Ayude a mejorar esta página
¿Quiere contribuir a esta guía del usuario? Desplácese hasta el final de esta página y seleccione Editar esta página en GitHub. Sus contribuciones ayudarán a que nuestra guía del usuario sea mejor para todos.
Políticas administradas de AWS para Amazon Elastic Kubernetes Service
Una política administrada de AWS es una política independiente que AWS crea y administra. Las políticas administradas de AWS se diseñan para ofrecer permisos para muchos casos de uso comunes, por lo que puede empezar a asignar permisos a los usuarios, grupos y roles.
Considere que es posible que las políticas administradas de AWS no concedan permisos de privilegio mínimo para los casos de uso concretos, ya que están disponibles para que las utilicen todos los clientes de AWS. Se recomienda definir políticas administradas por el cliente específicas para sus casos de uso a fin de reducir aún más los permisos.
No puede cambiar los permisos definidos en las políticas administradas de AWS. Si AWS actualiza los permisos definidos en una política administrada de AWS, la actualización afecta a todas las identidades de entidades principales (usuarios, grupos y roles) a las que está adjunta la política. Lo más probable es que AWS actualice una política administrada de AWS cuando se lance un nuevo Servicio de AWS o las operaciones de la API nuevas estén disponibles para los servicios existentes.
Para obtener más información, consulte Políticas administradas de AWS en la Guía del usuario de IAM.
Política administrada de AWS: AmazonEKS_CNI_Policy
No puede adjuntar la AmazonEKS_CNI_Policy a sus entidades de IAM. Antes de crear un grupo de nodos de Amazon EC2, esta política debe estar asociada al rol de IAM de nodo, o a un rol de IAM utilizado de forma específica por el Amazon VPC CNI plugin for Kubernetes. Esto es para que pueda realizar acciones en su nombre. Recomendamos que adjunte la política a un rol que solo utilice el complemento. Para obtener más información, consulte Asignación de direcciones IP a Pods con CNI de Amazon VPC y Configuración del complemento de CNI de Amazon VPC para utilizar IRSA.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
ec2:*NetworkInterfaceyec2:*PrivateIpAddresses: permite que el complemento CNI de Amazon VPC realice acciones como el aprovisionamiento de interfaces de red elásticas y direcciones IP de los Pods a fin de proporcionar redes para aplicaciones que se ejecutan en Amazon EKS. -
acciones de lectura
ec2: permite que el complemento CNI de Amazon VPC realice acciones como describir instancias y subredes para ver la cantidad de direcciones IP libres en las subredes de Amazon VPC. La CNI de la VPC puede usar las direcciones IP libres de cada subred para seleccionar las subredes con la mayor cantidad de direcciones IP libres y utilizarlas al crear una interfaz de red elástica.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKS_CNI_Policy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSClusterPolicy
Puede adjuntar la AmazonEKSClusterPolicy a sus entidades de IAM. Antes de crear un clúster, debe tener un Rol de IAM de clúster con esta política adjunta. Los clústeres de Kubernetes administrados por Amazon EKS realizan llamadas a otros servicios de AWS en su nombre. Lo hacen para administrar los recursos que utiliza con el servicio.
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
autoscaling: lee y actualiza la configuración de un grupo de Auto Scaling. Amazon EKS no utiliza estos permisos, pero permanecen en la política de compatibilidad con versiones anteriores. -
ec2: trabaja con volúmenes y recursos de red asociados a nodos de Amazon EC2. Esto es necesario para que el plano de control de Kubernetes pueda unir instancias a un clúster y aprovisionar y administrar de forma dinámica los volúmenes de Amazon EBS solicitados por los volúmenes persistentes de Kubernetes. -
elasticloadbalancing: trabaja con los Elastic Load Balancer y les agrega nodos como destinos. Esto es necesario para que el plano de control de Kubernetes pueda aprovisionar de forma dinámica los equilibradores de carga elástica solicitados por los servicios de Kubernetes. -
iam: crea un rol vinculado a servicios. Esto es necesario para que el plano de control de Kubernetes pueda aprovisionar de forma dinámica los Elastic Load Balancer solicitados por los servicios de Kubernetes. -
kms: lee una clave de AWS KMS. Esto es necesario para que el plano de control de Kubernetes admita el cifrado de secretos de Kubernetesde secretos de Kubernetes almacenados en etcd.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSClusterPolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSFargatePodExecutionRolePolicy
Puede adjuntar la AmazonEKSFargatePodExecutionRolePolicy a sus entidades de IAM. Antes de crear un perfil de Fargate, debe crear un rol de ejecución de Pod de Fargate y adjuntarle esta política. Para obtener más información, consulte Paso 2: cree un rol de ejecución de Pod de Fargate y Definición de qué Pods usarán AWS Fargate cuando se lancen.
