Attribuer un rôle IAM à un compte de service Kubernetes

Ouvrez la console Amazon EKS.

Dans le panneau de navigation de gauche, sélectionnez Clusters, puis sélectionnez le nom du cluster pour lequel vous souhaitez configurer le module complémentaire l’agent d’identité du pod EKS.

Choisissez l’onglet Access.

Dans Associations d’identité du pod, sélectionnez Créer.

Pour Rôle IAM, sélectionnez le rôle IAM avec les autorisations dont a besoin la charge de travail.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

sts:AssumeRole— EKS Pod AssumeRole Identity assume le rôle IAM avant de transmettre les informations d'identification temporaires à vos pods.

sts:TagSession— EKS Pod Identity est utilisé TagSession pour inclure des balises de session dans les demandes adressées à AWS STS.

Vous pouvez utiliser ces balises dans les clés de condition de la politique de confiance pour limiter les comptes de service, les espaces de noms et les clusters autorisés à utiliser ce rôle.

Pour obtenir la liste des clés de condition Amazon EKS, consultez la rubrique Conditions définies par Amazon Elastic Kubernetes Service de la Référence de l'autorisation de service. Pour savoir avec quelles actions et ressources vous pouvez utiliser une clé de condition, consultez la rubrique Actions définies par Amazon Elastic Kubernetes Service.

Pour l'espace de noms Kubernetes, sélectionnez l'espace de noms Kubernetes qui contient le compte de service et la charge de travail. Vous pouvez éventuellement spécifier un espace de noms par un nom qui n'existe pas dans le cluster.

Pour le compte de service Kubernetes, sélectionnez le compte de service Kubernetes à utiliser. Le manifeste de votre charge de travail Kubernetes doit spécifier ce compte de service. Vous pouvez éventuellement spécifier un compte de service par un nom qui n'existe pas dans le cluster.

(Facultatif) Pour Balises, choisissez Ajouter une balise pour ajouter des métadonnées dans une paire clé et valeur. Ces balises sont appliquées à l’association et peuvent être utilisées dans les politiques IAM.

Vous pouvez répéter cette étape pour ajouter plusieurs balises.

Sélectionnez Create (Créer).

Si vous souhaitez associer une politique IAM existante à votre rôle IAM, passez à l'étape suivante.

Créez une politique IAM. Vous pouvez créer votre propre politique ou copier une politique AWS gérée qui accorde déjà certaines des autorisations dont vous avez besoin et la personnaliser en fonction de vos besoins spécifiques. Pour plus d’informations, consultez Création de politiques IAM dans le Guide de l’utilisateur IAM.

Créez un rôle IAM et associez-le à un compte de service Kubernetes.

Vérifiez que la politique de confiance du rôle IAM est correctement configurée.

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

L'exemple qui suit illustre un résultat.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow EKS Auth service to assume this role for Pod Identities",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

Vérifiez que la stratégie que vous avez associée à votre rôle lors d'une étape précédente est associée au rôle.

aws iam list-attached-role-policies --role-name my-role --query AttachedPolicies[].PolicyArn --output text

L'exemple qui suit illustre un résultat.

 arn:aws: iam::111122223333:policy/my-policy

Définissez une variable pour stocker l'Amazon Resource Name (ARN) de la stratégie que vous souhaitez utiliser. my-policyRemplacez-le par le nom de la politique pour laquelle vous souhaitez confirmer les autorisations.

export policy_arn=arn:aws: iam::111122223333:policy/my-policy

Affichez la version par défaut de la stratégie.

aws iam get-policy --policy-arn $policy_arn

L'exemple qui suit illustre un résultat.

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws: iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

Consultez le contenu de la politique pour vous assurer qu'elle inclut toutes les autorisations dont votre Pod a besoin. Si nécessaire, remplacez 1 la commande suivante par la version renvoyée dans la sortie précédente.

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

L'exemple qui suit illustre un résultat.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws: s3:::my-pod-secrets-bucket"
        }
    ]
}

Si vous avez créé l'exemple de stratégie lors d'une étape précédente, le résultat est le même. Si vous avez créé une politique différente, le example contenu est différent.