Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Accès des utilisateurs à Kubernetes via un fournisseur OIDC externe

Amazon EKS prend en charge l'utilisation des fournisseurs d'identité OpenID Connect (OIDC) comme méthode d'authentification des utilisateurs de votre cluster. Les fournisseurs d'identité OIDC peuvent être utilisés avec ou comme alternative à la gestion des AWS identités et des accès (IAM). Pour plus d'informations sur l'utilisation d'IAM, consultez Accorder aux utilisateurs et aux rôles IAM l'accès aux API Kubernetes. Après avoir configuré l'authentification dans votre cluster, vous pouvez créer des roles et des clusterroles Kubernetes pour attribuer des autorisations aux rôles, puis lier les rôles aux identités à l'aide de liaisons rolebindings et clusterrolebindings Kubernetes. Pour plus d'informations, consultez Utilisation de l'autorisation RBAC dans la documentation Kubernetes.

Le nombre de fournisseurs d'identité OIDC que vous pouvez associer à un cluster dépend de la version Kubernetes du cluster. Sur les clusters exécutant Kubernetes version 1.32 ou ultérieure, vous pouvez associer jusqu'à 10 fournisseurs d'identité OIDC. La taille combinée de toutes les configurations de fournisseurs OIDC doit être inférieure à 12 Ko. Sur les clusters exécutant une version antérieure à la version 1.32, vous ne pouvez associer qu'un seul fournisseur d'identité OIDC.

Associer un fournisseur d'identité OIDC

Pour pouvoir associer un fournisseur d'identité OIDC à votre cluster, vous devez obtenir les informations suivantes de votre fournisseur :

Vous pouvez associer un fournisseur d'identité à l'aide de eksctl ou de la Console de gestion AWS.

Association d’un fournisseur d’identité à l’aide d’eksctl

Associez un fournisseur d'identité à l'aide du AWS Console

Meilleures pratiques pour plusieurs fournisseurs d'identité

Utiliser des préfixes de nom d'utilisateur et de groupe  : définissez un préfixe de nom d'utilisateur (usernamePrefix) et un préfixe de groupe (groupsPrefix) pour chaque fournisseur d'identité OIDC afin de réduire le risque de chevauchement des identités de différents fournisseurs. Si vous n'utilisez pas de préfixes, utilisez des revendications de nom d'utilisateur et de groupes uniques par fournisseur. L'une ou l'autre approche garantit que deux fournisseurs ne peuvent pas produire le même nom d'utilisateur ou le même nom de groupe Kubernetes.

Validez les revendications de jetons  : utilisez les revendications requises (requiredClaims) pour spécifier les paires clé-valeur qui doivent être présentes dans le jeton d'identification, afin que votre cluster n'accepte que les jetons que vous autorisez.

Limitez le nombre de demandes pour chaque jeton  : configurez votre fournisseur d'identité pour qu'il émette des jetons contenant uniquement les revendications dont votre cluster a besoin. La limitation des réclamations réduit les informations exposées en cas de compromission d'un jeton.

Exemple de politique IAM

Si vous voulez empêcher un fournisseur d'identité OIDC d'être associé à un cluster, créez et associez la politique IAM suivante aux comptes IAM de vos administrateurs Amazon EKS. Pour plus d’informations, consultez Création de politiques IAM et Ajout d’autorisations d’identité IAM dans le Guide de l’utilisateur IAM, ainsi que Actions dans la Référence d’autorisation de service.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "denyOIDC",
            "Effect": "Deny",
            "Action": [
                "eks:AssociateIdentityProviderConfig"
            ],
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/*"

        },
        {
            "Sid": "eksAdmin",
            "Effect": "Allow",
            "Action": [
                "eks:*"
            ],
            "Resource": "*"
        }
    ]
}

L'exemple de politique suivant autorise l'association de fournisseur d'identité OIDC si clientID est kubernetes et issuerUrl est https://cognito-idp.us-west-2.amazonaws.com/*.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCognitoOnly",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotLikeIfExists": {
                    "eks:issuerUrl": "https://cognito-idp.us-west-2.amazonaws.com/*"
                }
            }
        },
        {
            "Sid": "DenyOtherClients",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotEquals": {
                    "eks:clientId": "kubernetes"
                }
            }
        },
        {
            "Sid": "AllowOthers",
            "Effect": "Allow",
            "Action": "eks:*",
            "Resource": "*"
        }
    ]
}