Récupérez les informations IAM relatives à un module complémentaire Amazon EKS

Déterminez le nom du module complémentaire que vous souhaitez installer, ainsi que le Kubernetes version de votre cluster. Pour plus d'informations sur les modules complémentaires, voir Modules complémentaires Amazon EKS.

Utilisez la AWS CLI pour déterminer si le module complémentaire nécessite des autorisations IAM.

aws eks describe-addon-versions \
--addon-name <addon-name> \
--kubernetes-version <kubernetes-version>

Par exemple :

aws eks describe-addon-versions \
--addon-name aws-ebs-csi-driver \
--kubernetes-version 1.30

Passez en revue l'exemple de sortie suivant. Notez que requiresIamPermissions c'est true la version du module complémentaire par défaut. Vous devez spécifier la version du module complémentaire lors de la récupération de la politique IAM recommandée.

{
    "addons": [
        {
            "addonName": "aws-ebs-csi-driver",
            "type": "storage",
            "addonVersions": [
                {
                    "addonVersion": "v1.31.0-eksbuild.1",
                    "architecture": [
                        "amd64",
                        "arm64"
                    ],
                    "compatibilities": [
                        {
                            "clusterVersion": "1.30",
                            "platformVersions": [
                                "*"
                            ],
                            "defaultVersion": true
                        }
                    ],
                    "requiresConfiguration": false,
                    "requiresIamPermissions": true
                },
[...]

Si le module complémentaire nécessite des autorisations IAM, utilisez la AWS CLI pour récupérer une politique IAM recommandée.

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name <addon-name> \
--addon-version <addon-version>

Par exemple :

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name aws-ebs-csi-driver \
--addon-version v1.31.0-eksbuild.1

Passez en revue le résultat suivant. Notez le recommendedManagedPolicies.

[
    {
        "serviceAccount": "ebs-csi-controller-sa",
        "recommendedManagedPolicies": [
            "arn:aws: iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy"
        ]
    }
]

Créez un rôle IAM et associez la politique gérée recommandée. Vous pouvez également passer en revue la politique gérée et limiter les autorisations le cas échéant. Pour plus d'informations, voir Création d'une association Pod Identity (AWS console).