Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page qui se trouve dans le volet droit de chaque page.

AWS politiques gérées pour Amazon Elastic Kubernetes Service

Une politique AWS gérée est une politique autonome qui est créée et administrée par AWS. AWS les politiques gérées sont conçues pour fournir des autorisations pour de nombreux cas d'utilisation courants afin que vous puissiez commencer à attribuer des autorisations aux utilisateurs, aux groupes et aux rôles.

N'oubliez pas que les politiques AWS gérées peuvent ne pas accorder les autorisations de moindre privilège pour vos cas d'utilisation spécifiques, car elles sont disponibles pour tous les AWS clients. Nous vous recommandons de réduire encore les autorisations en définissant des politiques gérées par le client qui sont propres à vos cas d’utilisation.

Vous ne pouvez pas modifier les autorisations définies dans les politiques AWS gérées. Si les autorisations définies dans une politique AWS gérée sont AWS mises à jour, la mise à jour affecte toutes les identités principales (utilisateurs, groupes et rôles) auxquelles la politique est attachée. AWS est le plus susceptible de mettre à jour une politique AWS gérée lorsqu'un nouveau AWS service est lancé ou que de nouvelles opérations d'API deviennent disponibles pour des services existants.

Pour plus d’informations, consultez Politiques gérées par AWS dans le Guide de l’utilisateur IAM.

AWS politique gérée : Amazoneks_CNI_Policy

Vous pouvez attacher AmazonEKS_CNI_Policy à vos entités IAM. Avant de créer un groupe de nœuds Amazon EC2, cette politique doit être associée soit au rôle IAM du nœud, soit à un rôle IAM utilisé spécifiquement par le plug-in CNI Amazon VPC pour Kubernetes. Ceci lui permet d'effectuer des actions en votre nom. Nous vous recommandons d’associer la politique à un rôle utilisé uniquement par le plug-in. Pour plus d’informations, consultez Attribuer des adresses IP aux pods avec Amazon VPC CNI et Configuration du plug-in Amazon VPC CNI pour utiliser IRSA.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

ec2:*NetworkInterface et ec2:*PrivateIpAddresses : permet au plug-in CNI Amazon VPC d’effectuer des actions telles que le provisionnement d’interfaces réseau Elastic et d’adresses IP pour les pods afin de fournir une mise en réseau pour les applications qui s’exécutent dans Amazon EKS.
Actions de lecture ec2 : permet au plug-in CNI Amazon VPC d’effectuer des actions telles que la description d’instances et de sous-réseaux afin de connaître le nombre d’adresses IP libres dans vos sous-réseaux Amazon VPC. Le CNI VPC peut utiliser les adresses IP libres dans chaque sous-réseau pour sélectionner les sous-réseaux disposant du plus grand nombre d’adresses IP libres à utiliser lors de la création d’une interface réseau Elastic.

Pour consulter la dernière version du document de politique JSON, consultez Amazoneks_CNI_Policy dans le Managed Policy Reference Guide. AWS

AWS stratégie gérée : AmazonEKSClusterPolicy

Vous pouvez attacher AmazonEKSClusterPolicy à vos entités IAM. Avant de créer un cluster, vous devez disposer d'un rôle IAM de cluster avec la politique ci-jointe. Les clusters Kubernetes gérés par Amazon EKS appellent d'autres AWS services en votre nom. Ils le font pour gérer les ressources que vous utilisez avec le service.

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

autoscaling : lit et met à jour la configuration d’un groupe Auto Scaling. Ces autorisations ne sont pas utilisées par Amazon EKS, mais restent dans la politique pour des raisons de compatibilité ascendante.
ec2 : utilisez les volumes et les ressources réseau associés aux nœuds Amazon EC2. Ceci est nécessaire pour que le plan de contrôle Kubernetes puisse joindre des instances à un cluster et approvisionner et gérer dynamiquement les volumes Amazon EBS demandés par des volumes persistants Kubernetes.
ec2 : supprimer les interfaces réseau Elastic créées par le CNI VPC. Cette opération est nécessaire pour permettre à EKS de nettoyer les interfaces réseau Elastic qui restent si le VPC CNI se ferme de manière inattendue.
elasticloadbalancing : utilisez les équilibreurs de charge Elastic et y ajouter des nœuds en tant que cibles. Ceci est nécessaire pour que le plan de contrôle Kubernetes puisse allouer de manière dynamique les Elastic Load Balancer demandés par les services Kubernetes.
iam : créez un rôle lié à un service. Ceci est nécessaire pour que le plan de contrôle Kubernetes puisse allouer de manière dynamique les Elastic Load Balancer demandés par les services Kubernetes.
kms— Lisez une clé depuis AWS KMS. Cette condition est nécessaire pour que le plan de contrôle de Kubernetes prenne en charge le chiffrement des secrets Kubernetes stockés dans etcd.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSClusterPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSDashboardConsoleReadOnly

Vous pouvez attacher AmazonEKSDashboardConsoleReadOnly à vos entités IAM.

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

eks- Read-only accès aux données du tableau de bord EKS, aux ressources et aux informations sur les versions des clusters. Cela permet de visualiser EKS-related les métriques et les détails de configuration du cluster.
organizations- Read-only accès aux informations AWS des organisations, y compris :
- Affichage des détails de l’organisation et de l’accès aux services
- Affichage de la liste des racines organisationnelles, des comptes et des unités organisationnelles
- Affichage de la structure organisationnelle

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSDashboardConsoleReadOnly le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSFargatePodExecutionRolePolicy

Vous pouvez attacher AmazonEKSFargatePodExecutionRolePolicy à vos entités IAM. Avant de pouvoir créer un profil Fargate, vous devez créer un rôle d’exécution de pod Fargate et y associer cette politique. Pour plus d’informations, consultez Étape 2 : créer un rôle d’exécution Fargate Pod et Définissez quels pods utilisent AWS Fargate lors de leur lancement.

Cette politique accorde au rôle les autorisations qui lui permettent d'accéder à d'autres ressources de AWS service nécessaires pour exécuter les modules Amazon EKS sur Fargate.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

ecr : permet aux pods qui s’exécutent sur Fargate d’extraire les images de conteneur stockées dans Amazon ECR.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSFargatePodExecutionRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSConnectorServiceRolePolicy

Vous ne pouvez pas associer AmazonEKSConnectorServiceRolePolicy à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à Amazon EKS d'effectuer des actions en votre nom. Pour de plus amples informations, veuillez consulter Utilisation de rôles pour connecter un cluster Kubernetes à Amazon EKS.

Ce rôle permet à Amazon EKS de connecter des clusters Kubernetes. Les politiques associées permettent au rôle de gérer les ressources nécessaires pour se connecter à votre cluster Kubernetes enregistré.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes.