Esta política concede al rol los permisos que proporcionan acceso a otros recursos de servicio de AWS necesarios para ejecutar Pods de Amazon EKS en Fargate.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
ecr: permite que los pods que se ejecutan en Fargate extraigan imágenes de contenedor almacenadas en Amazon ECR.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSFargatePodExecutionRolePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSForFargateServiceRolePolicy
No puede adjuntar AmazonEKSForFargateServiceRolePolicy a sus entidades IAM. Esta política se encuentra adjunta a un rol vinculado a servicios que permite a Amazon EKS realizar acciones en su nombre. Para obtener más información, consulte AWSServiceRoleforAmazonEKSForFargate.
Esta política concede los permisos necesarios a Amazon EKS para ejecutar tareas de Fargate. Solo se utiliza la política si cuenta con nodos de Fargate.
Detalles de los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas.
-
ec2: crea y elimina interfaces de red elásticas y describe los recursos y las interfaces de red elásticas. Esto es necesario a fin de que el servicio Fargate de Amazon EKS pueda configurar las redes VPC necesarias para los pods de Fargate.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSForFargateServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSServicePolicy
Puede adjuntar la AmazonEKSServicePolicy a sus entidades de IAM. Los clústeres creados antes del 16 de abril de 2020 requerían que creara un rol de IAM y le adjuntara esta política. Los clústeres creados a partir del 16 de abril de 2020 no requieren que cree un rol ni que asigne esta política. Cuando crea un clúster mediante una entidad principal de IAM que tiene el permiso iam:CreateServiceLinkedRole, el rol vinculado al servicio AWSServiceRoleforAmazonEKS se crea de forma automática. El rol vinculado a servicios cuenta con la Política administrada de AWS: AmazonEKSServiceRolePolicy adjunta.
Esta política permite a Amazon EKS crear y administrar los recursos necesarios para operar clústeres de Amazon EKS.
Detalles de los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas.
-
eks: actualiza la versión de Kubernetes de su clúster después de iniciar una actualización. Amazon EKS no utiliza este permiso, pero permanece en la política de compatibilidad con versiones anteriores. -
ec2: trabaja con interfaces de red elásticas y otros recursos y etiquetas de red. Amazon EKS lo requiere para configurar redes que faciliten la comunicación entre nodos y el plano de control de Kubernetes. -
route53: asocia una VPC con una zona alojada. Amazon EKS lo requiere a fin de habilitar las redes privadas de punto de conexión para su servidor de API de clúster de Kubernetes. -
logs: registra eventos. Esto es necesario para que Amazon EKS pueda enviar registros de planos de control de Kubernetes a CloudWatch. -
iam: crea un rol vinculado a servicios. Esto es necesario para que Amazon EKS can cree el rol vinculado al servicio AWSServiceRoleForAmazonEKS en su nombre.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSServicePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSServiceRolePolicy
No puede adjuntar AmazonEKSServiceRolePolicy a sus entidades IAM. Esta política se encuentra adjunta a un rol vinculado a servicios que permite a Amazon EKS realizar acciones en su nombre. Para obtener más información, consulte Permisos de roles vinculados a servicios para Amazon EKS. Al crear un clúster mediante una entidad principal de IAM que tiene el permiso iam:CreateServiceLinkedRole, el rol vinculado a servicios AWSServiceRoleforAmazonEKS se crea de forma automática en su nombre y se le asocia esta política.
Esta política permite al rol vinculado a servicios llamar a servicios de AWS en su nombre.
Detalles de los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas.
