Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Contoh EKS kebijakan berbasis identitas Amazon

Secara default, IAM pengguna dan peran tidak memiliki izin untuk membuat atau memodifikasi EKS sumber daya Amazon. Mereka juga tidak dapat melakukan tugas menggunakan AWS Management Console, AWS CLI, atau AWS API. IAMAdministrator harus membuat IAM kebijakan yang memberikan izin kepada pengguna dan peran untuk melakukan API operasi tertentu pada sumber daya tertentu yang mereka butuhkan. Administrator kemudian harus melampirkan kebijakan tersebut ke IAM pengguna atau grup yang memerlukan izin tersebut.

Untuk mempelajari cara membuat kebijakan IAM berbasis identitas menggunakan contoh dokumen JSON kebijakan ini, lihat Membuat kebijakan pada JSON tab di Panduan Pengguna. IAM

Saat Anda membuat EKS klaster Amazon, IAMprinsipal yang membuat klaster secara otomatis diberikan system:masters izin dalam konfigurasi kontrol akses (RBAC) berbasis peran klaster di bidang kontrol AmazonEKS. Prinsipal ini tidak muncul dalam konfigurasi yang terlihat, jadi pastikan untuk melacak prinsipal mana yang awalnya membuat cluster. Untuk memberikan IAM kepala sekolah tambahan kemampuan untuk berinteraksi dengan klaster Anda, edit bagian dalamnya aws-auth ConfigMap Kubernetes dan membuat Kubernetes rolebindingatau clusterrolebinding dengan nama a group yang Anda tentukan diaws-auth ConfigMap.

Untuk informasi lebih lanjut tentang bekerja dengan ConfigMap, lihatBerikan akses IAM kepada pengguna dan peran ke Kubernetes APIs.

Praktik terbaik kebijakan

Kebijakan berbasis identitas menentukan apakah seseorang dapat membuat, mengakses, atau menghapus EKS sumber daya Amazon di akun Anda. Tindakan ini dapat menimbulkan biaya untuk AWS akun Anda. Ketika Anda membuat atau mengedit kebijakan berbasis identitas, ikuti panduan dan rekomendasi ini:

Untuk informasi selengkapnya tentang praktik terbaik diIAM, lihat Praktik terbaik keamanan IAM di Panduan IAM Pengguna.

Menggunakan EKS konsol Amazon

Untuk mengakses EKS konsol Amazon, IAMprinsipal, harus memiliki set izin minimum. Izin ini memungkinkan prinsipal untuk membuat daftar dan melihat detail tentang EKS sumber daya Amazon di AWS akun Anda. Jika Anda membuat kebijakan berbasis identitas yang lebih ketat daripada izin minimum yang diperlukan, konsol tidak akan berfungsi sebagaimana dimaksudkan untuk prinsipal dengan kebijakan yang dilampirkan padanya.

Untuk memastikan bahwa IAM prinsipal Anda masih dapat menggunakan EKS konsol Amazon, buat kebijakan dengan nama unik Anda sendiri, seperti. AmazonEKSAdminPolicy Lampirkan kebijakan ke kepala sekolah. Untuk informasi selengkapnya, lihat Menambahkan dan menghapus izin IAM identitas di Panduan IAM Pengguna.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "eks.amazonaws.com"
                }
            }
        }
    ]
}

Anda tidak perlu mengizinkan izin konsol minimum untuk prinsipal yang melakukan panggilan hanya ke atau. AWS CLI AWS API Sebagai gantinya, izinkan akses hanya ke tindakan yang cocok dengan API operasi yang Anda coba lakukan.

Memungkinkan IAM pengguna untuk melihat izin mereka sendiri

Contoh ini menunjukkan cara Anda membuat kebijakan yang memungkinkan IAM pengguna melihat kebijakan sebaris dan terkelola yang dilampirkan pada identitas pengguna mereka. Kebijakan ini mencakup izin untuk menyelesaikan tindakan ini di konsol atau secara terprogram menggunakan atau. AWS CLI AWS API

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ViewOwnUserInfo",
            "Effect": "Allow",
            "Action": [
                "iam:GetUserPolicy",
                "iam:ListGroupsForUser",
                "iam:ListAttachedUserPolicies",
                "iam:ListUserPolicies",
                "iam:GetUser"
            ],
            "Resource": ["arn:aws: iam::*:user/${aws:username}"]
        },
        {
            "Sid": "NavigateInConsole",
            "Effect": "Allow",
            "Action": [
                "iam:GetGroupPolicy",
                "iam:GetPolicyVersion",
                "iam:GetPolicy",
                "iam:ListAttachedGroupPolicies",
                "iam:ListGroupPolicies",
                "iam:ListPolicyVersions",
                "iam:ListPolicies",
                "iam:ListUsers"
            ],
            "Resource": "*"
        }
    ]
}