SSM Management— Créez, décrivez et supprimez des activations SSM et désenregistrez les instances gérées. Cela permet les opérations de base de Systems Manager.
Session Management— Démarrez des sessions SSM spécifiquement pour les clusters EKS et exécutez des commandes non interactives à l'aide du document AmazonEks.
IAM Role Passing— Transmettez les rôles IAM spécifiquement au service SSM, en les contrôlant par une condition qui limite les rôles transmis à. ssm.amazonaws.com
EventBridge Rules— Créez des EventBridge règles et des cibles, mais uniquement lorsqu'elles sont gérées pareks-connector.amazonaws.com. Les règles sont spécifiquement limitées à AWS SSM en tant que source d'événement.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSConnectorServiceRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSForFargateServiceRolePolicy

Vous ne pouvez pas associer AmazonEKSForFargateServiceRolePolicy à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à Amazon EKS d'effectuer des actions en votre nom. Pour de plus amples informations, veuillez consulter AWSServiceRoleforAmazonEKSForFargate.

Cette politique accorde les autorisations nécessaires à Amazon EKS pour exécuter des tâches Fargate. La politique n'est utilisée que si vous avez des nœuds Fargate.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes.

ec2 : créer et supprimer des interfaces réseau Elastic et décrire les interfaces réseau Elastic et les ressources. Ceci est nécessaire pour que le service Amazon EKS Fargate puisse configurer le réseau VPC requis pour les pods Fargate.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSForFargateServiceRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSComputePolicy

Vous pouvez attacher AmazonEKSComputePolicy à vos entités IAM. Vous pouvez associer cette politique à votre rôle IAM du cluster afin d’étendre les ressources qu’EKS peut gérer dans votre compte.

Cette politique accorde les autorisations requises pour qu’Amazon EKS puisse créer et gérer des instances EC2 pour le cluster EKS, ainsi que les autorisations IAM nécessaires pour configurer EC2. De plus, cette politique accorde à Amazon EKS les autorisations nécessaires pour créer le rôle lié à un service EC2 Spot en votre nom.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

Autorisations ec2 :
- ec2:CreateFleetet ec2:RunInstances - Permet de créer des instances EC2 et d'utiliser des ressources EC2 spécifiques (images, groupes de sécurité, sous-réseaux, réservations de capacité à la demande, groupes de placement) pour les nœuds de cluster EKS.
- ec2:CreateLaunchTemplate : permet de créer des modèles de lancement EC2 pour les nœuds du cluster EKS.
- La politique comprend également des conditions visant à restreindre l’utilisation de ces autorisations EC2 aux ressources balisées avec le nom du cluster EKS et d’autres balises pertinentes.
- ec2:CreateTags : permet de baliser les ressources EC2 créées par les actions CreateFleet, RunInstances et CreateLaunchTemplate.
- ec2:DescribeCapacityReservations- Permet de créer des instances EC2 à partir de réservations de capacité interruptible
Autorisations iam :
- iam:AddRoleToInstanceProfile : permet d’ajouter un rôle IAM au profil d’instance de calcul EKS.
- iam:PassRole : permet de transmettre les rôles IAM nécessaires au service EC2.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSComputePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSNetworkingPolicy

Vous pouvez attacher AmazonEKSNetworkingPolicy à vos entités IAM. Vous pouvez associer cette politique à votre rôle IAM du cluster afin d’étendre les ressources qu’EKS peut gérer dans votre compte.

Cette politique est conçue pour accorder les autorisations nécessaires à Amazon EKS afin de créer et de gérer les interfaces réseau pour le cluster EKS, permettant ainsi au plan de contrôle et aux composants master de communiquer et de fonctionner correctement.

Détails de l’autorisation

Cette politique accorde les autorisations suivantes pour permettre à Amazon EKS de gérer les interfaces réseau pour le cluster :

Autorisations d’interface réseau ec2 :
- ec2:CreateNetworkInterface : permet de créer des interfaces réseau EC2.
- La politique inclut des conditions visant à restreindre l’utilisation de cette autorisation aux interfaces réseau balisées avec le nom du cluster EKS et le nom du nœud CNI Kubernetes.
- ec2:CreateTags : permet d’ajouter des balises aux interfaces réseau créées par l’action CreateNetworkInterface.
Autorisations de gestion de l’interface réseau ec2 :
- ec2:AttachNetworkInterface,ec2:ModifyNetworkInterfaceAttribute, ec2:DetachNetworkInterface - Permet de joindre, de modifier les attributs d'interface réseau et de détacher des interfaces réseau aux instances EC2.
- ec2:UnassignPrivateIpAddresses, ec2:UnassignIpv6Addresses, ec2:AssignPrivateIpAddresses, ec2:AssignIpv6Addresses : permet de gérer les attributions d’adresses IP des interfaces réseau.
- Ces autorisations sont limitées aux interfaces réseau balisées avec le nom du cluster Amazon EKS.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSNetworkingPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSBlockStoragePolicyV2

Vous pouvez attacher AmazonEKSBlockStoragePolicyV2 à vos entités IAM. Vous pouvez associer cette politique à votre rôle IAM de cluster afin d'étendre les ressources qu'EKS peut gérer sur votre compte.

Cette politique accorde les autorisations nécessaires à Amazon EKS pour créer, gérer et maintenir des volumes EC2 et des instantanés pour le cluster Amazon EKS, permettant ainsi au plan de contrôle et aux composants master de provisionner et d’utiliser le stockage persistant selon les besoins des charges de travail Kubernetes.

Détails de l’autorisation

Cette politique IAM accorde les autorisations suivantes pour permettre à Amazon EKS de gérer les volumes et les instantanés EC2 :

Autorisations de gestion des volumes ec2 :
- ec2:AttachVolume, ec2:DetachVolume, ec2:ModifyVolume, ec2:EnableFastSnapshotRestores : permet de connecter, déconnecter, modifier et activer la restauration rapide des instantanés pour les volumes EC2.
- Ces autorisations sont limitées aux volumes balisés avec le nom du cluster EKS.
- ec2:CreateTags : permet d’ajouter des balises aux volumes EC2 et aux instantanés créés par les actions CreateVolume et CreateSnapshot.
Autorisations de création de volume ec2 :
- ec2:CreateVolume : permet de créer de nouveaux volumes EC2.
- La politique comprend des conditions qui limitent l’utilisation de cette autorisation aux volumes balisés avec le nom du cluster EKS et d’autres balises pertinentes.
- ec2:CreateSnapshot : permet de créer de nouveaux instantanés de volume EC2.
- La politique comprend des conditions qui limitent l’utilisation de cette autorisation aux instantanés balisés avec le nom du cluster EKS et d’autres balises pertinentes.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSBlockStoragePolicyV2 le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSLoadBalancingPolicy

Vous pouvez attacher AmazonEKSLoadBalancingPolicy à vos entités IAM. Vous pouvez associer cette politique à votre rôle IAM du cluster afin d’étendre les ressources qu’EKS peut gérer dans votre compte.

Cette politique IAM accorde les autorisations nécessaires à Amazon EKS pour fonctionner avec différents AWS services afin de gérer les Elastic Load Balancers (ELB) et les ressources associées.