-
ec2: crea y describe las interfaces de red elásticas y las instancias de Amazon EC2, el grupo de seguridad de clúster y la VPC necesarios para la creación de clústeres. -
iam: enumera todas las políticas administradas que se adjuntan a un rol de IAM. Esto es necesario para que Amazon EKS pueda enumerar y validar todos los permisos y políticas administradas necesarios para crear un clúster. -
Asocie un VPC con una zona alojada: Amazon EKS lo requiere a fin de habilitar las redes privadas de punto de conexión para su servidor de API de clúster de Kubernetes.
-
Evento de registro: esto es necesario para que Amazon EKS pueda enviar registros de planos de control de Kubernetes a CloudWatch.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSVPCResourceController
Puede adjuntar la política AmazonEKSVPCResourceController a las identidades de IAM. Si utiliza grupos de seguridad de Pods, debe asociar esta política a su Rol de IAM del clúster de Amazon EKS para realizar acciones en su nombre.
Esta política concede permisos al rol de clúster para administrar las interfaces de red elásticas y las direcciones IP de los nodos.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
ec2: administra interfaces de red elásticas y direcciones IP para admitir grupos de seguridad de Pod y nodos de Windows.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSVPCResourceController en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSWorkerNodePolicy
No puede adjuntar la AmazonEKSWorkerNodePolicy a sus entidades de IAM. Debe asociar esta política a un rol de IAM de nodo que especifique al crear nodos de Amazon EC2 que permiten a Amazon EKS realizar acciones en su nombre. Si crea un grupo de nodos con eksctl, crea el rol de IAM de nodo y adjunta esta política al rol de forma automática.
Esta política concede permisos a los nodos de Amazon EC2 de Amazon EKS para conectarse a los clústeres de Amazon EKS.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
ec2: lee el volumen de la instancia y la información de red. Esto es necesario para que los nodos de Kubernetes puedan describir información sobre los recursos de Amazon EC2 necesarios a fin de que el nodo se una al clúster de Amazon EKS. -
eks: opcionalmente, describe el clúster como parte del arranque de nodos. -
eks-auth:AssumeRoleForPodIdentity: Permite la recuperación de credenciales para las cargas de trabajo de EKS en el nodo. Esto es necesario para que la Pod Identity de EKS funcione correctamente.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSWorkerNodePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada por AWS: AmazonEKSWorkerNodeMinimalPolicy
No puede adjuntar la AmazonEKSWorkerNodeMinimalPolicy a sus entidades de IAM. Puede asociar esta política a un rol de IAM de nodo que especifique al crear nodos de Amazon EC2 que permiten a Amazon EKS realizar acciones en su nombre.
Esta política concede permisos a los nodos de Amazon EC2 de Amazon EKS para conectarse a los clústeres de Amazon EKS. Esta política tiene menos permisos en comparación con AmazonEKSWorkerNodePolicy.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
eks-auth:AssumeRoleForPodIdentity: Permite la recuperación de credenciales para las cargas de trabajo de EKS en el nodo. Esto es necesario para que la Pod Identity de EKS funcione correctamente.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSWorkerNodePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AWSServiceRoleForAmazonEKSNodegroup
No puede adjuntar AWSServiceRoleForAmazonEKSNodegroup a sus entidades IAM. Esta política se encuentra adjunta a un rol vinculado a servicios que permite a Amazon EKS realizar acciones en su nombre. Para obtener más información, consulte Permisos de roles vinculados a servicios para Amazon EKS.
Esta política otorga permisos de rol de AWSServiceRoleForAmazonEKSNodegroup que permiten crear y administrar grupos de nodos de Amazon EC2 en su cuenta.
