View a markdown version of this page

Utiliser les identités du pod pour attribuer un rôle IAM à un module complémentaire Amazon EKS - Amazon EKS

Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page sur qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Utiliser les identités du pod pour attribuer un rôle IAM à un module complémentaire Amazon EKS

Certains modules complémentaires Amazon EKS nécessitent des rôles et des autorisations IAM. Avant de mettre à jour un module complémentaire Amazon EKS pour utiliser une association Pod Identity, vérifiez le rôle et la politique à utiliser. Pour de plus amples informations, veuillez consulter Récupérer les informations IAM sur un module complémentaire Amazon EKS.

  1. Déterminez :

    • cluster-name : le nom du cluster sur lequel installer le module complémentaire.

    • addon-name : le nom du module complémentaire à installer.

    • service-account-name : le nom du compte de service Kubernetes utilisé par le module complémentaire.

    • iam-role-arn : l’ARN d’un rôle IAM disposant des autorisations suffisantes pour le module complémentaire. Le rôle doit disposer de la politique d’approbation requise pour l’identité du pod EKS. Pour de plus amples informations, veuillez consulter Création d'une association Pod Identity (AWS console).

  2. Mettez à jour le module complémentaire à l'aide de la AWS CLI. Vous pouvez également spécifier des associations d’identité du pod lors de la création d’un module complémentaire, en utilisant la même syntaxe --pod-identity-assocations. Notez que lorsque vous spécifiez des associations d’identité du pod lors de la mise à jour d’un module complémentaire, toutes les associations d’identité du pod précédentes sont écrasées.

    aws eks update-addon --cluster-name <cluster-name> \
--addon-name <addon-name> \
--pod-identity-associations 'serviceAccount=<service-account-name>,roleArn=<role-arn>'

    Par exemple :

    aws eks update-addon --cluster-name mycluster \
--addon-name aws-ebs-csi-driver \
--pod-identity-associations 'serviceAccount=ebs-csi-controller-sa,roleArn=arn:aws: iam::123456789012:role/StorageDriver'

  3. Vérifiez que l’association d’identité du pod a été créée :

    aws eks list-pod-identity-associations --cluster-name <cluster-name>

    Si la commande aboutit, vous devriez obtenir une sortie similaire à ce qui suit. Notez le OwnerARN du module complémentaire EKS.

    {
    "associations": [
        {
            "clusterName": "mycluster",
            "namespace": "kube-system",
            "serviceAccount": "ebs-csi-controller-sa",
            "associationArn": "arn:aws: eks:us-west-2:123456789012:podidentityassociation/mycluster/a-4wvljrezsukshq1bv",
            "associationId": "a-4wvljrezsukshq1bv",
            "ownerArn": "arn:aws: eks:us-west-2:123456789012:addon/mycluster/aws-ebs-csi-driver/9cc7ce8c-2e15-b0a7-f311-426691cd8546"
        }
    ]
}