Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Vous souhaitez contribuer à ce guide de l'utilisateur ? Faites défiler cette page vers le bas et sélectionnez Modifier cette page sur GitHub. Vos contributions contribueront à améliorer notre guide de l'utilisateur pour tous.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Accorder aux utilisateurs l'accès à Kubernetes avec un appareil externe OIDC provider

Amazon EKS prend en charge l'utilisation OpenID Connect (OIDC) fournisseurs d'identité en tant que méthode d'authentification des utilisateurs auprès de votre cluster. OIDC les fournisseurs d'identité peuvent être utilisés avec Identity and Access Management () ou comme alternative à AWS Identity and Access Management (IAM). Pour plus d'informations sur l'utilisation de IAM, consultez Accorder IAM aux utilisateurs et aux rôles l'accès à Kubernetes APIs. Après avoir configuré l'authentification auprès de votre cluster, vous pouvez créer Kubernetes roleset clusterroles pour attribuer des autorisations aux rôles, puis pour lier les rôles aux identités en utilisant Kubernetes rolebindings et clusterrolebindings. Pour plus d'informations, consultez la section Utilisation de RBAC l'autorisation dans le Kubernetes .

Associer un OIDC fournisseur d'identité

Avant de pouvoir associer un OIDC fournisseur d'identité avec votre cluster, vous avez besoin des informations suivantes auprès de votre fournisseur :

Vous pouvez associer un fournisseur d'identité à l'aide de eksctl ou de la AWS Management Console.

Associer un fournisseur d'identité à l'aide de eksctl

Associer un fournisseur d'identité à l'aide de la AWS console

Exemple de stratégie IAM

Si vous souhaitez empêcher une OIDC fournisseur d'identité pour ne pas être associé à un cluster, créez et associez la IAM politique suivante aux IAM comptes de vos EKS administrateurs Amazon. Pour plus d'informations, voir Création de IAM politiques et ajout IAM d'autorisations d'identité dans le guide de IAM l'utilisateur et Actions dans la référence d'autorisation de service.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "denyOIDC",
            "Effect": "Deny",
            "Action": [
                "eks:AssociateIdentityProviderConfig"
            ],
            "Resource": "arn:aws: eks:us-west-2.amazonaws.com:111122223333:cluster/*"

        },
        {
            "Sid": "eksAdmin",
            "Effect": "Allow",
            "Action": [
                "eks:*"
            ],
            "Resource": "*"
        }
    ]
}

L'exemple de politique suivant permet OIDC association du fournisseur d'identité si clientID c'est le cas kubernetes et si issuerUrl c'est le cas https://cognito-idp.us-west-2amazonaws.com/* .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCognitoOnly",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotLikeIfExists": {
                    "eks:issuerUrl": "https://cognito-idp.us-west-2.amazonaws.com/*"
                }
            }
        },
        {
            "Sid": "DenyOtherClients",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotEquals": {
                    "eks:clientId": "kubernetes"
                }
            }
        },
        {
            "Sid": "AllowOthers",
            "Effect": "Allow",
            "Action": "eks:*",
            "Resource": "*"
        }
    ]
}

Partenaire validé OIDC fournisseurs d'identité

Amazon EKS entretient des relations avec un réseau de partenaires qui proposent une assistance en matière de compatibilité OIDC fournisseurs d'identité. Consultez la documentation destinée aux partenaires ci-dessous pour en savoir plus sur la manière d'intégrer le fournisseur d'identité à AmazonEKS.

Amazon EKS a pour objectif de vous proposer un large choix d'options pour couvrir tous les cas d'utilisation. Si vous développez un OIDC fournisseur d'identité compatible qui n'est pas répertorié ici, puis contactez notre équipe partenaire à l'aws-container-partnersadresse @amazon .com pour plus d'informations.