Erfahren Sie, wie EKS Pod Identity Pods Zugriff auf AWS Dienste gewährt

Geringste Rechte — Sie können IAM-Berechtigungen auf ein Dienstkonto beschränken, und nur Pods, die dieses Dienstkonto verwenden, haben Zugriff auf diese Berechtigungen. Mit diesem Feature entfällt auch die Notwendigkeit von Drittanbieterlösungen wie kiam oder kube2iam.

Isolierung von Anmeldeinformationen — Die Container eines Pods können nur Anmeldeinformationen für die IAM-Rolle abrufen, die dem Dienstkonto zugeordnet ist, das der Container verwendet. Ein Container hat niemals Zugriff auf Anmeldeinformationen, die von anderen Containern in anderen Pods verwendet werden. Bei der Verwendung von Pod-Identitäten verfügen die Container des Pods auch über die ihnen zugewiesenen BerechtigungenAmazon-EKS-Knoten-IAM-Rolle, sofern Sie den Pod-Zugriff auf den Amazon EC2 Instance Metadata Service (IMDS) nicht blockieren. Weitere Informationen finden Sie unter Beschränken Sie den Zugriff auf das Instance-Profil, das dem Worker-Knoten zugewiesen ist.

Überprüfbarkeit — Die Zugriffs- und Ereignisprotokollierung ist über verfügbar, AWS CloudTrail um nachträgliche Prüfungen zu erleichtern.

Unabhängiger Betrieb — In vielen Organisationen liegt die Verantwortung für die Erstellung von OIDC-Identitätsanbietern bei anderen Teams als für die Verwaltung der Kubernetes-Cluster. EKS Pod Identity hat eine klare Aufgabentrennung: Die gesamte Konfiguration der EKS-Pod-Identity-Zuordnungen erfolgt in Amazon EKS und die gesamte Konfiguration der IAM-Berechtigungen erfolgt in IAM.

Wiederverwendbarkeit – EKS Pod Identity verwendet einen einzigen IAM-Prinzipal anstelle der separaten Prinzipale für jeden Cluster, den IAM-Rollen für Servicekonten verwenden. Ihr IAM-Administrator fügt der Vertrauensrichtlinie jeder Rolle den folgenden Prinzipal hinzu, damit sie von EKS-Pod-Identitäten verwendet werden kann.

            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            }

Skalierbarkeit — Jeder Satz temporärer Anmeldeinformationen wird vom EKS-Authentifizierungsdienst in EKS Pod Identity übernommen und nicht von jedem AWS SDK, das Sie in jedem Pod ausführen. Anschließend gibt der Amazon EKS Pod Identity Agent, der auf jedem Knoten ausgeführt wird, die Anmeldeinformationen an den aus SDKs. Somit wird die Last für jeden Knoten auf einmal reduziert und nicht in jedem Pod dupliziert. Weitere Details zu diesem Prozess finden Sie unter Verstehen Sie, wie EKS Pod Identity funktioniert.

Sie können jedem Kubernetes-Dienstkonto in jedem Cluster eine IAM-Rolle zuordnen. Sie können ändern, welche Rolle dem Servicekonto zugeordnet ist, indem Sie die EKS-Pod-Identity-Zuordnung bearbeiten.

Sie können nur Rollen zuordnen, die sich in demselben AWS Konto wie der Cluster befinden. Sie können den Zugriff von einem anderen Konto auf die Rolle in diesem Konto delegieren, die Sie für die Verwendung durch EKS-Pod-Identitäten konfigurieren. Ein Tutorial zum Delegieren von Zugriff und AssumeRole finden Sie unter AWS Kontenübergreifendes Delegieren des Zugriffs mithilfe von IAM-Rollen im IAM-Benutzerhandbuch.

Der EKS Pod Identity Agent ist erforderlich. Es läuft als Kubernetes DaemonSet auf Ihren Knoten und stellt nur Anmeldeinformationen für Pods auf dem Knoten bereit, auf dem es ausgeführt wird. Weitere Informationen zur Kompatibilität des EKS Pod Identity Agent finden Sie im folgenden Abschnitt (Einschränkungen von EKS Pod Identity).

Wenn Sie Security Group for Pods zusammen mit Pod Identity Agent verwenden, müssen Sie möglicherweise das POD_SECURITY_GROUP_ENFORCING_MODE Flag für das AWS VPC-CNI setzen. Weitere Informationen zu Überlegungen zur Sicherheitsgruppe für Pods finden Sie unter. Weisen Sie einzelnen Pods Sicherheitsgruppen zu

Der EKS Pod Identity Agent verwendet das hostNetwork des Knotens sowie Port 80 und Port 2703 in einer lokalen Adresse im Knoten. Diese Adresse ist 169.254.170.23 für IPv4 und [fd00:ec2::23] für IPv6 Cluster.

Wenn Sie IPv6 Adressen deaktivieren oder auf andere Weise IPv6 Localhost-IP-Adressen verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die nicht verwendet werden könnenIPv6, folgen Sie den Schritten unter IPv6Im EKS Pod Identity Agent deaktivieren So deaktivieren Sie die IPv6 Konfiguration.

Wenn Ihre Pods einen Proxy verwenden, müssen Sie sicherstellen, dass Sie die NO_PROXY Umgebungsvariablen 169.254.170.23 [fd00:ec2::23] for IPv4 und for IPv6 in die no_proxy /-Pods einfügen. Andernfalls eks-pod-identity-agent DaemonSets würden Anfragen von den Anwendungs-Pods an die fehlschlagen, da die Anfragen an den Proxy gesendet würden und der Proxy die IP nicht weiterleiten könnte.

Amazon-EKS-Cluster-Versionen, die im vorherigen Thema (Cluster-Versionen von EKS Pod Identity) aufgeführt wurden.

Worker-Knoten im Cluster, bei denen es sich um EC2 Linux-Amazon-Instances handelt.

AWS Outposts.

Amazon EKS Anywhere.

Kubernetes-Cluster, die Sie auf Amazon erstellen und ausführen. EC2 Die EKS-Pod-Identity-Komponenten sind nur in Amazon EKS verfügbar.

Pods, die überall außer EC2 Linux-Amazon-Instances ausgeführt werden. Linux- und Windows-Pods, die auf AWS Fargate (Fargate) laufen, werden nicht unterstützt. Pods, die auf EC2 Windows-Amazon-Instances ausgeführt werden, werden nicht unterstützt.