Anzeigen Kubernetes Ressourcen in der AWS Management Console

Öffnen Sie die Amazon-EKS-Konsole.

Wählen Sie in der Clusterliste den Cluster aus, der Folgendes enthält Kubernetes Ressourcen, die Sie anzeigen möchten.

Wählen Sie die Registerkarte für Resources (Ressourcen).

Wählen Sie eine Resource type-Gruppe (Ressourcentyp) aus, für die Sie Ressourcen anzeigen möchten, z. B. Workloads. Ihnen wird eine Liste der Ressourcentypen in dieser Gruppe angezeigt.

Wählen Sie einen Ressourcentyp aus, z. B. Deployments (Bereitstellungen) in der Gruppe Workloads. Sie sehen eine Beschreibung des Ressourcentyps, einen Link zu Kubernetes Dokumentation mit weiteren Informationen zum Ressourcentyp und einer Liste der Ressourcen dieses Typs, die auf Ihrem Cluster bereitgestellt werden. Wenn die Liste leer ist, werden keine Ressourcen dieses Typs in Ihrem Cluster bereitgestellt.

Wählen Sie eine Ressource aus, um weitere Informationen dazu anzuzeigen. Probieren Sie die folgenden Beispiele aus:

Stellen Sie sichereks:AccessKubernetesApi, dass die und andere erforderliche IAM-Berechtigungen zum Anzeigen Kubernetes Ressourcen, sind dem IAM-Principal zugewiesen, den Sie verwenden. Weitere Informationen zum Bearbeiten von Berechtigungen für einen IAM-Prinzipal finden Sie unter Zugriff für Prinzipale steuern und im IAM-Benutzerhandbuch. Weitere Informationen zum Bearbeiten von Rollenberechtigungen finden Sie unter Modifying a role permissions policy (console) (Ändern einer Rollenberechtigungsrichtlinie (Konsole)) im IAM-Benutzerhandbuch.

Die folgende Beispielrichtlinie enthält die erforderlichen Berechtigungen, damit ein Principal sie einsehen kann Kubernetes Ressourcen für alle Cluster in Ihrem Konto. 111122223333Ersetzen Sie es durch Ihre AWS Konto-ID.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:ListFargateProfiles",
                "eks:DescribeNodegroup",
                "eks:ListNodegroups",
                "eks:ListUpdates",
                "eks:AccessKubernetesApi",
                "eks:ListAddons",
                "eks:DescribeCluster",
                "eks:DescribeAddonVersions",
                "eks:ListClusters",
                "eks:ListIdentityProviderConfigs",
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetParameter",
            "Resource": "arn:aws: ssm:*:111122223333:parameter/*"
        }
    ]
}

Um Knoten in verbundenen Clustern anzuzeigen, sollte die IAM-Rolle des Amazon-EKS-Connectors in der Lage sein, den Prinzipal im Cluster anzunehmen. Auf diese Weise kann der Connect a Kubernetes Cluster to a Amazon EKS Management Console with Amazon EKS Connector den Principal einem zuordnen Kubernetes Benutzer.

Erstellen Sie ein Kubernetes rolebindingoder clusterrolebinding das ist an ein gebunden Kubernetes roleoder clusterrole das über die erforderlichen Berechtigungen verfügt, um das anzusehen Kubernetes Ressourcen schätzen. Für weitere Informationen über Kubernetes Rollen und Rollenbindungen finden Sie unter Verwenden der RBAC-Autorisierung im Kubernetes -Dokumentation. Sie können eines der folgenden Manifeste auf Ihren Cluster anwenden, die ein role Und rolebinding oder ein clusterrole Und clusterrolebinding mit den erforderlichen Kubernetes Berechtigungen:

Ordnen Sie den IAM-Prinzipal dem zu Kubernetes Benutzer oder Gruppe in der aws-authConfigMap. Sie können ein Tool wie eksctl verwenden, um die ConfigMap zu aktualisieren, oder Sie können sie durch manuelle Bearbeitung aktualisieren.

Sie benötigen eine Version 0.199.0 oder eine neuere Version des eksctl Befehlszeilentools, das auf Ihrem Gerät installiert ist oder. AWS CloudShell Informationen zum Installieren und Aktualisieren von eksctl finden Sie in der Dokumentation zu eksctl unter Installation.

Zeigen Sie die aktuellen Mappings in der ConfigMap an. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters. region-codeErsetzen Sie es durch die AWS Region, in der sich Ihr Cluster befindet.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Eine Beispielausgabe sieht wie folgt aus.

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

Fügen Sie ein Mapping für eine Rolle hinzu. In diesem Beispiel wird davon ausgegangen, dass Sie die IAM-Berechtigungen im ersten Schritt einer Rolle namens my-console-viewer-role zuweisen. Ersetzen Sie 111122223333 durch Ihre Konto-ID.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:role/my-console-viewer-role \
    --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

Eine Beispielausgabe sieht wie folgt aus.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "arn:aws: iam::111122223333:role/my-console-viewer-role" to auth ConfigMap

Fügen Sie ein Mapping für einen Benutzer hinzu. Bewährte Methoden für IAM empfehlen, dass Sie Rollen statt Benutzern Berechtigungen gewähren. In diesem Beispiel wird davon ausgegangen, dass Sie die IAM-Berechtigungen im ersten Schritt einem Benutzer my-user zuweisen. Ersetzen Sie 111122223333 durch Ihre Konto-ID.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:user/my-user \
    --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

Eine Beispielausgabe sieht wie folgt aus.

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws: iam::111122223333:user/my-user" to auth ConfigMap

Zeigen Sie wieder die Mappings in der ConfigMap an.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Eine Beispielausgabe sieht wie folgt aus.

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws: iam::111122223333:role/my-console-viewer-role                                                                                   eks-console-dashboard-full-access-group
arn:aws: iam::111122223333:user/my-user                                                                                                  eks-console-dashboard-restricted-access-group

Öffnen Sie die aws-auth ConfigMap zum Bearbeiten.

kubectl edit -n kube-system configmap/aws-auth

Fügen Sie die Zuordnungen zu den hinzu aws-authConfigMap, ersetzen Sie jedoch keine der vorhandenen Zuordnungen. Im folgenden Beispiel werden Zuordnungen zwischen IAM-Prinzipalen mit im ersten Schritt hinzugefügten Berechtigungen und den Kubernetes Gruppen, die im vorherigen Schritt erstellt wurden:

Speichern Sie die Datei und beenden Sie den Text-Editor.