Détails de l’autorisation

Les principales autorisations accordées par cette politique sont les suivantes :

elasticloadbalancing : permet de créer, modifier et gérer des Elastic Load Balancers et des groupes cibles. Cela inclut les autorisations de créer, mettre à jour et supprimer des équilibreurs de charge, des groupes cibles, des écouteurs et des règles.
ec2 : permet de créer et de gérer des groupes de sécurité, qui sont nécessaires au plan de contrôle Kubernetes pour joindre des instances à un cluster et gérer les volumes Amazon EBS. Permet également de décrire et de répertorier les ressources EC2 telles que les instances, les VPC, les sous-réseaux, les groupes de sécurité et d’autres ressources réseau.
iam : permet de créer un rôle lié à un service pour Elastic Load Balancing, qui est nécessaire au plan de contrôle Kubernetes pour provisionner dynamiquement les ELB.
kms: permet de lire une clé depuis AWS KMS, qui est requise pour que le plan de contrôle Kubernetes prenne en charge le chiffrement des secrets Kubernetes stockés dans etcd.
wafv2et shield : Permet d'associer et de dissocier les ACL Web et les protections creating/deleting AWS Shield pour les Elastic Load Balancers.
cognito-idp , acm et elasticloadbalancing : accorde les autorisations nécessaires pour décrire les clients du groupe d’utilisateurs, répertorier et décrire les certificats, et décrire les groupes cibles, qui sont nécessaires au plan de contrôle Kubernetes pour gérer les Elastic Load Balancers.

La politique comprend également plusieurs vérifications de conditions afin de garantir que les autorisations ont une portée limitée au cluster EKS spécifique géré, à l’aide de la balise eks:eks-cluster-name.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSLoadBalancingPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSMCPReadOnlyAccess

Vous pouvez attacher AmazonEKSMCPReadOnlyAccess à vos entités IAM. Cette politique fournit un accès en lecture seule aux ressources Amazon EKS et aux AWS services associés, permettant au serveur Amazon EKS Model Context Protocol (MCP) d'effectuer des opérations d'observabilité et de dépannage sans apporter de modifications à votre infrastructure.

Détails de l’autorisation

Cette politique inclut les autorisations suivantes qui permettent aux directeurs d'effectuer les tâches suivantes :

eksPermet aux responsables de décrire et de répertorier les clusters EKS, les groupes de nœuds, les modules complémentaires, d'accéder aux entrées, aux informations et d'accéder à l'API Kubernetes pour les opérations en lecture seule.
iamPermet aux directeurs de récupérer des informations sur les rôles, les politiques et leurs pièces jointes IAM afin de comprendre les autorisations associées aux ressources EKS.
ec2Permet aux responsables de décrire les VPC, les sous-réseaux et les tables de routage afin de comprendre la configuration réseau des clusters EKS.
stsPermet aux donneurs d'ordre de récupérer les informations relatives à l'identité de l'appelant à des fins d'authentification et d'autorisation.
logsPermet aux administrateurs de lancer des requêtes et de récupérer les résultats des requêtes dans les CloudWatch journaux à des fins de dépannage et de surveillance.
cloudwatchPermet aux administrateurs de récupérer des données métriques pour surveiller les performances des clusters et des charges de travail.
eks-mcpPermet aux administrateurs d'invoquer des opérations MCP et d'appeler des outils en lecture seule sur le serveur Amazon EKS MCP.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSMCPReadOnlyAccess le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSServicePolicy

Vous pouvez attacher AmazonEKSServicePolicy à vos entités IAM. Les clusters créés avant le 16 avril 2020 nécessitaient la création d'un rôle IAM et l'ajout de cette politique. Les clusters créés à partir du 16 avril 2020 ne nécessitent pas la création d’un rôle ni l’attribution de cette politique. Lorsque vous créez un cluster à l'aide d'un principal IAM disposant de l'iam:CreateServiceLinkedRoleautorisation requise, le rôle AWSServiceRoleforAmazonEKS lié au service est automatiquement créé pour vous. La politique gérée est associée au rôle AmazonEKSServiceRolePolicy lié à un service.

Cette politique permet à Amazon EKS de créer et de gérer les ressources nécessaires à l'exploitation des clusters Amazon EKS.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes.

eks : mettez à jour la version Kubernetes de votre cluster après avoir lancé une mise à jour. Cette autorisation n’est pas utilisée par Amazon EKS, mais reste dans la politique pour des raisons de compatibilité ascendante.
ec2 : utilisez les interfaces réseau Elastic et d’autres ressources et balises réseau. Cela est requis par Amazon EKS pour configurer la mise en réseau qui facilite la communication entre les nœuds et le plan de contrôle Kubernetes. Lisez les informations sur les groupes de sécurité. Mettez à jour les balises sur les groupes de sécurité.
route53 : associez un VPC à une zone hébergée. Cela est requis par Amazon EKS pour activer la mise en réseau de points de terminaison privés pour votre serveur d'API de cluster Kubernetes.
logs— Enregistrez les événements. Cela est nécessaire pour qu'Amazon EKS puisse envoyer les journaux du plan de contrôle Kubernetes à. CloudWatch
iam : créez un rôle lié à un service. Ceci est nécessaire pour qu'Amazon EKS puisse créer le rôle lié à un service Service-linked autorisations de rôle pour Amazon EKS en votre nom.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSServicePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSServiceRolePolicy

Vous ne pouvez pas associer AmazonEKSServiceRolePolicy à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à Amazon EKS d'effectuer des actions en votre nom. Pour de plus amples informations, veuillez consulter Service-linked autorisations de rôle pour Amazon EKS. Lorsque vous créez un cluster à l'aide d'un principal IAM disposant de l'iam:CreateServiceLinkedRoleautorisation, le rôle AWSServiceRoleforAmazonEKS lié au service est automatiquement créé pour vous et cette politique y est associée.

Cette politique permet au rôle lié à un service d'appeler les AWS services en votre nom.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes.

ec2— Créez et décrivez les interfaces réseau Elastic, les instances Amazon EC2 et leurs statuts, le groupe de sécurité du cluster et le VPC requis pour créer un cluster. Pour de plus amples informations, veuillez consulter Voir les exigences relatives aux groupes de sécurité Amazon EKS pour les clusters. Lisez les informations sur les groupes de sécurité. Mettez à jour les balises sur les groupes de sécurité. Lisez les informations sur les réservations On-Demand de capacité. Lisez les informations sur les groupes de placement. Lisez la configuration du VPC, y compris les tables de routage et les listes de contrôle d'accès réseau pour détecter les problèmes de configuration dans le cadre des informations sur les clusters.
Mode automatique ec2 : résiliez les instances EC2 créées par le mode automatique EKS. Pour de plus amples informations, veuillez consulter Automatisation de l’infrastructure du cluster avec le mode automatique EKS.
iam— Répertoriez toutes les politiques gérées associées à un rôle IAM. Cette condition est nécessaire pour permettre à Amazon EKS de répertorier et valider toutes les politiques et autorisations gérées requises pour créer un cluster.
Associer un VPC à une zone hébergée : cela est requis par Amazon EKS pour activer la mise en réseau de points de terminaison privés pour votre serveur d'API de cluster Kubernetes.
Événement de journal : cela est nécessaire pour qu'Amazon EKS puisse envoyer les journaux du plan de contrôle de Kubernetes à. CloudWatch
Insérer une métrique : cette étape est requise pour qu'Amazon EKS puisse envoyer les journaux du plan de contrôle Kubernetes à. CloudWatch
eks : gérez les entrées et les politiques d’accès au cluster, ce qui permet un contrôle précis des personnes autorisées à accéder aux ressources EKS et des actions qu’elles peuvent effectuer. Cela inclut l’association de politiques d’accès standard pour les opérations de calcul, de mise en réseau, d’équilibrage de charge et de stockage.
elasticloadbalancing : créez, gérez et supprimez les équilibreurs de charge et leurs composants (écouteurs, groupes cibles, certificats) associés aux clusters EKS. Affichez les attributs et l’état des équilibreurs de charge.
events- Créez et gérez des EventBridge règles pour surveiller les événements EC2 et AWS Health liés aux clusters EKS, afin de permettre des réponses automatisées aux modifications de l'infrastructure et aux alertes de santé.
iam- Gérez les profils d'instance EC2 avec le préfixe « eks », y compris la liste, la création, la suppression et l'association de rôles, nécessaires à la gestion des nœuds EKS. Permet de décrire n'importe quel profil d'instance pour permettre aux utilisateurs de définir des profils d'instance personnalisés à utiliser par leurs nœuds de travail.
pricingshield- Accédez aux informations AWS tarifaires et à l'état de protection du Shield, permettant la gestion des coûts et des fonctionnalités de sécurité avancées pour les ressources EKS.
Nettoyage des ressources : supprimez en toute sécurité EKS-tagged des ressources, notamment des volumes, des instantanés, des modèles de lancement et des interfaces réseau lors des opérations de nettoyage du cluster.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSServiceRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSVPCResourceController

