Erfahre wie EKS Pod Identity gewährt Pods Zugriff auf AWS Dienste

Geringste Rechte — Sie können IAM Berechtigungen auf ein Dienstkonto beschränken, und zwar nur Pods Personen, die dieses Dienstkonto verwenden, haben Zugriff auf diese Berechtigungen. Mit diesem Feature entfällt auch die Notwendigkeit von Drittanbieterlösungen wie kiam oder kube2iam.

Isolierung von Anmeldeinformationen — A Pod's Container können nur Anmeldeinformationen für die IAM Rolle abrufen, die dem vom Container verwendeten Dienstkonto zugeordnet ist. Ein Container hat niemals Zugriff auf Anmeldeinformationen, die von anderen Containern in anderen Containern verwendet werden Pods. Bei der Verwendung von Pod Identities Pod's Container haben auch die der EKSIAMAmazon-Knotenrolle zugewiesenen Berechtigungen, es sei denn, Sie blockieren Pod Zugriff auf den Amazon EC2 Instance Metadata Service (IMDS). Weitere Informationen finden Sie unter Beschränken Sie den Zugriff auf das Instance-Profil, das dem Worker-Knoten zugewiesen ist.

Überprüfbarkeit — Der Zugriff und die Protokollierung von Ereignissen sind über verfügbar AWS CloudTrail , um nachträgliche Prüfungen zu erleichtern.

Unabhängiger Betrieb — In vielen Organisationen OIDC Für Identitätsanbieter sind andere Teams verantwortlich als für die Verwaltung der Kubernetes Cluster erwägen. EKSPod Identity verfügt über eine klare Aufgabentrennung, bei der die gesamte Konfiguration der EKS Pod Identity-Verknüpfungen in Amazon EKS und die gesamte Konfiguration der IAM Berechtigungen in erfolgtIAM.

Wiederverwendbarkeit — EKS Pod Identity verwendet einen einzigen IAM Prinzipal anstelle der separaten Prinzipale für jeden Cluster, den IAM Rollen für Dienstkonten verwenden. Ihr IAM Administrator fügt der Vertrauensrichtlinie jeder Rolle den folgenden Prinzipal hinzu, damit sie von EKS Pod Identities verwendet werden kann.

            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            }

Skalierbarkeit — Jeder Satz temporärer Anmeldeinformationen wird von der EKS Auth Dienst in EKS Pod Identity, nicht in jedem AWS SDK, den Sie in jedem Pod ausführen. Anschließend gibt der Amazon EKS Pod Identity Agent, der auf jedem Knoten ausgeführt wird, die Anmeldeinformationen an den ausSDKs. Dadurch wird die Last für jeden Knoten reduziert und nicht in jedem Pod dupliziert. Weitere Details zu diesem Prozess finden Sie unter Verstehe wie EKS Pod Identity funktioniert.

Sie können jeder IAM Rolle eine Rolle zuordnen Kubernetes Dienstkonto in jedem Cluster. Sie können ändern, welche Rolle dem Dienstkonto zugeordnet ist, indem Sie die EKS Pod Identity-Zuordnung bearbeiten.

Sie können nur Rollen zuordnen, die sich im selben AWS-Konto Cluster befinden. Sie können den Zugriff von einem anderen Konto auf die Rolle in diesem Konto delegieren, die Sie für die Verwendung von EKS Pod-Identitäten konfigurieren. Eine Anleitung zum Delegieren von Zugriff und AssumeRole finden Sie unter AWS Kontoübergreifendes Delegieren des Zugriffs mithilfe von IAM Rollen im Benutzerhandbuch. IAM

Der EKS Pod Identity Agent ist erforderlich. Er läuft als Kubernetes DaemonSetauf Ihren Knoten und stellt nur Anmeldeinformationen für Pods auf dem Knoten bereit, auf dem es ausgeführt wird.

Der EKS Pod Identity Agent verwendet den hostNetwork des Knotens und verwendet Port 80 und Port 2703 an einer link-lokalen Adresse auf dem Knoten. Diese Adresse ist für 169.254.170.23 IPv4 und [fd00:ec2::23] für IPv6 Cluster erwägen.

Wenn Sie IPv6 Adressen deaktivieren oder auf andere Weise IPv6 Localhost-IP-Adressen verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die nicht verwendet werden könnenIPv6, folgen Sie den Schritten unter IPv6Im EKS Pod Identity Agent deaktivieren So deaktivieren Sie die IPv6 Konfiguration.