Rufen Sie IAM-Informationen zu einem Amazon EKS-Add-on ab

Ermitteln Sie den Namen des Add-ons, das Sie installieren möchten, und Kubernetes Version Ihres Clusters. Weitere Informationen zu Add-ons finden Sie unter Amazon-EKS-Add-ons.

Ermitteln Sie mithilfe der AWS CLI, ob für das Add-on IAM-Berechtigungen erforderlich sind.

aws eks describe-addon-versions \
--addon-name <addon-name> \
--kubernetes-version <kubernetes-version>

Zum Beispiel:

aws eks describe-addon-versions \
--addon-name aws-ebs-csi-driver \
--kubernetes-version 1.30

Sehen Sie sich die folgende Beispielausgabe an. Beachten Sie, dass requiresIamPermissions dies true und die Standard-Add-On-Version sind. Sie müssen die Add-On-Version angeben, wenn Sie die empfohlene IAM-Richtlinie abrufen.

{
    "addons": [
        {
            "addonName": "aws-ebs-csi-driver",
            "type": "storage",
            "addonVersions": [
                {
                    "addonVersion": "v1.31.0-eksbuild.1",
                    "architecture": [
                        "amd64",
                        "arm64"
                    ],
                    "compatibilities": [
                        {
                            "clusterVersion": "1.30",
                            "platformVersions": [
                                "*"
                            ],
                            "defaultVersion": true
                        }
                    ],
                    "requiresConfiguration": false,
                    "requiresIamPermissions": true
                },
[...]

Wenn für das Add-on IAM-Berechtigungen erforderlich sind, verwenden Sie die AWS CLI, um eine empfohlene IAM-Richtlinie abzurufen.

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name <addon-name> \
--addon-version <addon-version>

Zum Beispiel:

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name aws-ebs-csi-driver \
--addon-version v1.31.0-eksbuild.1

Überprüfen Sie die folgende Ausgabe. Beachten Sie den recommendedManagedPolicies.

[
    {
        "serviceAccount": "ebs-csi-controller-sa",
        "recommendedManagedPolicies": [
            "arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy"
        ]
    }
]

Erstellen Sie eine IAM-Rolle und fügen Sie die empfohlene verwaltete Richtlinie hinzu. Sie können auch die verwaltete Richtlinie überprüfen und den Umfang der Berechtigungen entsprechend einschränken. Weitere Informationen finden Sie unter Erstellen Sie eine Pod Identity-Zuordnung (AWS Konsole).