Vous pouvez associer la politique AmazonEKSVPCResourceController à vos identités IAM. Si vous utilisez des groupes de sécurité pour les pods, vous devez associer cette politique à votre rôle IAM de cluster Amazon EKS pour effectuer des actions en votre nom.

Cette politique accorde les autorisations de rôle de cluster pour gérer les interfaces réseau Elastic et les adresses IP pour les nœuds.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

ec2 : gérez les interfaces réseau Elastic et les adresses IP pour prendre en charge les groupes de sécurité des pods et les nœuds Windows.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSVPCResourceController le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSWorkerNodePolicy

Vous pouvez attacher AmazonEKSWorkerNodePolicy à vos entités IAM. Vous devez attacher cette politique à un rôle IAM de nœud spécifié lorsque vous créez des nœuds Amazon EC2 qui permettent à Amazon EKS d'effectuer des actions en votre nom. Si vous créez un groupe de nœuds à l'aide de eksctl, il crée le rôle IAM de nœud et attache automatiquement cette politique au rôle.

Cette politique accorde aux nœuds Amazon EKS Amazon EC2 les autorisations de connexion aux clusters Amazon EKS.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

ec2 : lisez les informations relatives au volume et au réseau de l’instance. Ceci est nécessaire pour que les nœuds Kubernetes puissent décrire des informations sur les ressources Amazon EC2 requises pour que le nœud puisse rejoindre le cluster Amazon EKS.
eks : décrivez éventuellement le cluster dans le cadre du démarrage du nœud.
eks-auth:AssumeRoleForPodIdentity : autorisez la récupération des informations d’identification pour les charges de travail EKS sur le nœud. Cela est nécessaire pour que l’identité du pod EKS fonctionne correctement.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSWorkerNodePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSWorkerNodeMinimalPolicy

Vous pouvez les associer AmazonEKSWorkerNodeMinimalPolicy à vos entités IAM. Vous pouvez associer cette politique à un rôle IAM de nœud que vous spécifiez lors de la création de nœuds Amazon EC2 qui permettent à Amazon EKS d’effectuer des actions en votre nom.

Cette politique accorde aux nœuds Amazon EKS Amazon EC2 les autorisations de connexion aux clusters Amazon EKS. Cette politique comporte moins d'autorisations que AmazonEKSWorkerNodePolicy.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

eks-auth:AssumeRoleForPodIdentity : permet la récupération des informations d’identification pour les charges de travail EKS sur le nœud. Cela est nécessaire pour que l’identité du pod EKS fonctionne correctement.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSWorkerNodeMinimalPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AWSServiceRoleForAmazonEKSNodegroup

Vous ne pouvez pas associer AWSServiceRoleForAmazonEKSNodegroup à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à Amazon EKS d'effectuer des actions en votre nom. Pour de plus amples informations, veuillez consulter Service-linked autorisations de rôle pour Amazon EKS.

Cette politique accorde au rôle les autorisations AWSServiceRoleForAmazonEKSNodegroup qui lui permettent de créer et de gérer les groupes de nœuds Amazon EC2 dans votre compte.

Détails de l'autorisation

Cette politique inclut les autorisations suivantes qui permettent à Amazon EKS d'effectuer les tâches suivantes :

ec2 : permet de travailler avec des groupes de sécurité, des balises, des réserves de capacité et des modèles de lancement. Ceci est nécessaire pour que les groupes de nœuds gérés Amazon EKS puissent activer la configuration de l’accès à distance et décrire les réserves de capacité pouvant être utilisées dans les groupes de nœuds gérés. En outre, les groupes de nœuds gérés par Amazon EKS créent un modèle de lancement en votre nom. Cela permet de configurer le groupe Amazon EC2 Auto Scaling qui prend en charge chaque groupe de nœuds gérés.
iam : permet de créer un rôle lié à un service et de transmettre un rôle. Ceci est requis par les groupes de nœuds gérés Amazon EKS pour gérer les profils d'instance pour le rôle transmis lors de la création d'un groupe de nœuds gérés. Ce profil d'instance est utilisé par les instances Amazon EC2 lancées dans le cadre d'un groupe de nœuds gérés. Amazon EKS doit créer des rôles liés au service pour d'autres services tels que les groupes Amazon EC2 Auto Scaling. Ces autorisations sont utilisées dans la création d'un groupe de nœuds gérés.
autoscaling : permet de travailler avec des groupes Auto Scaling. Ceci est requis par les groupes de nœuds gérés par Amazon EKS pour gérer le groupe Amazon EC2 Auto Scaling qui sauvegarde chaque groupe de nœuds gérés. Il est également utilisé pour prendre en charge des fonctionnalités telles que l'expulsion de Pods lorsque des nœuds sont résiliés ou recyclés lors des mises à jour des groupes de nœuds et la gestion des pools chauds configurés sur des groupes de nœuds gérés.

Pour consulter la dernière version du document de politique JSON, consultez AWSServiceRoleForAmazonEKSNodegroup le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSDashboardServiceRolePolicy

Vous ne pouvez pas associer AmazonEKSDashboardServiceRolePolicy à vos entités IAM. Cette politique est attachée à un rôle lié à un service qui permet à Amazon EKS d'effectuer des actions en votre nom. Pour de plus amples informations, veuillez consulter Service-linked autorisations de rôle pour Amazon EKS.

Cette politique accorde au AWSServiceRoleForAmazonEKSDashboard rôle des autorisations qui lui permettent de consulter les informations relatives à la structure et aux comptes de votre AWS organisation.

