View a markdown version of this page

Weitere Informationen zu Identität und Zugriff in EKS Auto Mode - Amazon EKS
Cluster-IAM-RolleKnoten-IAM-RolleService-linked RolleZugriffsrichtlinien-Referenz

Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten unter, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Weitere Informationen zu Identität und Zugriff in EKS Auto Mode

In diesem Thema werden die Rollen und Berechtigungen des Identity and Access Management (IAM) beschrieben, die für die Verwendung von EKS Auto Mode erforderlich sind. EKS Auto Mode verwendet zwei primäre IAM-Rollen: eine Cluster-IAM-Rolle und eine Knoten-IAM-Rolle. Diese Rollen arbeiten in Verbindung mit EKS Pod Identity und EKS-Zugriffseinträgen, um eine umfassende Zugriffsverwaltung für Ihre EKS-Cluster zu gewährleisten.

Wenn Sie den EKS-Automodus konfigurieren, müssen Sie diese IAM-Rollen mit spezifischen Berechtigungen einrichten, die es AWS Diensten ermöglichen, mit Ihren Clusterressourcen zu interagieren. Dazu gehören Berechtigungen für die Verwaltung von Rechenressourcen, Speicher-Volumes, Load Balancern und Netzwerkkomponenten. Das Verständnis dieser Rollenkonfigurationen ist für den ordnungsgemäßen Betrieb und die Sicherheit des Clusters von entscheidender Bedeutung.

Im EKS-Automatikmodus werden AWS IAM-Rollen über EKS-Zugriffseinträge automatisch den Kubernetes-Berechtigungen zugeordnet, sodass keine manuelle Konfiguration oder benutzerdefinierte Bindungen erforderlich sind. aws-auth ConfigMaps Wenn Sie einen neuen Cluster im automatischen Modus erstellen, erstellt EKS automatisch die entsprechenden Kubernetes-Berechtigungen mithilfe von Access-Einträgen. Dadurch wird sichergestellt, dass AWS Dienste und Cluster-Komponenten sowohl innerhalb des als auch des Kubernetes-Autorisierungssystems über die entsprechenden Zugriffsebenen verfügen. AWS Diese automatisierte Integration reduziert die Komplexität der Konfiguration und trägt dazu bei, Probleme im Zusammenhang mit Berechtigungen zu vermeiden, die bei der Verwaltung von EKS-Clustern häufig auftreten.

Cluster-IAM-Rolle

Die Cluster-IAM-Rolle ist eine AWS Identity and Access Management (IAM) -Rolle, die von Amazon EKS zur Verwaltung von Berechtigungen für Kubernetes-Cluster verwendet wird. Diese Rolle gewährt Amazon EKS die erforderlichen Berechtigungen, um im Namen Ihres Clusters mit anderen AWS Diensten zu interagieren, und wird mithilfe von EKS-Zugriffseinträgen automatisch mit Kubernetes-Berechtigungen konfiguriert.

  • Sie müssen dieser Rolle AWS IAM-Richtlinien zuordnen.

  • EKS Auto Mode weist dieser Rolle automatisch Kubernetes-Berechtigungen mithilfe von EKS-Zugriffseinträgen zu.

  • Schlägt im EKS-Automatikmodus AWS vor, eine einzelne Cluster-IAM-Rolle pro AWS Konto zu erstellen.

  • AWS schlägt vor, diese Rolle AmazonEKSAutoClusterRole zu benennen.

  • Für diese Rolle sind Berechtigungen für mehrere AWS Dienste erforderlich, um Ressourcen wie EBS-Volumes, Elastic Load Balancers und EC2-Instances zu verwalten.

  • Die vorgeschlagene Konfiguration für diese Rolle umfasst mehrere AWS verwaltete IAM-Richtlinien, die sich auf die verschiedenen Funktionen von EKS Auto Mode beziehen.

