Grant IAM accesso degli utenti a Kubernetes con un ConfigMap

Determina quali credenziali kubectl vengono utilizzate per accedere al cluster. Sul computer, è possibile vedere quali credenziali kubectl utilizza con il seguente comando. ~/.kube/configSostituiscilo con il percorso del kubeconfig file se non utilizzi il percorso predefinito.

cat ~/.kube/config

Di seguito viene riportato un output di esempio:

[...]
contexts:
- context:
    cluster: my-cluster.region-code.eksctl.io
    user: admin@my-cluster.region-code.eksctl.io
  name: admin@my-cluster.region-code.eksctl.io
current-context: admin@my-cluster.region-code.eksctl.io
[...]

Nell'output dell'esempio precedente, le credenziali per un utente denominato admin sono configurate per un cluster denominato my-cluster. Se si tratta dell'utente che ha creato il cluster, ha già accesso al cluster. Se non è l'utente che ha creato il cluster, devi completare i passaggi rimanenti per abilitare l'accesso al cluster per altri principali IAM. Le best practice IAM consigliano di concedere le autorizzazioni ai ruoli anziché agli utenti. Per visualizzare gli altri principali che hanno attualmente accesso al cluster, esegui il comando seguente:

kubectl describe -n kube-system configmap/aws-auth

Di seguito viene riportato un output di esempio.

Name:         aws-auth
Namespace:    kube-system
Labels:       <none>
Annotations:  <none>

Data
====
mapRoles:
----
- groups:
  - system:bootstrappers
  - system:nodes
  rolearn: arn:aws: iam::111122223333:role/my-node-role
  username: system:node:{{EC2PrivateDNSName}}


BinaryData
====

Events:  <none>

L'esempio precedente è una aws-auth ConfigMap predefinita. Solo il ruolo dell'istanza del nodo ha accesso al cluster.

Assicurati di essere esistente Kubernetes rolesrolebindingse/o clusterroles e su clusterrolebindings cui puoi mappare i principi IAM. Per ulteriori informazioni su queste risorse, vedere Utilizzo dell'autorizzazione RBAC nel Kubernetes documentazione.

Modificare aws-auth ConfigMap. Per aggiornare ConfigMap puoi usare uno strumento adeguato, ad esempio eksctl, oppure puoi eseguire l'aggiornamento in modo manuale tramite modifica.

È necessaria la versione 0.199.0 o una versione successiva dello strumento da riga di eksctl comando installato sul dispositivo o. AWS CloudShell Per l'installazione o l'aggiornamento di eksctl, consulta la sezione Installation nella documentazione di eksctl.

Visualizza le mappature correnti in ConfigMap. Sostituisci my-cluster con il nome del cluster. Sostituiscilo region-code con la AWS regione in cui si trova il cluster.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Di seguito viene riportato un output di esempio:

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

Aggiungi una mappatura per un ruolo. Sostituisci my-role con il nome del tuo ruolo. Sostituisci eks-console-dashboard-full-access-group con il nome del gruppo specificato nel tuo Kubernetes RoleBindingo ClusterRoleBinding oggetto. Sostituisci 111122223333 con l'ID del tuo account. Puoi sostituire admin con un nome a tua scelta.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws: iam::111122223333:role/my-role --username admin --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

Di seguito viene riportato un output di esempio.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "{arn-aws}iam::111122223333:role/my-role" to auth ConfigMap

Aggiungi una mappatura per un utente. Le best practice IAM consigliano di concedere le autorizzazioni ai ruoli anziché agli utenti. Sostituisci my-user con il tuo nome utente. Sostituiscilo eks-console-dashboard-restricted-access-group con il nome del gruppo specificato nel tuo Kubernetes RoleBindingo ClusterRoleBinding oggetto. Sostituisci 111122223333 con l'ID del tuo account. Puoi sostituire my-user con un nome a tua scelta.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws: iam::111122223333:user/my-user --username my-user --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

Di seguito viene riportato un output di esempio:

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws: iam::111122223333:user/my-user" to auth ConfigMap

Visualizza nuovamente le mappature nella ConfigMap.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Di seguito viene riportato un output di esempio:

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws: iam::111122223333:role/admin                                                            my-role                                 eks-console-dashboard-full-access-group
arn:aws: iam::111122223333:user/my-user                                                          my-user                                 eks-console-dashboard-restricted-access-group

Apri ConfigMap per la modifica.

kubectl edit -n kube-system configmap/aws-auth

Aggiungi i tuoi principali IAM alla ConfigMap. Un gruppo IAM non è un principale IAM, quindi non può essere aggiunto a. ConfigMap

Ad esempio, il blocco YAML seguente contiene:

Salva il file ed esci dall'editor di testo.

Verifica se hai già applicato il aws-authConfigMap.

kubectl describe configmap -n kube-system aws-auth

Se ricevi un errore che indica "Error from server (NotFound): configmaps "aws-auth" not found«, procedi con i seguenti passaggi per applicare lo stockConfigMap.

Scarica, modifica e applica la mappa di configurazione dell' AWS autenticatore.

Guarda lo stato dei nodi e attendi che raggiungano lo stato Ready.

kubectl get nodes --watch

Inserisci Ctrl+C per tornare a un prompt della shell.