Detalles sobre los permisos
Esta política incluye los siguientes permisos que permiten a Amazon EKS completar las siguientes tareas:
-
ec2: trabaje con grupos de seguridad, etiquetas, reservas de capacidad y plantillas de lanzamiento. Esto es necesario para que los grupos de nodos administrados por Amazon EKS habiliten la configuración de acceso remoto y describan las reservas de capacidad que se pueden usar en grupos de nodos administrados por Amazon EKS. Además, los grupos de nodos administrados por Amazon EKS crean una plantilla de lanzamiento en su nombre. Esto es para configurar el grupo de Amazon EC2 Auto Scaling que respalda cada grupo de nodos administrados. -
iam: crea un rol vinculado a servicios y transfiere un rol. Los grupos de nodos administrados por Amazon EKS lo requieren para administrar los perfiles de instancias del rol que se transfiere al crear un grupo de nodos administrados. Las instancias de Amazon EC2 lanzadas como parte de un grupo de nodos administrados utilizan este perfil de instancias. Amazon EKS necesita crear roles vinculadas a servicios para otros servicios, como los grupos de Amazon EC2 Auto Scaling. Estos permisos se usan en la creación de un grupo de nodos administrados. -
autoscaling: trabaja con grupos de Auto Scaling de seguridad. Los grupos de nodos administrados por Amazon EKS lo requieren para administrar el grupo de Amazon EC2 Auto Scaling que respalda cada grupo de nodos administrados. También se utiliza para admitir funciones como expulsar Pods cuando los nodos se terminan o reciclan durante las actualizaciones de grupos de nodos.
Para ver la versión más reciente del documento de política JSON, consulte AWSServiceRoleForAmazonEKSNodegroup en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEBSCSIDriverPolicy
La política AmazonEBSCSIDriverPolicy permite que el controlador de la Interfaz de almacenamiento de contenedores (CSI) de Amazon EBS cree, modifique, asocie, desasocie y elimine volúmenes en su nombre. También otorga al controlador CSI de EBS permisos para crear y eliminar instantáneas, así como para enumerar instancias, volúmenes e instantáneas.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEBSCSIDriverServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEFSCSIDriverPolicy
La política de AmazonEFSCSIDriverPolicy permite a la interfaz de almacenamiento de contenedores (CSI) de Amazon EFS crear y eliminar puntos de acceso en su nombre. También otorga permisos al controlador CSI de Amazon EFS para enumerar sus puntos de acceso, sistemas de archivos, destinos de montaje y zonas de disponibilidad de Amazon EC2.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEFSCSIDriverServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSLocalOutpostClusterPolicy
Puede asociar esta política a entidades de IAM. Antes de crear un clúster local, debe asociar esta política a su rol de clúster. Los clústeres de Kubernetes administrados por Amazon EKS realizan llamadas a otros servicios de AWS en su nombre. Lo hacen para administrar los recursos que utiliza con el servicio.
La AmazonEKSLocalOutpostClusterPolicy incluye los siguientes permisos:
-
ec2: permisos necesarios para que las instancias de Amazon EC2 se unan correctamente al clúster como instancias del plano de control. -
ssm: permite la conexión de Amazon EC2 Systems Manager a la instancia del plano de control, que Amazon EKS usa para comunicar y administrar el clúster local de su cuenta. -
logs: permite que las instancias envíen registros a Amazon CloudWatch. -
secretsmanager: permite a las instancias obtener y eliminar los datos de arranque de las instancias del plano de control de forma segura desde AWS Secrets Manager. -
ecr: permite que los Pods y contenedores que se ejecutan en las instancias del plano de control extraigan imágenes de contenedor almacenadas en Amazon Elastic Container Registry.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSLocalOutpostClusterPolicy en la Guía de referencia de políticas administradas de AWS.
Política administrada de AWS: AmazonEKSLocalOutpostServiceRolePolicy
No puede adjuntar esta política a sus entidades de IAM. Al crear un clúster mediante una entidad principal de IAM que tiene el permiso iam:CreateServiceLinkedRole, Amazon EKS crea de forma automática el rol vinculado a servicios AWSServiceRoleforAmazonEKSLocalOutpost en su nombre y le asocia esta política. Esta política permite al rol vinculado a servicios llamar a servicios de AWS para clústeres locales en su nombre.