    • AmazonEKSComputePolicy

    • AmazonEKSBlockStoragePolicyV2

    • AmazonEKSLoadBalancingPolicy

    • AmazonEKSNetworkingPolicy

    • AmazonEKSClusterPolicy

Weitere Informationen zur Cluster-IAM-Rolle und zu AWS verwalteten IAM-Richtlinien finden Sie unter:

Weitere Informationen zum Kubernetes-Zugriff finden Sie unter:

Knoten-IAM-Rolle

Die Node-IAM-Rolle ist eine AWS Identity and Access Management (IAM) -Rolle, die von Amazon EKS zur Verwaltung von Berechtigungen für Worker-Knoten in Kubernetes-Clustern verwendet wird. Diese Rolle gewährt EC2-Instances, die als Kubernetes-Knoten ausgeführt werden, die erforderlichen Berechtigungen für die Interaktion mit AWS Diensten und Ressourcen und wird mithilfe von EKS-Zugriffseinträgen automatisch mit Kubernetes-RBAC-Berechtigungen konfiguriert.

  • Sie müssen dieser Rolle IAM-Richtlinien zuordnen. AWS

  • EKS Auto Mode weist dieser Rolle automatisch Kubernetes-RBAC-Berechtigungen zu, indem er EKS-Zugriffseinträge verwendet.

  • AWS schlägt vor, diese Rolle AmazonEKSAutoNodeRole zu benennen.

  • Schlägt im EKS-Automatikmodus AWS vor, pro AWS Konto eine einzelne Node-IAM-Rolle zu erstellen.

  • Diese Rolle verfügt über eingeschränkte Berechtigungen. Zu den wichtigsten Berechtigungen gehören das Übernehmen einer Pod-Identity-Rolle und das Abrufen von Images aus ECR.

  • AWS schlägt die folgenden AWS verwalteten IAM-Richtlinien vor:

    • AmazonEKSWorkerNodeMinimalPolicy

    • AmazonEC2ContainerRegistryPullOnly

Weitere Informationen zur Cluster-IAM-Rolle und zu AWS verwalteten IAM-Richtlinien finden Sie unter:

Weitere Informationen zum Kubernetes-Zugriff finden Sie unter:

Service-linked Rolle

Amazon EKS verwendet für bestimmte Vorgänge eine serviceverknüpfte Rolle (SLR). Eine serviceverknüpfte Rolle ist ein einzigartiger IAM-Rollentyp, der direkt mit Amazon EKS verknüpft ist. Service-linked Rollen werden von Amazon EKS vordefiniert und beinhalten alle Berechtigungen, die der Service benötigt, um andere AWS Services in Ihrem Namen aufzurufen.

AWS erstellt und konfiguriert die Spiegelreflexkamera automatisch. Sie können eine SLR erst löschen, nachdem Sie die zugehörigen Ressourcen gelöscht haben. Dies schützt Ihre Amazon-EKS-Ressourcen, da Sie nicht versehentlich die Zugriffsberechtigung für die Ressourcen entfernen können.

Die SLR-Richtlinie gewährt Amazon EKS die Erlaubnis, zentrale Infrastrukturkomponenten zu beobachten und zu löschen: EC2-Ressourcen (Instances, Netzwerkschnittstellen, Sicherheitsgruppen), ELB-Ressourcen (Load Balancer, Zielgruppen), CloudWatch Funktionen (Protokollierung und Metriken) und IAM-Rollen mit dem Präfix „eks“. Sie ermöglicht auch private Endpunktnetzwerke durch VPC/hosted Zonenzuweisung und beinhaltet Berechtigungen für die EventBridge Überwachung und Bereinigung von Ressourcen. EKS-tagged

Weitere Informationen finden Sie unter:

Zugriffsrichtlinien-Referenz

Weitere Informationen zu den von EKS Auto Mode verwendeten Kubernetes-Berechtigungen finden Sie unter Berechtigungen von Zugriffsrichtlinien überprüfen.