Helfen Sie mit, diese Seite zu verbessern

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Möchten Sie zu diesem Benutzerhandbuch beitragen? Wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet. Ihre Beiträge werden dazu beitragen, dass unser Benutzerhandbuch für alle besser wird.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Gewähren Sie Kubernetes-Workloads Zugriff auf die Verwendung von AWSKubernetes Dienstkonten

A Kubernetes Ein Dienstkonto bietet eine Identität für Prozesse, die in einem Pod. Weitere Informationen finden Sie unter Verwaltung von Dienstkonten im Kubernetes -Dokumentation. Wenn Ihre Pod benötigt Zugriff auf AWS Dienste. Sie können das Dienstkonto einer AWS Identity and Access Management-Identität zuordnen, um diesen Zugriff zu gewähren. Weitere Informationen finden Sie unter IAM-Rollen für Servicekonten.

Servicekonto-Tokens

Die BoundServiceAccountTokenVolumeFunktion ist standardmäßig aktiviert in Kubernetes Versionen. Diese Funktion verbessert die Sicherheit von Dienstkonto-Tokens, indem sie Workloads ermöglicht, auf Kubernetes um JSON-Webtoken anzufordern, die an Zielgruppen, Uhrzeit und Schlüssel gebunden sind. Die Ablaufzeit für Servicekonto-Tokens beträgt eine Stunde. Vorhin Kubernetes In den Versionen hatten die Token kein Ablaufdatum. Clients, die diese Tokens verwenden, müssen die Tokens nun also innerhalb einer Stunde aktualisieren. Die folgenden Kubernetes-Clients SDKs aktualisieren die Token automatisch innerhalb des erforderlichen Zeitrahmens:

Wenn Ihre Workload eine frühere Client-Version verwendet, ist eine Aktualisierung erforderlich. Um eine reibungslose Migration von Clients zu den neueren zeitgebundenen Dienstkonto-Tokens zu ermöglichen, Kubernetes fügt dem Dienstkonto-Token eine verlängerte Ablaufzeit hinzu, die standardmäßig über eine Stunde liegt. Für Amazon-EKS-Cluster gilt eine verlängerte Ablaufzeit von 90 Tagen. Ihre Amazon EKS-Cluster Kubernetes Der API-Server lehnt Anfragen mit Tokens ab, die älter als 90 Tage sind. Wir empfehlen Ihnen, Ihre Anwendungen und deren Abhängigkeiten zu überprüfen, um sicherzustellen, dass es sich bei den Kubernetes-Clients um dieselben oder eine neuere Version als die zuvor aufgeführten Versionen SDKs handelt.

Wenn der API-Server Anfragen mit Token erhält, die älter als eine Stunde sind, kommentiert er das Audit-Protokollereignis der API mit annotations.authentication.k8s.io/stale-token. Die Anmerkung sieht zum Beispiel wie folgt aus:

subject: system:serviceaccount:common:fluent-bit, seconds after warning threshold: 4185802.

Wenn in Ihrem Cluster die Protokollierung auf der Protokolle der Kontrollebene an CloudWatch Logs senden Kontrollebene aktiviert ist, befinden sich die Anmerkungen in den Audit-Logs. Sie können die folgende CloudWatch Logs Insights-Abfrage verwenden, um alle Pods in Ihrem Amazon EKS-Cluster, die veraltete Token verwenden:

fields @timestamp
|filter @logStream like /kube-apiserver-audit/
|filter @message like /seconds after warning threshold/
|parse @message "subject: *, seconds after warning threshold:*\"" as subject, elapsedtime

Das subject bezieht sich auf das Dienstkonto, das Pod verwendet. elapsedtime gibt die verstrichene Zeit (in Sekunden) nach dem Lesen des neuesten Tokens an. Die Anfragen an den API-Server werden abgelehnt, wenn elapsedtime 90 Tage (7 776 000 Sekunden) überschreitet. Sie sollten Ihre Anwendungen proaktiv aktualisieren Kubernetes Client-SDK, um eine der zuvor aufgeführten Versionen zu verwenden, die das Token automatisch aktualisieren. Wenn das verwendete Dienstkonto-Token fast 90 Tage dauert und Sie nicht genügend Zeit haben, um Ihre Client-SDK-Versionen vor Ablauf des Tokens zu aktualisieren, können Sie das bestehende beenden Pods und erstellen Sie neue. Dadurch wird das Dienstkonto-Tokens erneut abgerufen, sodass Sie weitere 90 Tage Zeit haben, um Ihre Client-Version zu aktualisieren. SDKs

Wenn das Symbol Pod ist Teil einer Bereitstellung, die vorgeschlagene Methode zum Beenden Pods Um die hohe Verfügbarkeit aufrechtzuerhalten, müssen Sie einen Rollout mit dem folgenden Befehl durchführen. Ersetzen Sie my-deployment mit dem Namen Ihrer Bereitstellung.

kubectl rollout restart deployment/my-deployment

Cluster-Add-ons

Die folgenden Cluster-Add-Ons wurden aktualisiert und verwenden nun Kubernetes Client SDKs , der Dienstkonto-Tokens automatisch erneut abruft. Wir empfehlen Ihnen, sicherzustellen, dass die aufgeführten Versionen oder neuere Versionen auf Ihrem Cluster installiert sind.

Erteilen von AWS Identity and Access Management Zugriffsverwaltungsberechtigungen für Workloads auf Amazon Elastic Kubernetes Service Service-Clustern

Amazon EKS bietet zwei Möglichkeiten, AWS Identity and Access Management Zugriffsverwaltungsberechtigungen für Workloads zu gewähren, die in Amazon EKS-Clustern ausgeführt werden: IAM-Rollen für Dienstkonten und EKS-Pod-Identitäten.

Vergleich von EKS Pod Identity und IRSA

Ganz allgemein ermöglichen es Ihnen sowohl EKS Pod Identity als auch IRSA, Anwendungen, die auf Kubernetes-Clustern ausgeführt werden, IAM-Berechtigungen zu gewähren. Sie unterscheiden sich jedoch grundlegend in ihrer Konfiguration, den unterstützten Grenzwerten und den aktivierten Features. Im Folgenden vergleichen wir einige der wichtigsten Aspekte beider Lösungen.