Détails de l’autorisation

Cette politique comprend les autorisations suivantes qui permettent d’accéder à ces tâches :

organizations— Consultez les informations sur la structure et les comptes de votre AWS organisation. Cela inclut les autorisations permettant de répertorier les comptes de votre organisation, d’afficher les unités organisationnelles et les racines, de répertorier les administrateurs délégués, d’afficher les services qui ont accès à votre organisation et de récupérer des informations détaillées sur votre organisation et vos comptes.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSDashboardServiceRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEBSCSIDriverPolicy

Important

Deux nouvelles politiques IAM AWS gérées sont disponibles et fournissent une portée des autorisations plus restrictive : AmazonEBSCSIDriverPolicyV2 pour la portée basée sur les balises ou pour l'isolation par cluster. AmazonEBSCSIDriverEKSClusterScopedPolicy Si vous êtes intéressé par la migration, consultez la section Migration de la politique EBS CSI Driver.

La AmazonEBSCSIDriverPolicy politique permet au pilote Amazon EBS Container Storage Interface (CSI) de créer, modifier, copier, joindre, détacher et supprimer des volumes en votre nom. Cela inclut la modification des balises sur les volumes existants et l’activation de la restauration rapide des instantanés (FSR) sur les volumes EBS. Il accorde également au pilote EBS CSI les autorisations nécessaires pour créer, verrouiller, restaurer et supprimer des instantanés, et pour répertorier vos instances, volumes et instantanés.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEBSCSIDriverServiceRolePolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEBSCSIDriverPolicyV2

La AmazonEBSCSIDriverPolicyV2 politique est une alternative plus restrictive àAmazonEBSCSIDriverPolicy. Il limite le pilote Amazon EBS CSI à la gestion des volumes EBS et des instantanés uniquement pour lesquels la clé est définie sur. ebs.csi.aws.com/cluster true Les volumes provisionnés par le plug-in de volume Kubernetes intégré à l'arborescence (CSI-migrated volumes) sont également pris en charge via la balise resource. kubernetes.io/created-for/pvc/name

Si vous effectuez une migration depuisAmazonEBSCSIDriverPolicy, consultez la section Migration de la politique EBS CSI Driver.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEBSCSIDriverPolicyV2 le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEBSCSIDriverEKSClusterScopedPolicy

La AmazonEBSCSIDriverEKSClusterScopedPolicy politique limite le pilote Amazon EBS CSI à la gestion des volumes et des instantanés EBS qui appartiennent à un cluster EKS spécifique uniquement. Cela nécessite que la balise de ressource corresponde ebs.csi.aws.com/cluster-name à la eks-cluster-name balise du principal IAM, empêchant ainsi l'accès entre clusters lorsque plusieurs clusters partagent le même AWS compte. Les opérations d'attachement et de détachement sur les instances sont limitées aux instances balisées avec la eks:cluster-name balise (définie automatiquement par EKS sur les groupes de nœuds gérés), la eks:eks-cluster-name balise (définie par les contrôleurs qui suivent la norme de balisage des contrôleurs EKS, y compris le mode open source Karpenter et Amazon EKS Auto Mode) ou la ebs.csi.aws.com/cluster-name balise (pour les instances balisées manuellement).

Si vous effectuez une migration depuisAmazonEBSCSIDriverPolicy, consultez la section Migration de la politique EBS CSI Driver.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEBSCSIDriverEKSClusterScopedPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEFSCSIDriverPolicy

La politique AmazonEFSCSIDriverPolicy permet à l'interface CSI (Amazon EFS Container Storage Interface) de créer et de supprimer des points d'accès en votre nom. Il accorde également au pilote Amazon EFS CSI les autorisations nécessaires pour répertorier vos points d'accès, vos systèmes de fichiers, vos cibles de montage et les zones de disponibilité Amazon EC2.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEFSCSIDriverPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonS3FilesCSIDriverPolicy

La AmazonS3FilesCSIDriverPolicy politique permet à l'interface Amazon EFS Container Storage Interface (CSI) de créer et de supprimer des points d'accès Amazon S3 Files en votre nom. Il accorde également au pilote Amazon EFS CSI les autorisations nécessaires pour répertorier vos points d'accès et systèmes de fichiers Amazon S3 Files.

Pour consulter la dernière version du document de politique JSON, consultez AmazonS3FilesCSIDriverPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSLocalOutpostClusterPolicy

Vous ne pouvez pas attacher cette politique à des entités IAM. Avant de créer un cluster local, vous devez associer cette politique à votre rôle de cluster. Les clusters Kubernetes gérés par Amazon EKS appellent d'autres AWS services en votre nom. Ils le font pour gérer les ressources que vous utilisez avec le service.

La politique AmazonEKSLocalOutpostClusterPolicy inclut les autorisations suivantes :

ec2 lecture d’actions : permet aux instances du plan de contrôle de décrire les propriétés de la zone de disponibilité, de la table de routage, de l’instance et de l’interface réseau. Autorisations requises pour que les instances Amazon EC2 puissent rejoindre le cluster en tant qu’instances du plan de contrôle.
ssm : permet à Amazon EC2 Systems Manager de se connecter à l’instance du plan de contrôle, qui est utilisée par Amazon EKS pour communiquer et gérer le cluster local dans votre compte.
logs— Permet aux instances de transmettre des journaux à Amazon CloudWatch.
secretsmanager— Permet aux instances d'obtenir et de supprimer les données d'amorçage des instances du plan de contrôle en toute sécurité à partir de AWS Secrets Manager.
ecr : permet aux pods et aux conteneurs qui s’exécutent sur les instances du plan de contrôle d’extraire les images de conteneurs stockées dans Amazon Elastic Container Registry.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSLocalOutpostClusterPolicy le AWS Managed Policy Reference Guide.

AWS stratégie gérée : AmazonEKSLocalOutpostServiceRolePolicy

Vous ne pouvez pas associer cette politique à vos entités IAM. Lorsque vous créez un cluster à l'aide d'un principal IAM disposant de l'autorisation iam:CreateServiceLinkedRole, Amazon EKS crée automatiquement le rôle lié au service AWSServiceRoleforAmazonEKSLocalOutpost pour vous et y attache cette politique. Cette politique permet au rôle lié à un service d'appeler des AWS services en votre nom pour les clusters locaux.

La politique AmazonEKSLocalOutpostServiceRolePolicy inclut les autorisations suivantes :

ec2 : permet à Amazon EKS de fonctionner avec des ressources de sécurité, de réseau et autres afin de lancer et de gérer avec succès les instances du plan de contrôle dans votre compte.
ssm, ssmmessages : permet à Amazon EC2 Systems Manager de se connecter aux instances du plan de contrôle, qui sont utilisées par Amazon EKS pour communiquer et gérer le cluster local de votre compte.
iam : permet à Amazon EKS de gérer le profil d’instance associé aux instances du plan de contrôle.
secretsmanager- Permet à Amazon EKS de placer les données d'amorçage des instances du plan de contrôle dans AWS Secrets Manager afin qu'elles puissent être référencées de manière sécurisée lors du démarrage de l'instance.
outposts : permet à Amazon EKS d’obtenir des informations Outpost à partir de votre compte afin de lancer avec succès un cluster local dans un Outpost.

Pour consulter la dernière version du document de politique JSON, consultez AmazonEKSLocalOutpostServiceRolePolicy le AWS Managed Policy Reference Guide.