La AmazonEKSLocalOutpostServiceRolePolicy incluye los siguientes permisos:
-
ec2: permite a Amazon EKS trabajar con la seguridad, la red y otros recursos para lanzar y administrar correctamente las instancias del plano de control en su cuenta. -
ssm: permite la conexión de Amazon EC2 Systems Manager a las instancias del plano de control, que Amazon EKS usa para comunicar y administrar el clúster local de su cuenta. -
iam: permite a Amazon EKS administrar el perfil de instancia asociado a las instancias del plano de control. -
secretsmanager: permite a Amazon EKS colocar los datos de arranque de las instancias del plano de control en AWS Secrets Manager para que pueda consultarse de forma segura durante el arranque de la instancia. -
outposts: permite a Amazon EKS obtener información de Outpost de su cuenta para lanzar correctamente un clúster local en un Outpost.
Para ver la versión más reciente del documento de política JSON, consulte AmazonEKSLocalOutpostServiceRolePolicy en la Guía de referencia de políticas administradas de AWS.
Actualizaciones de Amazon EKS en las políticas administradas de AWS
Es posible consultar los detalles sobre las actualizaciones de las políticas administradas de AWS para Amazon EKS debido a que este servicio comenzó a realizar el seguimiento de estos cambios. Para obtener alertas automáticas sobre cambios en esta página, suscríbase a la fuente RSS en la página de historial de documentos de Amazon EKS.
| Cambio | Descripción | Fecha |
|---|---|---|
|
Introdujo AmazonEKSWorkerNodeMinimalPolicy. |
AWS presentó la |
3 de octubre de 2024 |
|
Se agregaron permisos a AWSServiceRoleForAmazonEKSNodegroup. |
Se añadieron los permisos |
21 de agosto de 2024 |
Se agregaron permisos a AWSServiceRoleForAmazonEKSNodegroup. |
Se agregó el permiso |
27 de junio de 2024 |
|
AmazonEKS_CNI_Policy: actualización de una política existente |
Amazon EKS ha añadido nuevos permisos La CNI de la VPC puede usar las direcciones IP libres de cada subred para seleccionar las subredes con la mayor cantidad de direcciones IP libres y utilizarlas al crear una interfaz de red elástica. |
4 de marzo de 2024 |
|
AmazonEKSWorkerNodePolicy: Actualización de una política existente |
Amazon EKS agregó nuevos permisos para permitir las Pod Identities de EKS. El agente de Pod Identity de Amazon EKS usa el rol de nodo. |
26 de noviembre de 2023 |
|
Se presentó AmazonEFSCSIDriverPolicy. |
AWS presentó la |
26 de julio de 2023 |
|
Se agregaron permisos a AmazonEKSClusterPolicy. |
Se agregó un permiso de |
7 de febrero de 2023 |
|
Condiciones de la política actualizadas en AmazonEBSCSIdRiverPolicy. |
Eliminación de condiciones de política no válidas con caracteres comodín en el campo clave de |
17 de noviembre de 2022 |
|
Se agregaron permisos a AmazonEKSLocalOutpostServiceRolePolicy. |
Se agregó |
24 de octubre de 2022 |
|
Actualice los permisos del registro de Amazon Elastic Container Registry en AmazonEKSLocalOutpostClusterPolicy. |
Se movió la acción |
20 de octubre de 2022 |
|
Se agregaron permisos a AmazonEKSLocalOutpostClusterPolicy. |
Se agregó el repositorio de Amazon Elastic Container Registry |
31 de agosto de 2022 |
|
Se presentó AmazonEKSLocalOutpostClusterPolicy. |
AWS presentó la |
24 de agosto de 2022 |
|
Se presentó AmazonEKSLocalOutpostServiceRolePolicy. |
AWS presentó la |
23 de agosto de 2022 |
|
Se presentó AmazonEBSCSIDriverPolicy. |
AWS presentó la |
4 de abril de 2022 |
|
Se agregaron permisos a AmazonEKSWorkerNodePolicy. |
Se agregó |
21 de marzo de 2022 |
|
Se agregaron permisos a AWSServiceRoleForAmazonEKSNodegroup. |
Se agregó el permiso |
13 de diciembre de 2021 |
|
Se agregaron permisos a AmazonEKSClusterPolicy. |
Se han agregados permisos de |
17 de junio de 2021 |
|
Amazon EKS comenzó a realizar el seguimiento de los cambios. |
Amazon EKS comenzó a realizar el seguimiento de los cambios de las políticas administradas de AWS. |
17 de junio de 2021 |
