Récupérez les clés de signature pour valider les jetons OIDC - Amazon EKS

Aidez à améliorer cette page

Vous souhaitez contribuer à ce guide de l'utilisateur ? Faites défiler cette page vers le bas et sélectionnez Modifier cette page sur GitHub. Vos contributions aideront à améliorer notre guide de l'utilisateur pour tous.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Récupérez les clés de signature pour valider les jetons OIDC

Kubernetesémet un ProjectedServiceAccountToken pour chacun KubernetesService Account. Ce jeton est un OIDC jeton, qui est en outre un type deJSON web token (JWT). Amazon EKS héberge un point de OIDC terminaison public pour chaque cluster qui contient les clés de signature du jeton afin que les systèmes externes puissent le valider.

Pour valider unProjectedServiceAccountToken, vous devez récupérer les clés de signature OIDC publiques, également appelées. JSON Web Key Set (JWKS) Utilisez ces clés dans votre application pour valider le jeton. Par exemple, vous pouvez utiliser la bibliothèque Python PyJWT pour valider des jetons à l'aide de ces clés. Pour plus d'informations sur leProjectedServiceAccountToken, voirIAM, Kubernetes, et OpenID Connect (OIDC) informations générales.

Prérequis
Récupérer les clés de signature OIDC publiques ()AWS CLI

  1. Récupérez l'OIDCURL de votre cluster Amazon EKS à l'aide du AWS CLI.

    $ aws eks describe-cluster --name my-cluster --query 'cluster.identity.oidc.issuer'
"https://oidc.eks.us-west-2.amazonaws.com/id/8EBDXXXX00BAE"

  2. Récupérez la clé de signature publique à l'aide curl d'un outil similaire ou d'un outil similaire. Le résultat est un JSON Web Key Set (JWKS).

    Important

    Amazon EKS limite les appels vers le point de terminaison. OIDC Vous devez mettre en cache la clé de signature publique. Respectez l'cache-controlen-tête inclus dans la réponse.

    Important

    Amazon EKS fait pivoter la clé OIDC de signature tous les sept jours. 

    $ curl https://oidc.eks.us-west-2.amazonaws.com/id/8EBDXXXX00BAE/keys
{"keys":[{"kty":"RSA","kid":"2284XXXX4a40","use":"sig","alg":"RS256","n":"wklbXXXXMVfQ","e":"AQAB"}]}