Consultez les ressources Kubernetes dans AWS Management Console

Ouvrez la console Amazon EKS.

Dans la liste Clusters, sélectionnez le cluster qui contient les ressources Kubernetes que vous souhaitez afficher.

Sélectionnez l'onglet Resources (Ressources).

Sélectionnez un groupe Resource type (Type de ressource) pour lequel vous souhaitez afficher les ressources, comme Workloads (Charges de travail). Vous voyez une liste des types de ressources dans ce groupe.

Sélectionnez un type de ressource, tel que Deployments (Déploiements), dans le groupe Workloads (Charges de travail). Vous voyez une description du type de ressource, un lien vers la documentation Kubernetes pour plus d'informations sur le type de ressource et une liste des ressources de ce type qui sont déployées sur votre cluster. Si la liste est vide, aucune ressource de ce type n'est déployée sur votre cluster.

Sélectionnez une ressource pour afficher plus d'informations à son sujet. Essayez les exemples suivants :

Assurez-vous que les autorisations IAMeks:AccessKubernetesApi, ainsi que les autres autorisations IAM nécessaires pour consulter les ressources Kubernetes, sont attribuées au principal IAM que vous utilisez. Pour plus d'informations sur la modification des autorisations d'un principal IAM, consultez la rubrique Contrôle de l'accès des principaux du Guide de l'utilisateur IAM. Pour plus d'informations sur la modification des autorisations pour un rôle, consultez Modification d'une politique d'autorisations de rôle (console) dans le guide de l'utilisateur IAM.

L'exemple de politique suivant inclut les autorisations nécessaires pour qu'un principal puisse consulter les ressources Kubernetes pour tous les clusters de votre compte. Remplacez 111122223333 par votre identifiant de AWS compte.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:ListFargateProfiles",
                "eks:DescribeNodegroup",
                "eks:ListNodegroups",
                "eks:ListUpdates",
                "eks:AccessKubernetesApi",
                "eks:ListAddons",
                "eks:DescribeCluster",
                "eks:DescribeAddonVersions",
                "eks:ListClusters",
                "eks:ListIdentityProviderConfigs",
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetParameter",
            "Resource": "arn:aws: ssm:*:111122223333:parameter/*"
        }
    ]
}

Pour afficher les nœuds des clusters connectés, le rôle IAM du connecteur Amazon EKS doit être en mesure d'emprunter l'identité du principal dans le cluster. Cela permet au connecteur Amazon EKS de mapper le principal à un utilisateur Kubernetes.

Créez une rolebinding ou une clusterrolebinding Kubernetes qui est liée à un role ou un clusterrole Kubernetes ou qui dispose des autorisations nécessaires pour afficher les ressources Kubernetes. Pour en savoir plus sur les rôles et les liaisons de rôles Kubernetes, consultez Utilisation de l'autorisation RBAC dans la documentation Kubernetes. Vous pouvez appliquer l'un des manifestes suivants à votre cluster qui crée un role et une rolebinding ou un clusterrole et une clusterrolebinding avec les autorisations Kubernetes nécessaires :

Mappez le principal IAM à l'utilisateur ou au groupe Kubernetes dans le. aws-auth ConfigMap Vous pouvez utiliser un outil tel que eksctl pour mettre à jour le ConfigMap ou vous pouvez le mettre à jour manuellement en le modifiant.

Vous avez besoin d'0.204.0une version ou d'une version ultérieure de l'outil de ligne de eksctl commande installée sur votre appareil ou AWS CloudShell. Pour installer ou mettre à jour eksctl, veuillez consulter Installation dans la documentation de eksctl.

Affichez les mappages actuels dans le ConfigMap. Remplacez my-cluster par le nom de votre cluster. Remplacez region-code par la AWS région dans laquelle se trouve votre cluster.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

L'exemple qui suit illustre un résultat.

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

Ajoutez un mappage pour un rôle. Cet exemple suppose que vous avez attaché les autorisations IAM lors de la première étape à un rôle nommé my-console-viewer-role. Remplacez 111122223333 par votre ID de compte.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:role/my-console-viewer-role \
    --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

L'exemple qui suit illustre un résultat.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "arn:aws: iam::111122223333:role/my-console-viewer-role" to auth ConfigMap

Ajoutez un mappage pour un utilisateur. Les bonnes pratiques IAM recommandent d'accorder des autorisations à des rôles plutôt qu'à des utilisateurs. Cet exemple suppose que vous avez attaché les autorisations IAM lors de la première étape à un utilisateur nommé my-user. Remplacez 111122223333 par votre ID de compte.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:user/my-user \
    --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

L'exemple qui suit illustre un résultat.

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws: iam::111122223333:user/my-user" to auth ConfigMap

Affichez de nouveau les mappages dans le ConfigMap.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

L'exemple qui suit illustre un résultat.

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws: iam::111122223333:role/my-console-viewer-role                                                                                   eks-console-dashboard-full-access-group
arn:aws: iam::111122223333:user/my-user                                                                                                  eks-console-dashboard-restricted-access-group

Ouvrez le aws-auth ConfigMap pour le modifier.

kubectl edit -n kube-system configmap/aws-auth

Ajoutez les mappages au aws-authConfigMap, mais ne remplacez aucun des mappages existants. L'exemple suivant ajoute des mappages entre les principaux IAM avec des autorisations ajoutées à la première étape et les groupes Kubernetes créés à l'étape précédente :

Enregistrez le fichier et quittez votre éditeur de texte.