Mises à jour d'Amazon EKS pour AWS stratégies gérées

Consultez les informations relatives aux mises à jour des politiques AWS gérées pour Amazon EKS depuis que ce service a commencé à suivre ces modifications.

Pour recevoir des notifications concernant toutes les modifications apportées aux fichiers sources de cette page de documentation spécifique, vous pouvez vous abonner à l’URL suivante à l’aide d’un lecteur RSS :


https://github.com/awsdocs/amazon-eks-user-guide/commits/mainline/latest/ug/security/iam-reference/security-iam-awsmanpol.adoc.atom

Modifier	Description	Date
Autorisation ajoutée à AmazonEKSServiceRolePolicy.	Ajouté `AmazonEKSPodIdentityPolicy` à la liste des politiques d'accès que le rôle lié à un service peut associer et dissocier des entrées d'accès au cluster. Grâce à cet ajout, Amazon EKS peut gérer les informations d'identification des pods pour les charges de travail exécutées sur des clusters EKS.	26 juin 2026
Autorisations mises à jour pourAWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	Ajouté`elasticloadbalancing:SetRulePriorities`, `ec2:DescribeIpamPools` autorisations intégrées`AmazonEKSLoadBalancingPolicy`. Cela permet à Amazon EKS Auto Mode Controller de définir les priorités des règles de listiner spécifiées pour ALB et de décrire les pools ipam respectivement.	15 juin 2026
Ajout d’autorisations à AmazonEBSCSIDriverEKSClusterScopedPolicy.	Autorisé `ec2:AttachVolume` et `ec2:DetachVolume` sur les instances étiquetées avec le `eks:eks-cluster-name` tag, ajoutant ainsi la compatibilité avec les contrôleurs qui respectent la norme de balisage des contrôleurs EKS, notamment Karpenter open source et Amazon EKS Auto Mode.	28 mai 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSComputePolicy.	Des autorisations de ressources ont été ajoutées pour inclure l'`ec2:DescribeCapacityReservations`action. Cela permet au mode automatique Amazon EKS de lancer des instances depuis les réservations de capacité interruptible de votre compte.	18 mai 2026
Introduction de AWS stratégie gérée : AmazonEKSBlockStoragePolicyV2.	AWS a présenté le`AmazonEKSBlockStoragePolicyV2`.	12 mai 2026
Ajout d’autorisations à AmazonEBSCSIDriverPolicy.	Ajout d'une nouvelle action d'API `ec2:DescribeInstanceTypes` pour permettre au pilote EBS CSI de récupérer dynamiquement les limit/card informations de volume lors de l'exécution.	12 mai 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSLoadBalancingPolicy	Ajout `elasticloadbalancing:DescribeLoadBalancers` d'une autorisation `AmazonEKSLoadBalancingPolicy` pour permettre à Amazon EKS Auto Mode Controller de décrire LoadBalancer	27 avril 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSLoadBalancingPolicy	Ajout `elasticloadbalancing:DescribeCapacityReservation` d'une autorisation permettant `AmazonEKSLoadBalancingPolicy` à Amazon EKS Auto Mode Controller de décrire les unités LoadBalancer de capacité	20 avril 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSServiceRolePolicy	Ajouté `ec2:DescribeInstanceStatus` et `iam:ListInstanceProfiles` autorisations dans`AmazonEKSServiceRolePolicy`. Ces autorisations permettent au mode automatique Amazon EKS de détecter les événements d'intégrité EC2 pour les instances gérées et de nettoyer les profils d'instance gérés.	20 avril 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSComputePolicy.	Autorisations de ressources mises à jour pour les `ec2:CreateFleet` actions `ec2:RunInstances` et afin d'inclure les groupes de placement `arn:aws: ec2:::placement-group/*`. Cela permet au mode automatique Amazon EKS de lancer des instances dans les groupes de placement EC2 de votre compte.	17 avril 2026
AmazonEBSCSIDriverPolicyV2Présenté et AmazonEBSCSIDriverEKSClusterScopedPolicy.	Introduit `AmazonEBSCSIDriverPolicyV2` et `AmazonEBSCSIDriverEKSClusterScopedPolicy` en tant qu'alternatives plus restrictives à`AmazonEBSCSIDriverPolicy`. `AmazonEBSCSIDriverPolicyV2`étend le pilote EBS CSI aux volumes et aux instantanés marqués avec set to. `ebs.csi.aws.com/cluster` `true` `AmazonEBSCSIDriverEKSClusterScopedPolicy`étend le pilote aux volumes et aux instantanés appartenant à un cluster EKS spécifique à l'aide de la `ebs.csi.aws.com/cluster-name` balise.	16 avril 2026
Autorisation ajoutée à AmazonEKSServiceRolePolicy.	Ajout `ec2:DescribePlacementGroups` d'une autorisation permettant au mode automatique Amazon EKS de lancer des instances dans les groupes de placement EC2 de votre compte.	15 avril 2026
Autorisations mises à jour pourAWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	Mise à jour`shield:CreateProtection`, `shield:DeleteProtection` autorisation dans`AmazonEKSLoadBalancingPolicy`. Cela permet à Amazon EKS Auto Mode Controller d'ajouter une protection par bouclier.	14 avril 2026
Ajout d’autorisations à AWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	`elasticloadbalancing:RegisterTargets`Autorisation mise à jour `AmazonEKSLoadBalancingPolicy` pour ajouter la prise en charge des liaisons multi-clusters et personnalisées de groupes cibles	20 mars 2026
Ajout d’autorisations à AWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	Ajout `elasticloadbalancing:ModifyIpPools` d'une autorisation `AmazonEKSLoadBalancingPolicy` pour ajouter la prise en charge de la configuration du pool IPAM pour ALB	20 mars 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSNetworkingPolicy.	`ec2:ModifyNetworkInterfaceAttribute`Autorisation ajoutée dans`AmazonEKSNetworkingPolicy`. Cela permet à Amazon EKS Auto Mode Controller de modifier les attributs d'interface réseau liés aux instances EC2.	3 février 2026
Ajout d’autorisations à AWS stratégie gérée : AWSServiceRoleForAmazonEKSNodegroup.	Ajouté `autoscaling:PutWarmPoolautoscaling:DeleteWarmPool`, et `autoscaling:DescribeWarmPool` autorisations pour`AWSServiceRoleForAmazonEKSNodegroup`. Cela permet à Amazon EKS Managed Nodegroups de gérer les ressources ASG Warm Pool sous-jacentes tout au long du cycle de vie des groupes de nœuds.	17 février 2026
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSServiceRolePolicy.	Suppression de l'exigence du préfixe « eks » dans le nom du profil d'instance cible pour l'`iam:GetInstanceProfile`autorisation dans`AmazonEKSServiceRolePolicy`. Cela permet au mode automatique Amazon EKS de valider et d'utiliser des profils d'instance personnalisés NodeClasses sans avoir besoin du préfixe de dénomination « eks ».	2 février 2026
