Assign IAM ruoli per Kubernetes account di servizio

Crea una IAM politica. Puoi creare la tua politica o copiare una politica AWS gestita che già concede alcune delle autorizzazioni necessarie e personalizzarla in base ai tuoi requisiti specifici. Per ulteriori informazioni, consulta Creazione IAM di politiche nella Guida per l'IAMutente.

Crea un file che includa le autorizzazioni per i AWS servizi che desideri Pods per accedere. Per un elenco di tutte le azioni per tutti i AWS servizi, consulta il Service Authorization Reference.

Puoi eseguire il comando seguente per creare un file policy di esempio che consenta l'accesso in sola lettura a un bucket Amazon S3. Facoltativamente, puoi memorizzare le informazioni di configurazione o uno script di bootstrap in questo bucket e i contenitori nel tuo Pod puoi leggere il file dal bucket e caricarlo nella tua applicazione. Se desideri creare questa policy di esempio, copia i seguenti contenuti sul dispositivo. Replace (Sostituisci) my-pod-secrets-bucket con il nome del tuo bucket ed esegui il comando.

cat >my-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws: s3:::my-pod-secrets-bucket"
        }
    ]
}
EOF

Crea la IAM politica.

aws iam create-policy --policy-name my-policy --policy-document file://my-policy.json

Crea un Kubernetes account di servizio. Copia i seguenti contenuti sul dispositivo. Replace (Sostituisci) my-service-account con il nome desiderato e default con un namespace diverso, se necessario. Se cambi default, lo spazio dei nomi deve già esistere.

cat >my-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: default
EOF
kubectl apply -f my-service-account.yaml

Imposta l'ID AWS dell'account su una variabile di ambiente con il seguente comando.

account_id=$(aws sts get-caller-identity --query "Account" --output text)

Imposta quello del tuo cluster OIDC identity provider su una variabile di ambiente con il seguente comando. Replace (Sostituisci) my-cluster con il nome del tuo cluster.

oidc_provider=$(aws eks describe-cluster --name my-cluster --region $AWS_REGION --query "cluster.identity.oidc.issuer" --output text | sed -e "s/^https:\/\///")

Imposta le variabili per lo spazio dei nomi e il nome dell'account del servizio. Replace (Sostituisci) my-service-account con il Kubernetes account di servizio a cui desideri assegnare il ruolo. Replace (Sostituisci) default con lo spazio dei nomi dell'account di servizio.

export namespace=default
export service_account=my-service-account

Esegui il comando seguente per creare un file di criteri di fiducia per il IAM ruolo. Se desideri consentire a tutti gli account di servizio all'interno di uno spazio dei nomi di utilizzare il ruolo, copia i seguenti contenuti sul tuo dispositivo. Replace (Sostituisci) StringEquals con StringLike e sostituisci $service_account con\*. È possibile aggiungere più voci nelle condizioni StringEquals e StringLike riportate di seguito per utilizzare più account di servizio o spazi dei nomi con il ruolo. Per consentire ai ruoli di un AWS account diverso da quello in cui si trova il cluster di assumere il ruolo, consulta Effettua l'autenticazione su un altro account con IRSA per ulteriori informazioni.

cat >trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws: iam::$account_id:oidc-provider/$oidc_provider"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "$oidc_provider:aud": "sts.amazonaws.com",
          "$oidc_provider:sub": "system:serviceaccount:$namespace:$service_account"
        }
      }
    }
  ]
}
EOF

Crea il ruolo. Replace (Sostituisci) my-role con un nome per il tuo IAM ruolo e my-role-description con una descrizione del ruolo.

aws iam create-role --role-name my-role --assume-role-policy-document file://trust-relationship.json --description "my-role-description"

Allega una IAM politica al tuo ruolo. Replace (Sostituisci) my-role con il nome del tuo IAM ruolo e my-policy con il nome di una politica esistente che hai creato.

aws iam attach-role-policy --role-name my-role --policy-arn=arn:aws: iam::$account_id:policy/my-policy

Annota il tuo account di servizio con l'Amazon Resource Name (ARN) del IAM ruolo che vuoi che l'account di servizio assuma. Replace (Sostituisci) my-role con il nome del tuo IAM ruolo esistente. Supponiamo di aver consentito a un ruolo di un AWS account diverso da quello in cui si trova il cluster di assumere il ruolo in un passaggio precedente. Quindi, assicurati di specificare l' AWS account e il ruolo dell'altro account. Per ulteriori informazioni, consulta Effettua l'autenticazione su un altro account con IRSA.

kubectl annotate serviceaccount -n $namespace $service_account eks.amazonaws.com/role-arn=arn:aws: iam::$account_id:role/my-role

(Facoltativo) Configurare l'endpoint del servizio AWS Security Token per un account di servizio Configura l'endpoint del servizio AWS Security Token per un account di servizio. AWS consiglia di utilizzare un AWS STS endpoint regionale anziché un endpoint globale. Ciò riduce la latenza, fornisce una ridondanza integrata e aumenta la validità del token di sessione.

Conferma che la politica di fiducia del IAM ruolo sia configurata correttamente.

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

Di seguito viene riportato un output di esempio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:default:my-service-account",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

Conferma che la policy che hai associato al tuo ruolo in un passaggio precedente sia associata al ruolo.

aws iam list-attached-role-policies --role-name my-role --query AttachedPolicies[].PolicyArn --output text

Di seguito viene riportato un output di esempio:

 arn:aws: iam::111122223333:policy/my-policy

Imposta una variabile per memorizzare l'Amazon Resource Name (ARN) della policy che desideri utilizzare. Replace (Sostituisci) my-policy con il nome della policy per la quale desideri confermare le autorizzazioni.

export policy_arn=arn:aws: iam::111122223333:policy/my-policy

Visualizza la versione predefinita della policy.

aws iam get-policy --policy-arn $policy_arn

Di seguito viene riportato un output di esempio:

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws: iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

Visualizza il contenuto della policy per assicurarti che la policy includa tutte le autorizzazioni di cui disponi Pod esigenze. Se necessario, sostituire 1 nel comando seguente con la versione restituita nell'output precedente.

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

Di seguito viene riportato un output di esempio:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws: s3:::my-pod-secrets-bucket"
        }
    ]
}

Se hai creato la policy di esempio in un passaggio precedente, il risultato è lo stesso. Se hai creato una politica diversa, allora example il contenuto è diverso.

Conferma che Kubernetes l'account di servizio è annotato con il ruolo.

kubectl describe serviceaccount my-service-account -n default

Di seguito viene riportato un output di esempio:

Name:                my-service-account
Namespace:           default
Annotations:         eks.amazonaws.com/role-arn: arn:aws: iam::111122223333:role/my-role
Image pull secrets:  <none>
Mountable secrets:   my-service-account-token-qqjfl
Tokens:              my-service-account-token-qqjfl
[...]