prinzipal verfügen soll. Informationen zu den Berechtigungen, die in der jeweiligen Richtlinie enthalten sind, finden Sie unter Überprüfen Sie die Zugriffsrichtlinienberechtigungen.

Wählen Sie unter Zugriffsbereich einen Zugriffsbereich aus. Wenn Sie Cluster wählen, werden die Berechtigungen in der Zugriffsrichtlinie dem IAM-Prinzipal für Ressourcen in allen Kubernetes-Namespaces gewährt. Wenn Sie den Kubernetes-Namespace wählen, können Sie anschließend Neuen Namespace hinzufügen wählen. In dem daraufhin angezeigten Feld Namespace können Sie den Namen eines Kubernetes-Namespaces in Ihrem Cluster eingeben. Wenn die Berechtigungen für den IAM-Prinzipal in mehreren Namespaces gelten sollen, können Sie mehrere Namespaces eingeben.

Wählen Sie Zugriffsrichtlinie hinzufügen aus.

Version 2.12.3 oder höher oder Version 1.27.160 oder höher der auf Ihrem Gerät installierten und konfigurierten AWS Befehlszeilenschnittstelle (AWS CLI) oder AWS CloudShell. Um Ihre aktuelle Version zu überprüfen, verwenden Sie aws --version | cut -d / -f2 | cut -d ' ' -f1. Paketmanager wie yumapt-get, oder Homebrew für macOS liegen oft mehrere Versionen hinter der neuesten Version der AWS CLI. Informationen zur Installation der neuesten Version finden Sie unter Installation und Schnellkonfiguration mit aws configure im Benutzerhandbuch für die AWS Befehlszeilenschnittstelle. Die AWS CLI-Version, in der installiert ist, AWS CloudShell kann auch mehrere Versionen hinter der neuesten Version liegen. Informationen zur Aktualisierung finden Sie im AWS CloudShell Benutzerhandbuch unter AWS CLI in Ihrem Home-Verzeichnis installieren.

Sehen Sie sich die verfügbaren Zugriffsrichtlinien an.

aws eks list-access-policies --output table

Eine Beispielausgabe sieht wie folgt aus.

---------------------------------------------------------------------------------------------------------
|                                          ListAccessPolicies                                           |
+-------------------------------------------------------------------------------------------------------+
||                                           accessPolicies                                            ||
|+---------------------------------------------------------------------+-------------------------------+|
||                                 arn                                 |             name              ||
|+---------------------------------------------------------------------+-------------------------------+|
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSAdminPolicy        |  AmazonEKSAdminPolicy         ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSClusterAdminPolicy |  AmazonEKSClusterAdminPolicy  ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSEditPolicy         |  AmazonEKSEditPolicy          ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSViewPolicy         |  AmazonEKSViewPolicy          ||
|+---------------------------------------------------------------------+-------------------------------+|

Informationen zu den Berechtigungen, die in der jeweiligen Richtlinie enthalten sind, finden Sie unter Überprüfen Sie die Zugriffsrichtlinienberechtigungen.

Sehen Sie sich Ihre vorhandenen Zugriffseinträge an. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

aws eks list-access-entries --cluster-name my-cluster

Eine Beispielausgabe sieht wie folgt aus.

{
    "accessEntries": [
        "arn:aws: iam::111122223333:role/my-role",
        "arn:aws: iam::111122223333:user/my-user"
    ]
}

Ordnen Sie eine Zugriffsrichtlinie einem Zugriffseintrag zu. Im folgenden Beispiel wird die Zugriffsrichtlinie AmazonEKSViewPolicy einem Zugriffseintrag zugeordnet. Immer wenn die my-role IAM-Rolle versucht, auf Kubernetes-Objekte im Cluster zuzugreifen, autorisiert Amazon EKS die Rolle, die Berechtigungen in der Richtlinie nur für den Zugriff auf Kubernetes-Objekte in den Kubernetes-Namespaces und Kubernetes-Namespaces zu verwenden. my-namespace1 my-namespace2 my-clusterErsetzen Sie durch den Namen Ihres Clusters, 111122223333 durch Ihre AWS Konto-ID und my-role durch den Namen der IAM-Rolle, für die Amazon EKS den Zugriff auf Kubernetes-Clusterobjekte autorisieren soll.

aws eks associate-access-policy --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role \
    --access-scope type=namespace,namespaces=my-namespace1,my-namespace2 --policy-arn arn:aws: eks::aws:cluster-access-policy/AmazonEKSViewPolicy

Wenn die Berechtigungen für den IAM-Prinzipal clusterweit gelten sollen, ersetzen Sie type=namespace,namespaces=my-namespace1,my-namespace2 durch type=cluster. Wenn Sie dem Zugriffseintrag mehrere Zugriffsrichtlinien zuordnen möchten, führen Sie den Befehl mehrmals aus und verwenden Sie dabei jeweils eine individuelle Zugriffsrichtlinie. Jede zugeordnete Zugriffsrichtlinie hat ihren eigenen Geltungsbereich.

Ermitteln Sie, welche Zugriffsrichtlinien einem Zugriffseintrag zugeordnet sind.

aws eks list-associated-access-policies --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role

Eine Beispielausgabe sieht wie folgt aus.

{
    "clusterName": "my-cluster",
    "principalArn": "arn:aws: iam::111122223333",
    "associatedAccessPolicies": [
        {
            "policyArn": "arn:aws: eks::aws:cluster-access-policy/AmazonEKSViewPolicy",
            "accessScope": {
                "type": "cluster",
                "namespaces": []
            },
            "associatedAt": "2023-04-17T15:25:21.675000-04:00",
            "modifiedAt": "2023-04-17T15:25:21.675000-04:00"
        },
        {
            "policyArn": "arn:aws: eks::aws:cluster-access-policy/AmazonEKSAdminPolicy",
            "accessScope": {
                "type": "namespace",
                "namespaces": [
                    "my-namespace1",
                    "my-namespace2"
                ]
            },
            "associatedAt": "2023-04-17T15:02:06.511000-04:00",
            "modifiedAt": "2023-04-17T15:02:06.511000-04:00"
        }
    ]
}

Im vorherigen Beispiel hat der IAM-Prinzipal für diesen Zugriffseintrag Leseberechtigungen für alle Namespaces im Cluster und Administratorberechtigungen für zwei Kubernetes-Namespaces.

Heben Sie die Zuordnung zwischen einer Zugriffsrichtlinie und einem Zugriffseintrag auf. In diesem Beispiel wird die Zuordnung zwischen der Richtlinie AmazonEKSAdminPolicy und einem Zugriffseintrag aufgehoben. Der IAM-Prinzipal behält jedoch die in der AmazonEKSViewPolicy Zugriffsrichtlinie enthaltenen Berechtigungen für Objekte in den my-namespace2 Namespaces my-namespace1 und bei, da diese Zugriffsrichtlinie nicht vom Zugriffseintrag getrennt ist.

aws eks disassociate-access-policy --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role \
    --policy-arn arn:aws: eks::aws:cluster-access-policy/AmazonEKSAdminPolicy