Configurare l' AWS Security Token Service endpoint per un account di servizio

Per configurare il tipo di endpoint utilizzato da un Kubernetes account di servizio

I seguenti esempi utilizzano tutti il aws-node Kubernetes account di servizio utilizzato dal VPCCNIplug-in Amazon. Puoi sostituirlo example values con i tuoi account di servizio, Pods, namespace e altre risorse.

1. Seleziona un Pod che utilizza un account di servizio per il quale desideri modificare l'endpoint. Determina Regione AWS quale Pod corre dentro. Sostituisci aws-node-6mfgv con il tuo Pod nome e kube-system con il tuo Podnamespace.

   kubectl describe pod aws-node-6mfgv -n kube-system |grep Node:
   

   Di seguito viene riportato un output di esempio:

   ip-192-168-79-166.us-west-2/192.168.79.166

   Nell'output precedente, Pod Regione AWS

2. Determina il tipo di endpoint che Pod's l'account di servizio sta utilizzando.

   kubectl describe pod aws-node-6mfgv -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS
   

   Di seguito viene riportato un output di esempio:

   AWS_STS_REGIONAL_ENDPOINTS: regional

   Se l'endpoint attuale è globale, l'output restituisce global. Se non viene restituito alcun output, il tipo di endpoint predefinito è in uso e non è stato sovrascritto.

3. Se le versioni del cluster e della piattaforma corrispondono o sono successive a quelle elencate nella tabella, puoi modificare il tipo di endpoint utilizzato dall'account del servizio dal tipo predefinito con un tipo diverso tramite uno dei comandi seguenti. Sostituisci aws-node con il nome dell'account del servizio e kube-system con lo spazio dei nomi dell'account del servizio.

   • Se il tipo di endpoint predefinito o attuale è globale e vuoi modificarlo in regionale:

     kubectl annotate serviceaccount -n kube-system aws-node eks.amazonaws.com/sts-regional-endpoints=true
     

     Se si utilizza Ruoli IAM per gli account di servizio per generare S3 prefirmato nell'applicazione URLs in esecuzione in Pods'containers, il formato dei quattro endpoint regionali è simile al seguente URL esempio:

     https://bucket.s3.us-west-2.amazonaws.com/path?...&X-Amz-Credential=your-access-key-id/date/us-west-2/s3/aws4_request&...

   • Se il tipo di endpoint predefinito o attuale è regionale e vuoi modificarlo in globale:

     kubectl annotate serviceaccount -n kube-system aws-node eks.amazonaws.com/sts-regional-endpoints=false
     

     Se la tua applicazione effettua richieste esplicitamente agli endpoint AWS STS globali e non sovrascrivi il comportamento predefinito di utilizzo degli endpoint regionali nei cluster EKS Amazon, le richieste falliranno e genereranno un errore. Per ulteriori informazioni, consulta I container dei pod riceveranno il seguente errore: An error occurred (SignatureDoesNotMatch) when calling the GetCallerIdentity operation: Credential should be scoped to a valid region.

     Se utilizzi Ruoli IAM per gli account di servizio per generare S3 prefirmato nella tua applicazione in esecuzione in URLs Pods'containers, il formato dei quattro endpoint globali è simile al seguente URL esempio:

     https://bucket.s3.amazonaws.com/path?...&X-Amz-Credential=your-access-key-id/date/us-west-2/s3/aws4_request&...

   Se disponi di un'automazione che prevede il prefirmato URL in un determinato formato o se l'applicazione o le dipendenze a valle che utilizzano il prefirmato URLs hanno aspettative per l' Regione AWS obiettivo, apporta le modifiche necessarie per utilizzare l'endpoint appropriato. AWS STS

4. Elimina e ricrea qualsiasi elemento esistente Pods che sono associati all'account di servizio per applicare le variabili di ambiente delle credenziali. Il web hook mutante non li applica a Pods che sono già in esecuzione. È possibile sostituire Podskube-system, e -l k8s-app=aws-node con le informazioni per Pods per cui hai impostato l'annotazione.

   kubectl delete Pods -n kube-system -l k8s-app=aws-node
   

5. Conferma che il tutto Pods riavviato.

   kubectl get Pods -n kube-system -l k8s-app=aws-node
   

6. Visualizza le variabili di ambiente per una delle Pods. Verifica che il AWS_STS_REGIONAL_ENDPOINTS valore sia quello impostato nel passaggio precedente.

   kubectl describe pod aws-node-kzbtr -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS
   

   Di seguito viene riportato un output di esempio:

   AWS_STS_REGIONAL_ENDPOINTS=regional