Référencement des ensembles d'autorisations dans les politiques de ressources, les cartes de configuration du cluster Amazon EKS et les politiques AWS KMS clés

Dans le aws-auth ConfigMap fichier relatif aux clusters Amazon Elastic Kubernetes Service (Amazon EKS) lorsque vous aws-auth ConfigMap utilisez le pour accéder au cluster.

Dans une politique basée sur les ressources pour une clé AWS Key Management Service (AWS KMS). Cette politique est également appelée politique clé.

Conservez au moins une attribution d'ensemble d'autorisations.

Conservez cette attribution dans les AWS comptes qui contiennent les rôles auxquels vous faites référence dans le aws-auth ConfigMap cas d'Amazon EKS, les politiques clés dans AWS KMS Amazon EKS ou les politiques basées sur les ressources pour les autres. Services AWS

Par exemple, si vous créez un ensemble d'EKSAccessautorisations et que vous référencez l'ARN du rôle correspondant à partir du AWS compte111122223333, attribuez définitivement un groupe administratif au jeu d'autorisations de ce compte. L'attribution étant permanente, IAM Identity Center ne supprimera pas le rôle correspondant, ce qui élimine le risque de changement de nom. Le groupe administratif y aura toujours accès sans risque d'augmentation de privilèges.

Pour les clusters Amazon EKS qui utilisent aws-auth ConfigMap et AWS KMS : incluez un rôle créé dans IAM.

Si vous faites référence à un rôle ARNs pour des ensembles d'autorisations dans un aws-auth ConfigMap cluster Amazon EKS ou dans des politiques AWS KMS clés relatives aux clés, nous vous recommandons d'inclure également au moins un rôle que vous créez dans IAM. Le rôle doit vous permettre d'accéder au cluster Amazon EKS ou de gérer la politique AWS KMS clé. L'ensemble d'autorisations doit être en mesure d'assumer ce rôle. Ainsi, si l'ARN du rôle d'un ensemble d'autorisations change, vous pouvez mettre à jour la référence à l'ARN dans la politique AWS KMS clé aws-auth ConfigMap or. La section suivante fournit un exemple de la manière dont vous pouvez créer une politique de confiance pour un rôle créé dans IAM. Le rôle ne peut être assumé que par un ensemble d'AdministratorAccessautorisations.

L'élément principal de cette politique de confiance spécifie un principal de AWS compte. Dans cette politique, les responsables du AWS compte 111122223333 disposant d'sts:AssumeRoleautorisations peuvent assumer le rôle créé dans IAM.

Cette politique Condition element de confiance définit des exigences supplémentaires pour les principaux qui peuvent assumer le rôle créé dans IAM. Dans cette politique, l'ensemble d'autorisations avec le rôle ARN suivant peut assumer le rôle.

arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"
        }
      }
    }
  ]
}

L'inclusion d'un rôle que vous créez dans IAM dans une telle politique vous fournira un accès d'urgence à vos clusters Amazon EKS ou à d'autres AWS ressources si un ensemble d'autorisations ou toutes les attributions à l'ensemble d'autorisations sont accidentellement supprimés et recréés. AWS KMS keys