Visualizza le risorse Kubernetes nel AWS Management Console

Aprire la Console Amazon EKS.

Nell'elenco Cluster, seleziona il cluster contenente le risorse Kubernetes da visualizzare.

Selezionare la scheda Risorse.

Seleziona un gruppo Resource type (Tipi di risorse) per il quale desideri visualizzare le risorse, ad esempio Workloads (Carichi di lavoro). Viene visualizzato un elenco dei tipi di risorse in tale gruppo.

Seleziona un tipo di risorsa, ad esempio Deployments (Implementazioni), nel gruppo Workloads (Carichi di lavoro). Viene visualizzata una descrizione del tipo di risorsa, un collegamento alla documentazione Kubernetes per ulteriori informazioni sul tipo di risorsa e un elenco di risorse simili implementate nel cluster. Se l'elenco è vuoto, nel cluster non sono presenti risorse appartenenti a quel tipo specifico.

Per visualizzare ulteriori informazioni su una risorsa, selezionarla. Prova gli esempi seguenti:

Assicurati che le autorizzazioni IAM necessarie per visualizzare le risorse Kuberneteseks:AccessKubernetesApi, e le altre autorizzazioni IAM necessarie per visualizzare le risorse Kubernetes, siano assegnate al principale IAM che stai utilizzando. Per ulteriori informazioni su come modificare le autorizzazioni per un principale IAM, consulta Controllo dell'accesso per i principali IAM nella Guida per l'utente di IAM. Per ulteriori informazioni su come modificare le autorizzazioni per un ruolo, consulta Modifica di una policy di autorizzazioni del ruolo (console) nella Guida per l'utente IAM.

La seguente policy di esempio include le autorizzazioni necessarie affinché un principale possa visualizzare le risorse Kubernetes per tutti i cluster del tuo account. Sostituiscilo con 111122223333 l'ID del tuo account. AWS

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:ListFargateProfiles",
                "eks:DescribeNodegroup",
                "eks:ListNodegroups",
                "eks:ListUpdates",
                "eks:AccessKubernetesApi",
                "eks:ListAddons",
                "eks:DescribeCluster",
                "eks:DescribeAddonVersions",
                "eks:ListClusters",
                "eks:ListIdentityProviderConfigs",
                "iam:ListRoles"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:GetParameter",
            "Resource": "arn:aws: ssm:*:111122223333:parameter/*"
        }
    ]
}

Per visualizzare i nodi in cluster connessi, il ruolo IAM del connettore Amazon EKS dovrebbe essere in grado di rappresentare il principale nel cluster. Ciò consente ad Amazon EKS Connector di mappare il principale a un utente Kubernetes.

Crea un rolebinding o clusterrolebinding Kubernetes associato a un role o clusterrole Kubernetes con le autorizzazioni necessarie per visualizzare le risorse. Per ulteriori informazioni sui ruoli e sulle relative associazioni, consulta Uso dell'autorizzazione RBAC nella documentazione Kubernetes. Puoi applicare al cluster uno dei manifesti seguenti, che consentono di creare un role e rolebinding o un clusterrole e clusterrolebinding con le autorizzazioni Kubernetes necessarie:

Mappa il principale IAM all'utente o al gruppo Kubernetes in. aws-auth ConfigMap Per aggiornare ConfigMap puoi usare uno strumento adeguato, ad esempio eksctl, oppure puoi eseguire l'aggiornamento in modo manuale tramite modifica.

È necessaria la versione 0.204.0 o una versione successiva dello strumento da riga di eksctl comando installato sul dispositivo o. AWS CloudShell Per l'installazione o l'aggiornamento di eksctl, consulta la sezione Installation nella documentazione di eksctl.

Visualizza le mappature correnti in ConfigMap. Sostituisci my-cluster con il nome del cluster. Sostituiscilo region-code con la AWS regione in cui si trova il cluster.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Di seguito viene riportato un output di esempio:

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

Aggiungi una mappatura per un ruolo. Per questo esempio si presuppone che le autorizzazioni IAM siano state collegate nel primo passaggio a un ruolo denominato my-console-viewer-role. Sostituisci 111122223333 con l'ID del tuo account.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:role/my-console-viewer-role \
    --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

Di seguito viene riportato un output di esempio.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "arn:aws: iam::111122223333:role/my-console-viewer-role" to auth ConfigMap

Aggiungi una mappatura per un utente. Le best practice IAM consigliano di concedere le autorizzazioni ai ruoli anziché agli utenti. Per questo esempio si presuppone che le autorizzazioni IAM siano state collegate a un utente denominato my-user nel primo passaggio. Sostituisci 111122223333 con l'ID del tuo account.

eksctl create iamidentitymapping \
    --cluster my-cluster \
    --region=region-code \
    --arn arn:aws: iam::111122223333:user/my-user \
    --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

Di seguito viene riportato un output di esempio:

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws: iam::111122223333:user/my-user" to auth ConfigMap

Visualizza nuovamente le mappature nella ConfigMap.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

Di seguito viene riportato un output di esempio:

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws: iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws: iam::111122223333:role/my-console-viewer-role                                                                                   eks-console-dashboard-full-access-group
arn:aws: iam::111122223333:user/my-user                                                                                                  eks-console-dashboard-restricted-access-group

Apri aws-auth ConfigMap per la modifica.

kubectl edit -n kube-system configmap/aws-auth

Aggiungi le mappature a aws-authConfigMap, ma non sostituisci nessuna delle mappature esistenti. L'esempio seguente aggiunge mappature tra i principali IAM con autorizzazioni aggiunte nel primo passaggio e i gruppi Kubernetes creati nel passaggio precedente:

Salva il file ed esci dall'editor di testo.