ConfigMap を使用して Kubernetes へのアクセスを IAM ユーザーに許可する

クラスターへのアクセスに kubectl が使用している認証情報を判別します。使用中のコンピュータ上で、次のコマンドを使用して、kubectl が使用する認証情報を判別できます。デフォルトのパスを使用しない場合は、~/.kube/config を kubeconfig ファイルへのパスに置き換えます。

cat ~/.kube/config

出力例は次のとおりです。

[...]
contexts:
- context:
    cluster: my-cluster.region-code.eksctl.io
    user: admin@my-cluster.region-code.eksctl.io
  name: admin@my-cluster.region-code.eksctl.io
current-context: admin@my-cluster.region-code.eksctl.io
[...]

前述の出力例では、admin という名前のユーザーの認証情報が my-cluster という名前のクラスター用に設定されています。このユーザーがクラスターを作成したユーザーである場合は、すでにそのクラスターにアクセスできます。クラスターを作成したユーザーでない場合は、以降の手順を実行して、他の IAM プリンシパルのクラスターへのアクセスを有効にする必要があります。IAM のベストプラクティスでは、ユーザーではなくロールに許可を付与することが推奨されています。次のコマンドを使用すると、現在クラスターへのアクセスが可能な、他のプリンシパルを確認できます。

kubectl describe -n kube-system configmap/aws-auth

出力例は次のとおりです。

Name:         aws-auth
Namespace:    kube-system
Labels:       <none>
Annotations:  <none>

Data
====
mapRoles:
----
- groups:
  - system:bootstrappers
  - system:nodes
  rolearn: arn:aws:iam::111122223333:role/my-node-role
  username: system:node:{{EC2PrivateDNSName}}


BinaryData
====

Events:  <none>

前の例は、デフォルトの aws-auth ConfigMap です。ノードインスタンスのロールだけがクラスターにアクセスできます。

IAM プリンシパルをマッピングできる既存の Kubernetes roles と rolebindings または clusterroles と clusterrolebindings があることを確認してください。これらのリソースの詳細については、Kubernetes ドキュメント の「RBAC 認可の使用」を参照してください。

aws-auth ConfigMap を編集します。eksctl のようなツールにより ConfigMap を更新することができます。あるいは、手動で編集しての更新も可能です。

デバイスまたは AWS CloudShell にインストールされている eksctl コマンドラインツールのバージョン 0.199.0 以降が必要です。eksctl をインストールまたはアップグレードするには、eksctl ドキュメントの「インストール」を参照してください。

ConfigMap に現在のマッピングを表示します。my-cluster の部分は、自分のクラスター名に置き換えます。region-code を、クラスターのある AWS リージョンに置き換えます。

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

出力例は次のとおりです。

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

ロールのマッピングを追加します。my-role を実際のロールの名前に置き換えます。eks-console-dashboard-full-access-group を、Kubernetes RoleBinding または ClusterRoleBinding で指定されたグループの名前に置き換えます。111122223333 は、ご自分のアカウント ID に置き換えます。管理者を任意の名前に置き換えることができます。

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:role/my-role --username admin --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

出力例は次のとおりです。

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "{arn-aws}iam::111122223333:role/my-role" to auth ConfigMap

ユーザーのマッピングを追加します。IAM のベストプラクティスでは、ユーザーではなくロールに許可を付与することが推奨されています。my-user を、ご自身のユーザー名に置き換えます。eks-console-dashboard-restricted-access-group を、Kubernetes RoleBinding または ClusterRoleBinding オブジェクトで指定されたグループの名前に置き換えます。111122223333 は、ご自分のアカウント ID に置き換えます。my-user を任意の名前に置き換えることができます。

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:user/my-user --username my-user --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

出力例は次のとおりです。

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws:iam::111122223333:user/my-user" to auth ConfigMap

ConfigMap のマッピングを再度表示します。

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

出力例は次のとおりです。

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws:iam::111122223333:role/admin                                                            my-role                                 eks-console-dashboard-full-access-group
arn:aws:iam::111122223333:user/my-user                                                          my-user                                 eks-console-dashboard-restricted-access-group

編集する ConfigMap を開きます。

kubectl edit -n kube-system configmap/aws-auth

IAM プリンシパルを ConfigMap に追加します。IAM グループは IAM プリンシパルではないため、ConfigMap に追加できません。

例えば、次の YAML ブロックには次が含まれます。

ファイルを保存し、テキストエディタを終了します。

aws-auth ConfigMap が適用済みであるかどうかを確認します。

kubectl describe configmap -n kube-system aws-auth

「Error from server (NotFound): configmaps "aws-auth" not found」というエラーが表示された場合は、以下のステップを実行してストック ConfigMap を適用します。

AWS オーセンティケーター設定マップをダウンロード、編集、適用します。

ノードのステータスを監視し、Ready ステータスになるまで待機します。

kubectl get nodes --watch

Ctrl+C を入力して、シェルプロンプトに戻ります。