サービスアカウントの AWS Security Token Service エンドポイントを設定する

エンドポイントを変更したいサービスアカウントを使用する Pod を選択します。Pod を実行する AWS リージョンを決定します。aws-node-6mfgv を Pod の名前に置き換え、kube-system を Pod’s の名前空間に置き換えます。

kubectl describe pod aws-node-6mfgv -n kube-system |grep Node:

出力例は次のとおりです。

ip-192-168-79-166.us-west-2/192.168.79.166

前の出力では、 Pod は us-west-2 AWS リージョンのノードで実行されています。

Pod’s のサービスアカウントが使用しているエンドポイントタイプを確認します。

kubectl describe pod aws-node-6mfgv -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS

出力例は次のとおりです。

AWS_STS_REGIONAL_ENDPOINTS: regional

現在のエンドポイントがグローバルの場合、この出力には global が返されます。出力が返されない場合、デフォルトのエンドポイントタイプが、上書きされないまま使用されています。

クラスターまたはプラットフォームのバージョンが表に示されているバージョンと同じかそれ以降の場合は、次のコマンドのいずれかを使用して、サービスアカウントで使用されるエンドポイントタイプをデフォルトタイプから別のタイプに変更できます。aws-node は、サービスアカウントの名前に置き換え、kube-system は、サービスアカウントの名前空間に置き換えます。

使用している自動化処理で、事前署名付き URL に特定の形式を想定している場合、または事前署名付き URL を使用するアプリケーションやダウンストリームの依存関係に、ターゲットとして想定する AWS リージョンがある場合、適切な AWS STS エンドポイントを使用するために必要な変更を加えます。

認証情報環境変数を適用するために、サービスアカウントに関連付けられている既存の Pods を削除して再作成します。変更するウェブフックは、既に実行されている Pods には適用されません Pods、kube-system、および -l k8s-app=aws-node を、アノテーションを設定する Pods の情報に置き換えることができます。

kubectl delete Pods -n kube-system -l k8s-app=aws-node

Pods がすべて再起動したことを確認します。

kubectl get Pods -n kube-system -l k8s-app=aws-node

Pods のいずれかの環境変数を表示します。AWS_STS_REGIONAL_ENDPOINTS の値が、以前のステップで設定した値であることを確認します。

kubectl describe pod aws-node-kzbtr -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS

出力例は次のとおりです。

AWS_STS_REGIONAL_ENDPOINTS=regional