Ajout d’autorisations à AmazonEBSCSIDriverPolicy.	Ajout `ec2:LockSnapshot` d'une autorisation permettant au pilote EBS CSI de verrouiller directement EBS Snapshots.	15 janvier 2026
Introduction de AWS stratégie gérée : AmazonEKSMCPReadOnlyAccess.	Amazon EKS a introduit une nouvelle politique gérée `AmazonEKSMCPReadOnlyAccess` pour activer les outils en lecture seule sur le serveur Amazon EKS MCP à des fins d'observabilité et de dépannage.	21 novembre 2025
Ajout d’autorisations à AmazonEBSCSIDriverPolicy.	Ajout `ec2:CopyVolumes` d'une autorisation permettant au pilote EBS CSI de copier directement les volumes EBS.	17 novembre 2025
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSServiceRolePolicy.	Ajouté `ec2:DescribeRouteTables` et `ec2:DescribeNetworkAcls` autorisations pour`AmazonEKSServiceRolePolicy`. Cela permet à Amazon EKS de détecter les problèmes de configuration liés aux tables de routage VPC et aux ACL réseau pour les nœuds hybrides dans le cadre des informations sur les clusters.	22 octobre 2025
Autorisation ajoutée à AWSServiceRoleForAmazonEKSConnector	`ssmmessages:OpenDataChannel`Autorisation ajoutée à `AmazonEKSConnectorServiceRolePolicy`	15 octobre 2025
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSServiceRolePolicy	Ce rôle peut associer une nouvelle stratégie d’accès `AmazonEKSEventPolicy`. Autorisations restreintes pour `ec2:DeleteLaunchTemplate` et`ec2:TerminateInstances`.	26 août 2025
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSLocalOutpostServiceRolePolicy	Autorisation `ssmmessages:OpenDataChannel` ajoutée à `AmazonEKSLocalOutpostServiceRolePolicy`.	26 juin 2025
Autorisation ajoutée à AWS stratégie gérée : AmazonEKSComputePolicy.	Mise à jour des autorisations de ressources pour les actions `ec2:RunInstances` et `ec2:CreateFleet` afin d’inclure les réserves de capacité `arn:aws: ec2:::capacity-reservation/*`. Cela permet à Amazon EKS Auto Mode de lancer des instances en utilisant les réservations de On-Demand capacité EC2 de votre compte. Ajout de `iam:CreateServiceLinkedRole` pour permettre au mode automatique Amazon EKS de créer le rôle lié à un service EC2 Spot `AWSServiceRoleForEC2Spot` en votre nom.	20 juin 2025
Autorisation ajoutée à AmazonEKSServiceRolePolicy.	Ajout `ec2:DescribeCapacityReservations` d'une autorisation permettant au mode automatique Amazon EKS de lancer des instances en utilisant les réservations de On-Demand capacité EC2 de votre compte.	20 juin 2025
Introduction de AWS stratégie gérée : AmazonEKSDashboardConsoleReadOnly.	Introduction de la nouvelle politique `AmazonEKSDashboardConsoleReadOnly`.	19 juin 2025
Introduction de AWS stratégie gérée : AmazonEKSDashboardServiceRolePolicy.	Introduction de la nouvelle politique `AmazonEKSDashboardServiceRolePolicy`.	21 mai 2025
Ajout d’autorisations à AmazonEKSClusterPolicy.	Ajout de l’autorisation `ec2:DeleteNetworkInterfaces` pour permettre à Amazon EKS de supprimer les interfaces réseau Elastic qui sont laissées de côté si le VPC CNI se ferme de manière inattendue.	16 avril 2025
Autorisation ajoutée à AmazonEKSServiceRolePolicy.	Ajout `ec2:RevokeSecurityGroupEgress` et `ec2:AuthorizeSecurityGroupEgress` autorisations permettant aux AI/ML clients EKS d'ajouter des règles de sortie de groupe de sécurité à l'EKS Cluster SG par défaut qui sont compatibles avec EFA, dans le cadre de la version EKS 1.33.	14 avril 2025
Ajout d’autorisations à AmazonEKSServiceRolePolicy.	Ajout d’une autorisation pour résilier les instances EC2 créées par le mode automatique EKS.	28 février 2025
Ajout d’autorisations à AmazonEBSCSIDriverPolicy.	Ajout d’une nouvelle déclaration autorisant le pilote CSI EBS à restaurer tous les instantanés. Cela était déjà autorisé par la politique existante, mais une nouvelle déclaration explicite est nécessaire en raison d’un changement dans la gestion de l’IAM pour `CreateVolume`. Ajout de la possibilité pour le pilote CSI EBS de modifier les balises sur les volumes existants. Le pilote EBS CSI peut modifier les balises des volumes existants via un paramètre dans Kubernetes. VolumeAttributesClasses Ajout de la possibilité pour le pilote CSI EBS d’activer la restauration rapide des instantanés (FSR) sur les volumes EBS. Le pilote CSI EBS peut activer la FSR sur les nouveaux volumes via des paramètres dans les classes de stockage Kubernetes.	13 janvier 2025
Ajout d’autorisations à AWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	Mise à jour d’`AmazonEKSLoadBalancingPolicy` pour permettre la liste et la description des ressources réseau et des adresses IP.	26 décembre 2024
Ajout d’autorisations à AWS stratégie gérée : AWSServiceRoleForAmazonEKSNodegroup.	`AWSServiceRoleForAmazonEKSNodegroup` mis à jour pour être compatible avec les régions chinoises.	22 novembre 2024
Ajout d’autorisations à AWS stratégie gérée : AmazonEKSLocalOutpostClusterPolicy	`ec2:DescribeAvailabilityZones`Autorisation ajoutée pour `AmazonEKSLocalOutpostClusterPolicy` que le AWS Cloud Controller Manager puisse identifier la zone de disponibilité dans laquelle se trouve chaque nœud sur le plan de contrôle du cluster.	21 novembre 2024
Ajout d’autorisations à AWS stratégie gérée : AWSServiceRoleForAmazonEKSNodegroup.	Politique `AWSServiceRoleForAmazonEKSNodegroup` mise à jour pour autoriser `ec2:RebootInstances` sur les instances créées par des groupes de nœuds gérés par Amazon EKS. Restriction des autorisations `ec2:CreateTags` pour les ressources Amazon EC2.	20 novembre 2024
Ajout d’autorisations à AWS stratégie gérée : AmazonEKSServiceRolePolicy.	Politique AWS gérée mise à jour par EKS`AmazonEKSServiceRolePolicy`. Ajout d’autorisations pour les stratégies d’accès EKS, la gestion des équilibreurs de charge et le nettoyage automatisé des ressources du cluster.	16 novembre 2024
Introduction de AWS stratégie gérée : AmazonEKSComputePolicy.	Politique AWS gérée mise à jour par EKS`AmazonEKSComputePolicy`. Autorisations de ressources mises à jour pour l’action `iam:AddRoleToInstanceProfile`.	7 novembre 2024
