Erfahren Sie, wie Pods Zugriff auf AWS Dienste EKS Pod Identity gewährt

Geringste Rechte — Sie können IAM Berechtigungen auf ein Dienstkonto beschränken, und nur diejenigen, Pods die dieses Dienstkonto verwenden, haben Zugriff auf diese Berechtigungen. Mit diesem Feature entfällt auch die Notwendigkeit von Drittanbieterlösungen wie kiam oder kube2iam.

Isolierung von Anmeldeinformationen — Ein Pod's Container kann nur Anmeldeinformationen für die IAM Rolle abrufen, die dem Dienstkonto zugeordnet ist, das der Container verwendet. Ein Container hat nie Zugriff auf Anmeldeinformationen, die von anderen Containern in anderen Pods verwendet werden. Bei der Verwendung von Pod-Identitäten verfügen die Pod's Container auch über die der EKSIAMAmazon-Knotenrolle zugewiesenen Berechtigungen, es sei denn, Sie blockieren den Pod Zugriff auf den Amazon EC2 Instance Metadata Service (IMDS). Weitere Informationen finden Sie unter Beschränken Sie den Zugriff auf das Instance-Profil, das dem Worker-Knoten zugewiesen ist.

Überprüfbarkeit — Zugriffs- und Ereignisprotokollierung sind über verfügbar AWS CloudTrail , um nachträgliche Prüfungen zu erleichtern.

Unabhängiger Betrieb – In vielen Organisationen liegt die Verantwortung für die Erstellung von OIDC-Identitätsanbietern bei anderen Teams als für die Verwaltung der Kubernetes-Cluster. EKSPod Identity verfügt über eine klare Aufgabentrennung, bei der die gesamte Konfiguration der EKS Pod Identity-Verknüpfungen in Amazon EKS und die gesamte Konfiguration der IAM Berechtigungen in erfolgtIAM.

Wiederverwendbarkeit — EKS Pod Identity verwendet einen einzigen IAM Prinzipal anstelle der separaten Prinzipale für jeden Cluster, den IAM Rollen für Dienstkonten verwenden. Ihr IAM Administrator fügt der Vertrauensrichtlinie jeder Rolle den folgenden Prinzipal hinzu, damit sie von EKS Pod Identities verwendet werden kann.

            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            }

Skalierbarkeit — Jeder Satz temporärer Anmeldeinformationen wird vom EKS Auth Dienst in EKS Pod Identity übernommen und nicht von jedem AWS SDK, den Sie in jedem Pod ausführen. Anschließend gibt der Amazon EKS Pod Identity Agent, der auf jedem Knoten ausgeführt wird, die Anmeldeinformationen an den ausSDKs. Dadurch wird die Last für jeden Knoten reduziert und nicht in jedem Pod dupliziert. Weitere Details zu diesem Prozess finden Sie unter Verstehe, wie EKS Pod Identity funktioniert.

Sie können jedem Kubernetes Dienstkonto in jedem Cluster eine IAM Rolle zuordnen. Sie können ändern, welche Rolle dem Dienstkonto zugeordnet ist, indem Sie die EKS Pod Identity-Zuordnung bearbeiten.

Sie können nur Rollen zuordnen, die sich im selben AWS-Konto Cluster befinden. Sie können den Zugriff von einem anderen Konto auf die Rolle in diesem Konto delegieren, die Sie für die Verwendung von EKS Pod-Identitäten konfigurieren. Eine Anleitung zum Delegieren von Zugriff und AssumeRole finden Sie unter AWS Kontoübergreifendes Delegieren des Zugriffs mithilfe von IAM Rollen im Benutzerhandbuch. IAM

Der EKS Pod Identity Agent ist erforderlich. Er wird als Kubernetes DaemonSet auf Ihren Knoten ausgeführt und stellt Anmeldeinformationen nur für Pods auf dem Knoten bereit, auf dem er ausgeführt wird. Weitere Informationen zur Kompatibilität mit dem EKS Pod Identity Agent finden Sie im folgenden AbschnittEKSEinschränkungen der Pod-Identität.

Der EKS Pod Identity Agent verwendet den hostNetwork des Knotens und verwendet Port 80 und Port 2703 an einer link-lokalen Adresse auf dem Knoten. Diese Adresse ist 169.254.170.23 für IPv4- und [fd00:ec2::23] für IPv6-Cluster.

Wenn Sie IPv6 Adressen deaktivieren oder IPv6 Localhost-IP-Adressen anderweitig verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die nicht verwendet werden könnenIPv6, folgen Sie den Schritten unter IPv6Im EKS Pod Identity Agent deaktivieren So deaktivieren Sie die IPv6 Konfiguration.

Amazon VPC CNI plugin for Kubernetes1.15.5-eksbuild.1oder später

AWS Load Balancer Controller2.7.0oder später. Beachten Sie, dass das AWS Load Balancer Controller nicht als EKS Add-on, sondern als selbstverwaltetes Add-On verfügbar ist.

Die im vorherigen Thema aufgeführten EKS Amazon-Cluster-VersionenEKSPod Identity-Cluster-Versionen.

Worker-Knoten im Cluster, bei denen es sich um EC2 Linux-Amazon-Instances handelt.

AWS Outposts.

Amazon EKS überall.

KubernetesCluster, die Sie auf Amazon erstellen und ausführenEC2. Die EKS Pod Identity-Komponenten sind nur bei Amazon erhältlichEKS.

Pods, die überall außer EC2 Linux-Amazon-Instances laufen. Linux- und Windows-Pods, die auf laufen, werden AWS Fargate (Fargate) nicht unterstützt. Pods, die auf Windows EC2 Amazon-Instances ausgeführt werden, werden nicht unterstützt.

EKSAmazon-Add-Ons, für die IAM Anmeldeinformationen erforderlich sind. Die EKS Add-Ons können stattdessen nur IAMRollen für Dienstkonten verwenden. Die Liste der EKS Add-Ons, die IAM Anmeldeinformationen verwenden, umfasst: