Gewähren Sie Pods Zugriff auf AWS Ressourcen auf der Grundlage von Tags

Die attributebasierte Zugriffskontrolle (ABAC) gewährt Benutzern Rechte durch Richtlinien, die Attribute miteinander kombinieren. EKS Pod Identity fügt den temporären Anmeldeinformationen für jeden Pod Tags mit Attributen wie Clustername, Namespace und Dienstkontoname hinzu. Diese Rollensitzungs-Tags ermöglichen es Administratoren, eine einzelne Rolle zu erstellen, die für alle Dienstkonten verwendet werden kann, indem sie den Zugriff auf AWS Ressourcen auf der Grundlage übereinstimmender Tags ermöglicht. Durch die zusätzliche Unterstützung für Rollensitzungs-Tags können Kunden engere Sicherheitsgrenzen zwischen Clustern und Workloads innerhalb von Clustern durchsetzen und gleichzeitig dieselben IAM-Rollen und IAM-Richtlinien wiederverwenden.

Die folgende Richtlinie beispielsweise erlaubt die Aktion s3:GetObject, wenn das Objekt mit dem Namen des EKS-Clusters gekennzeichnet ist.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:GetObject",
                "s3:GetObjectTagging"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "s3:ExistingObjectTag/eks-cluster-name": "${aws:PrincipalTag/eks-cluster-name}"
                }
            }
        }
    ]
}

Liste der von EKS Pod Identity hinzugefügten Sitzungs-Tags

Die folgende Liste enthält alle Schlüssel für Tags, die der AssumeRole-Anfrage von Amazon EKS hinzugefügt werden. Um diese Tags in Richtlinien zu verwenden, geben Sie ${aws:PrincipalTag/ gefolgt vom Schlüssel an, zum Beispiel ${aws:PrincipalTag/kubernetes-namespace}.

Kontoübergreifende Tags

Alle Sitzungs-Tags, die von EKS Pod Identity hinzugefügt werden, sind transitiv. Die Tag-Schlüssel und -Werte werden an alle AssumeRole-Aktionen weitergegeben, die Ihre Workloads verwenden, um Rollen auf ein anderes Konto zu wechseln. Sie können diese Tags in Richtlinien in anderen Konten verwenden, um den Zugriff in kontoübergreifenden Szenarien einzuschränken. Weitere Informationen finden Sie im IAM-Benutzerhandbuch unter Verketten von Rollen mit Sitzungs-Tags.

Benutzerdefinierte Tags

EKS Pod Identity kann der AssumeRole Aktion, die es ausführt, keine zusätzlichen benutzerdefinierten Tags hinzufügen. Tags, die Sie auf die IAM-Rolle anwenden, sind jedoch immer im gleichen Format verfügbar: ${aws:PrincipalTag/ gefolgt vom Schlüssel, zum Beispiel ${aws:PrincipalTag/MyCustomTag}.