Introduction de AWS stratégie gérée : AmazonEKSComputePolicy.	AWS a présenté le`AmazonEKSComputePolicy`.	1er novembre 2024
Ajout d’autorisations à `AmazonEKSClusterPolicy`	Ajout d’une autorisation `ec2:DescribeInstanceTopology` permettant à Amazon EKS d’associer des informations de topologie au nœud sous forme d’étiquettes.	1er novembre 2024
Introduction de AmazonEKSBlockStoragePolicy.	AWS a présenté le`AmazonEKSBlockStoragePolicy`.	30 octobre 2024
Introduction de AWS stratégie gérée : AmazonEKSLoadBalancingPolicy.	AWS a présenté le`AmazonEKSLoadBalancingPolicy`.	30 octobre 2024
Ajout d’autorisations à AmazonEKSServiceRolePolicy.	Des `cloudwatch:PutMetricData` autorisations ont été ajoutées pour permettre à Amazon EKS de publier des métriques sur Amazon CloudWatch.	29 octobre 2024
Introduction de AWS stratégie gérée : AmazonEKSNetworkingPolicy.	AWS a présenté le`AmazonEKSNetworkingPolicy`.	28 octobre 2024
Ajout d’autorisations à `AmazonEKSServicePolicy` et `AmazonEKSServiceRolePolicy`	Ajout de `ec2:GetSecurityGroupsForVpc` et association d’autorisations de balises pour permettre à EKS de lire les informations relatives aux groupes de sécurité et de mettre à jour les balises associées.	10 octobre 2024
Introduction de AmazonEKSWorkerNodeMinimalPolicy.	AWS a présenté le`AmazonEKSWorkerNodeMinimalPolicy`.	3 octobre 2024
Ajout d’autorisations à AWSServiceRoleForAmazonEKSNodegroup.	Ajout `autoscaling:ResumeProcesses` et `autoscaling:SuspendProcesses` autorisations permettant à Amazon EKS de suspendre et de reprendre ses activités `AZRebalance` dans les groupes Amazon EKS-managed Auto Scaling.	21 août 2024
Ajout d’autorisations à AWSServiceRoleForAmazonEKSNodegroup.	Ajout de l’autorisation `ec2:DescribeCapacityReservations` pour permettre à Amazon EKS de décrire la réserve de capacité dans le compte de l’utilisateur. Ajout de l’autorisation `autoscaling:PutScheduledUpdateGroupAction` pour permettre la configuration d’une mise à l’échelle planifiée sur les groupes de nœuds `CAPACITY_BLOCK`.	27 juin 2024
AmazonEKS_CNI_Policy : mise à jour d’une politique existante	Amazon EKS a ajouté de nouvelles autorisations `ec2:DescribeSubnets` pour permettre au plug-in CNI Amazon VPC pour Kubernetes de voir le nombre d’adresses IP libres dans vos sous-réseaux Amazon VPC. Le CNI VPC peut utiliser les adresses IP libres dans chaque sous-réseau pour sélectionner les sous-réseaux disposant du plus grand nombre d’adresses IP libres à utiliser lors de la création d’une interface réseau Elastic.	4 mars 2024
AmazonEKSWorkerNodePolicy : mise à jour d’une politique existante	Amazon EKS a ajouté de nouvelles autorisations pour permettre les identités du pod EKS. L’agent d’identité du pod Amazon EKS utilise le rôle de nœud.	26 novembre 2023
Introduction de AmazonEFSCSIDriverPolicy.	AWS a présenté le`AmazonEFSCSIDriverPolicy`.	26 juillet 2023
Ajout d’autorisations à AmazonEKSClusterPolicy.	Ajout d'une autorisation `ec2:DescribeAvailabilityZones` permettant à Amazon EKS d'obtenir les détails des zones de disponibilité lors de la découverte automatique des sous-réseaux lors de la création d'équilibreurs de charge.	7 février 2023
Conditions générales mises à jour dans AmazonEBSCSIDriverPolicy.	Conditions de stratégie non valides supprimées comportant des caractères génériques dans le champ clé `StringLike`. Nouvelle condition `ec2:ResourceTag/kubernetes.io/created-for/pvc/name: "*"` ajoutée à `ec2:DeleteVolume`, permettant au pilote EBS CSI de supprimer les volumes créés par le plug-in intégré à l'arborescence.	17 novembre 2022
Ajout d’autorisations à AmazonEKSLocalOutpostServiceRolePolicy.	Ajout de `ec2:DescribeVPCAttribute`, `ec2:GetConsoleOutput` et `ec2:DescribeSecret` pour permettre une meilleure validation des prérequis et un meilleur contrôle du cycle de vie géré. Également, ajout de `ec2:DescribePlacementGroups` et `"arn:aws: ec2:::placement-group/*"` à `ec2:RunInstances` pour permettre le contrôle du placement des instances Amazon EC2 du plan de contrôle sur les Outposts.	24 octobre 2022
Mettez à jour les autorisations d'Amazon Elastic Container Registry dans AmazonEKSLocalOutpostClusterPolicy.	Déplacement de l'action `ecr:GetDownloadUrlForLayer` de toutes les sections de ressources vers une section délimitée. Ajout de la ressource `arn:aws: ecr:::repository/eks/`. Suppression de la ressource `arn:aws: ecr:`. Cette ressource est couverte par la ressource `arn:aws: ecr:::repository/eks/*` ajoutée.	20 octobre 2022
Ajout d’autorisations à AmazonEKSLocalOutpostClusterPolicy.	Ajout du référentiel Amazon Elastic Container Registry `arn:aws: ecr:::repository/kubelet-config-updater` pour que les instances du plan de contrôle du cluster puissent mettre à jour des arguments `kubelet`.	31 août 2022
Introduction de AmazonEKSLocalOutpostClusterPolicy.	AWS a présenté le`AmazonEKSLocalOutpostClusterPolicy`.	24 août 2022
Introduction de AmazonEKSLocalOutpostServiceRolePolicy.	AWS a présenté le`AmazonEKSLocalOutpostServiceRolePolicy`.	23 août 2022
Introduction de AmazonEBSCSIDriverPolicy.	AWS a présenté le`AmazonEBSCSIDriverPolicy`.	4 avril 2022
Ajout d’autorisations à AmazonEKSWorkerNodePolicy.	Ajouté `ec2:DescribeInstanceTypes` pour activer les EKS-optimized AMI Amazon qui peuvent découvrir automatiquement les propriétés au niveau de l'instance.	21 mars 2022
Ajout d’autorisations à AWSServiceRoleForAmazonEKSNodegroup.	Ajout d'autorisations `autoscaling:EnableMetricsCollection` permettant à Amazon EKS d'activer la collecte de métriques.	13 décembre 2021
Ajout d’autorisations à AmazonEKSClusterPolicy.	Ajout de `ec2:DescribeAccountAttributes`, `ec2:DescribeAddresses` et `ec2:DescribeInternetGateways` pour autoriser Amazon EKS à créer un rôle lié à un service pour un Network Load Balancer.	17 juin 2021
Amazon EKS a commencé à assurer le suivi des modifications.	Amazon EKS a commencé à suivre les modifications apportées AWS à ses politiques gérées.	17 juin 2021

Avertissement JavaScript est désactivé ou n'est pas disponible dans votre navigateur.

Pour que vous puissiez utiliser la documentation AWS, Javascript doit être activé. Vous trouverez des instructions sur les pages d'aide de votre navigateur.

Conventions de rédaction

Rôle IAM du connecteur

Résolution des problèmes