Associare le politiche di accesso alle voci di accesso

Aprire la Console Amazon EKS.

Scegli il nome del cluster con una voce di accesso da associare a una policy di accesso.

Scegli la scheda Accesso.

Se il tipo di voce di accesso è Standard, puoi associare o dissociare le policy di accesso di Amazon EKS. Se il tipo di immissione di accesso è diverso da Standard, questa opzione non è disponibile.

Scegli Associa policy di accesso.

Per Nome della policy, seleziona la policy con le autorizzazioni che desideri assegnare al principale IAM. Per visualizzare i permessi inclusi in ciascuna policy, consulta Rivedi le autorizzazioni dei criteri di accesso.

Per Ambito di accesso, scegli un ambito di accesso. Se scegli Cluster, le autorizzazioni nella politica di accesso vengono concesse al responsabile IAM per le risorse in tutti i namespace Kubernetes. Se scegli lo spazio dei nomi Kubernetes, puoi scegliere Aggiungi nuovo spazio dei nomi. Nel campo Namespace che appare, puoi inserire il nome di uno spazio dei nomi Kubernetes sul tuo cluster. Se desideri che il principale IAM disponga delle autorizzazioni su più spazi dei nomi, puoi inserirne più di uno.

Scegli Aggiungi policy di accesso.

Versione 2.12.3 o successiva o versione 1.27.160 o successiva dell'interfaccia a riga di AWS comando (AWS CLI) installata e configurata sul dispositivo o. AWS CloudShell Per verificare la versione attuale, usa aws --version | cut -d / -f2 | cut -d ' ' -f1. I gestori di pacchetti come yum Homebrew per macOS sono spesso diverse versioni dell'ultima versione della CLI AWS . apt-get Per installare la versione più recente, consulta Installazione e configurazione rapida con aws configure nella Guida per l'utente dell'interfaccia a riga di AWS comando. La versione AWS CLI installata in AWS CloudShell potrebbe anche contenere diverse versioni precedenti alla versione più recente. Per aggiornarlo, consulta Installazione della AWS CLI nella tua home directory nella Guida per l' AWS CloudShell utente.

Visualizza le policy di accesso disponibili.

aws eks list-access-policies --output table

Di seguito viene riportato un output di esempio:

---------------------------------------------------------------------------------------------------------
|                                          ListAccessPolicies                                           |
+-------------------------------------------------------------------------------------------------------+
||                                           accessPolicies                                            ||
|+---------------------------------------------------------------------+-------------------------------+|
||                                 arn                                 |             name              ||
|+---------------------------------------------------------------------+-------------------------------+|
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSAdminPolicy        |  AmazonEKSAdminPolicy         ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSClusterAdminPolicy |  AmazonEKSClusterAdminPolicy  ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSEditPolicy         |  AmazonEKSEditPolicy          ||
||  {arn-aws}eks::aws:cluster-access-policy/AmazonEKSViewPolicy         |  AmazonEKSViewPolicy          ||
|+---------------------------------------------------------------------+-------------------------------+|

Per visualizzare i permessi inclusi in ciascuna policy, consulta Rivedi le autorizzazioni dei criteri di accesso.

Visualizza le tue voci di accesso esistenti. Sostituisci my-cluster con il nome del cluster.

aws eks list-access-entries --cluster-name my-cluster

Di seguito viene riportato un output di esempio:

{
    "accessEntries": [
        "arn:aws: iam::111122223333:role/my-role",
        "arn:aws: iam::111122223333:user/my-user"
    ]
}

Associa una policy di accesso a una voce di accesso. L'esempio seguente associa la policy di accesso AmazonEKSViewPolicy a una voce di accesso. Ogni volta che il ruolo my-role IAM tenta di accedere agli oggetti Kubernetes sul cluster, Amazon EKS autorizzerà il ruolo a utilizzare le autorizzazioni contenute nella policy per accedere agli oggetti Kubernetes solo nei namespace e Kubernetes. my-namespace1 my-namespace2 Sostituiscilo my-cluster con il nome del cluster, 111122223333 con l'ID AWS dell'account e my-role con il nome del ruolo IAM per cui desideri che Amazon EKS autorizzi l'accesso agli oggetti del cluster Kubernetes.

aws eks associate-access-policy --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role \
    --access-scope type=namespace,namespaces=my-namespace1,my-namespace2 --policy-arn arn:aws: eks::aws:cluster-access-policy/AmazonEKSViewPolicy

Se desideri che il principale IAM disponga delle autorizzazioni a livello di cluster, sostituisci type=namespace,namespaces=my-namespace1,my-namespace2 con type=cluster. Se desideri associare più policy di accesso alla voce di accesso, esegui il comando più volte, ogni volta con una policy di accesso unica. Ogni policy di accesso associata ha il proprio ambito.

Determina quali policy di accesso sono associate a una voce di accesso.

aws eks list-associated-access-policies --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role

Di seguito viene riportato un output di esempio:

{
    "clusterName": "my-cluster",
    "principalArn": "arn:aws: iam::111122223333",
    "associatedAccessPolicies": [
        {
            "policyArn": "arn:aws: eks::aws:cluster-access-policy/AmazonEKSViewPolicy",
            "accessScope": {
                "type": "cluster",
                "namespaces": []
            },
            "associatedAt": "2023-04-17T15:25:21.675000-04:00",
            "modifiedAt": "2023-04-17T15:25:21.675000-04:00"
        },
        {
            "policyArn": "arn:aws: eks::aws:cluster-access-policy/AmazonEKSAdminPolicy",
            "accessScope": {
                "type": "namespace",
                "namespaces": [
                    "my-namespace1",
                    "my-namespace2"
                ]
            },
            "associatedAt": "2023-04-17T15:02:06.511000-04:00",
            "modifiedAt": "2023-04-17T15:02:06.511000-04:00"
        }
    ]
}

Nell'esempio precedente, il principale IAM per questa voce di accesso dispone delle autorizzazioni di visualizzazione su tutti i namespace del cluster e delle autorizzazioni di amministratore per due namespace Kubernetes.

Dissociazione di una policy di accesso da una voce di accesso. In questo esempio, la policy AmazonEKSAdminPolicy è dissociata da una voce di accesso. Tuttavia, il principale IAM mantiene le autorizzazioni nella politica di accesso per gli oggetti nei my-namespace2 namespace and, poiché tale politica di AmazonEKSViewPolicy accesso non è dissociata dalla my-namespace1 voce di accesso.

aws eks disassociate-access-policy --cluster-name my-cluster --principal-arn arn:aws: iam::111122223333:role/my-role \
    --policy-arn arn:aws: eks::aws:cluster-access-policy/AmazonEKSAdminPolicy