Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Vous souhaitez contribuer à ce guide de l'utilisateur ? Faites défiler cette page vers le bas et sélectionnez Modifier cette page sur GitHub. Vos contributions contribueront à améliorer notre guide de l'utilisateur pour tous.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Exemples de politiques EKS basées sur l'identité d'Amazon

Par défaut, IAM les utilisateurs et les rôles ne sont pas autorisés à créer ou à modifier EKS des ressources Amazon. Ils ne peuvent pas non plus effectuer de tâches à l'aide du AWS Management Console AWS CLI, ou AWS API. Un IAM administrateur doit créer des IAM politiques qui accordent aux utilisateurs et aux rôles l'autorisation d'effectuer des API opérations spécifiques sur les ressources spécifiques dont ils ont besoin. L'administrateur doit ensuite associer ces politiques aux IAM utilisateurs ou aux groupes qui ont besoin de ces autorisations.

Pour savoir comment créer une politique IAM basée sur l'identité à l'aide de ces exemples de documents de JSON stratégie, voir Création de politiques dans l'JSONonglet du Guide de l'IAMutilisateur.

Lorsque vous créez un EKS cluster Amazon, le IAMprincipal qui crée le cluster reçoit automatiquement des system:masters autorisations dans la configuration du contrôle d'accès basé sur les rôles (RBAC) du cluster dans le plan de EKS contrôle Amazon. Ce principal n'apparaît dans aucune configuration visible. Assurez-vous donc de savoir quel principal a créé le cluster à l'origine. Pour accorder à IAM d'autres principaux la possibilité d'interagir avec votre cluster, modifiez le aws-auth ConfigMap Kubernetes et créez un Kubernetes rolebindingou clusterrolebinding avec le nom d'un nom group que vous spécifiez dans leaws-auth ConfigMap.

Pour plus d'informations sur l'utilisation du ConfigMap, consultezAccorder IAM aux utilisateurs et aux rôles l'accès à Kubernetes APIs.

Bonnes pratiques en matière de politiques

Les politiques basées sur l'identité déterminent si quelqu'un peut créer, accéder ou supprimer EKS des ressources Amazon dans votre compte. Ces actions peuvent entraîner des frais pour votre AWS compte. Lorsque vous créez ou modifiez des politiques basées sur l’identité, suivez ces instructions et recommandations :

Pour plus d'informations sur les meilleures pratiques en matière de sécuritéIAM, consultez la section Bonnes pratiques en matière de sécurité IAM dans le Guide de IAM l'utilisateur.

Utilisation de la EKS console Amazon

Pour accéder à la EKS console Amazon, un IAMmandant doit disposer d'un minimum d'autorisations. Ces autorisations permettent au principal de répertorier et de consulter les informations relatives aux EKS ressources Amazon de votre AWS compte. Si vous créez une politique basée sur l'identité qui est plus restrictive que les autorisations minimales requises, la console ne fonctionnera pas comme prévu pour les principaux auxquels cette politique est attachée.

Pour vous assurer que vos IAM principaux utilisateurs peuvent toujours utiliser la EKS console Amazon, créez une politique avec votre propre nom unique, par exempleAmazonEKSAdminPolicy. Attachez la politique aux principaux. Pour plus d'informations, consultez la section Ajouter et supprimer des autorisations IAM d'identité dans le guide de IAM l'utilisateur.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "eks.amazonaws.com"
                }
            }
        }
    ]
}

Il n'est pas nécessaire d'accorder des autorisations de console minimales aux principaux qui appellent uniquement le AWS CLI ou le AWS API. Au lieu de cela, autorisez uniquement l'accès aux actions correspondant à l'APIopération que vous essayez d'effectuer.

Permettre IAM aux utilisateurs de consulter leurs propres autorisations

Cet exemple montre comment créer une politique qui permet aux IAM utilisateurs de consulter les politiques intégrées et gérées associées à leur identité d'utilisateur. Cette politique inclut les autorisations permettant d'effectuer cette action sur la console ou par programmation à l'aide du AWS CLI ou. AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws: iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Créez un Kubernetes cluster sur le AWS Cloud

Cet exemple de politique inclut les autorisations minimales requises pour créer un EKS cluster Amazon nommé my-cluster dans le us-west-2 AWS Région. Vous pouvez remplacer la AWS région par la AWS région dans laquelle vous souhaitez créer un cluster. Si vous voyez un avertissement indiquant que les actions de votre politique ne prennent pas en charge les autorisations au niveau des ressources et nécessitent que vous choisissiez All resources de le faire AWS Management Console, il peut être ignoré en toute sécurité. Si votre compte possède déjà le AWSServiceRoleForAmazonEKS rôle, vous pouvez supprimer l'iam:CreateServiceLinkedRoleaction de la politique. Si vous avez déjà créé un EKS cluster Amazon dans votre compte, ce rôle existe déjà, sauf si vous l'avez supprimé.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:CreateCluster",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws: iam::111122223333:role/aws-service-role/eks.amazonaws.com/AWSServiceRoleForAmazonEKS",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "iam:AWSServiceName": "eks"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws: iam::111122223333:role/cluster-role-name"
        }
    ]
}

Créez un local Kubernetes cluster sur un avant-poste

Cet exemple de politique inclut les autorisations minimales requises pour créer un cluster EKS local Amazon nommé my-cluster sur un avant-poste dans le us-west-2 AWS Région. Vous pouvez remplacer la AWS région par la AWS région dans laquelle vous souhaitez créer un cluster. Si vous voyez un avertissement indiquant que les actions de votre politique ne prennent pas en charge les autorisations au niveau des ressources et nécessitent que vous choisissiez All resources de le faire AWS Management Console, il peut être ignoré en toute sécurité. Si votre compte possède déjà le rôle AWSServiceRoleForAmazonEKSLocalOutpost, vous pouvez supprimer l'action iam:CreateServiceLinkedRole de la politique. Si vous avez déjà créé un cluster EKS local Amazon sur un Outpost de votre compte, ce rôle existe déjà, sauf si vous l'avez supprimé.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:CreateCluster",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        },
        {
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "iam:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws: iam::111122223333:role/aws-service-role/outposts.eks-local.amazonaws.com/AWSServiceRoleForAmazonEKSLocalOutpost"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iam:ListAttachedRolePolicies"
            ]
            "Resource": "arn:aws: iam::111122223333:role/cluster-role-name"
        },
        {
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:TagInstanceProfile",
                "iam:AddRoleToInstanceProfile",
                "iam:GetInstanceProfile",
                "iam:DeleteInstanceProfile",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": "arn:aws: iam::*:instance-profile/eks-local-*",
            "Effect": "Allow"
        },
    ]
}

Mettre à jour une   Kubernetes cluster

Cet exemple de politique inclut l'autorisation minimale requise pour mettre à jour un cluster nommé my-cluster dans la région us-west-2. AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:UpdateClusterVersion",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        }
    ]
}

Affichage de la liste ou description de tous les clusters

Cet exemple de politique inclut les autorisations minimales requises pour répertorier et décrire tous les clusters de votre compte. Un IAMprincipal doit être capable de répertorier et de décrire les clusters pour utiliser la update-kubeconfig AWS CLI commande.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:ListClusters"
            ],
            "Resource": "*"
        }
    ]
}