Buat Kubernetes cluster di AWS Cloud

Kebijakan contoh ini mencakup izin minimum yang diperlukan untuk membuat EKS klaster Amazon bernama my-cluster di us-west-2 AWS Wilayah. Anda dapat mengganti AWS Region dengan AWS Region tempat Anda ingin membuat klaster. Jika Anda melihat peringatan yang mengatakan Tindakan dalam kebijakan Anda tidak mendukung izin tingkat sumber daya dan mengharuskan Anda untuk memilih AWS Management Console, tindakan tersebut dapat All resources diabaikan dengan aman. Jika akun Anda sudah memiliki AWSServiceRoleForAmazonEKS peran, Anda dapat menghapus iam:CreateServiceLinkedRole tindakan dari kebijakan. Jika Anda pernah membuat EKS klaster Amazon di akun Anda maka peran ini sudah ada, kecuali Anda menghapusnya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:CreateCluster",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws: iam::111122223333:role/aws-service-role/eks.amazonaws.com/AWSServiceRoleForAmazonEKS",
            "Condition": {
                "ForAnyValue:StringEquals": {
                    "iam:AWSServiceName": "eks"
                }
            }
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws: iam::111122223333:role/cluster-role-name"
        }
    ]
}

Buat lokal Kubernetes cluster di Pos Terdepan

Kebijakan contoh ini mencakup izin minimum yang diperlukan untuk membuat klaster EKS lokal Amazon bernama my-cluster di sebuah pos terdepan di us-west-2 AWS Wilayah. Anda dapat mengganti AWS Region dengan AWS Region tempat Anda ingin membuat klaster. Jika Anda melihat peringatan yang mengatakan Tindakan dalam kebijakan Anda tidak mendukung izin tingkat sumber daya dan mengharuskan Anda untuk memilih AWS Management Console, tindakan tersebut dapat All resources diabaikan dengan aman. Jika akun Anda sudah memiliki AWSServiceRoleForAmazonEKSLocalOutpost peran, Anda dapat menghapus iam:CreateServiceLinkedRole tindakan dari kebijakan. Jika Anda pernah membuat klaster EKS lokal Amazon di Outpost di akun Anda, maka peran ini sudah ada, kecuali Anda menghapusnya.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:CreateCluster",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        },
        {
            "Action": [
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "iam:GetRole"
            ],
            "Resource": "*",
            "Effect": "Allow"
        },
        {
            "Effect": "Allow",
            "Action": "iam:CreateServiceLinkedRole",
            "Resource": "arn:aws: iam::111122223333:role/aws-service-role/outposts.eks-local.amazonaws.com/AWSServiceRoleForAmazonEKSLocalOutpost"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:PassRole",
                "iam:ListAttachedRolePolicies"
            ]
            "Resource": "arn:aws: iam::111122223333:role/cluster-role-name"
        },
        {
            "Action": [
                "iam:CreateInstanceProfile",
                "iam:TagInstanceProfile",
                "iam:AddRoleToInstanceProfile",
                "iam:GetInstanceProfile",
                "iam:DeleteInstanceProfile",
                "iam:RemoveRoleFromInstanceProfile"
            ],
            "Resource": "arn:aws: iam::*:instance-profile/eks-local-*",
            "Effect": "Allow"
        },
    ]
}

Perbarui a Kubernetes cluster

Kebijakan contoh ini mencakup izin minimum yang diperlukan untuk memperbarui klaster bernama my-cluster di Wilayah us-west-2 AWS .

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "eks:UpdateClusterVersion",
            "Resource": "arn:aws: eks:us-west-2:111122223333:cluster/my-cluster"
        }
    ]
}

Buat daftar atau deskripsikan semua klaster

Kebijakan contoh ini mencakup izin minimum yang diperlukan untuk mencantumkan dan menjelaskan semua klaster di akun Anda. Seorang IAMkepala sekolah harus dapat membuat daftar dan mendeskripsikan cluster untuk menggunakan update-kubeconfig AWS CLI perintah.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:ListClusters"
            ],
            "Resource": "*"
        }
    ]
}