Amazon EKS アドオンに関する IAM 情報を取得する - Amazon EKS

このページの改善にご協力ください

本ユーザーガイドの改善にご協力いただけませんか? このページの下部までスクロールし、[GitHub でこのページの編集] を選択します。皆さまにご協力いただくことで、あらゆる人々に使いやすいユーザーガイドになります。

Amazon EKS アドオンに関する IAM 情報を取得する

アドオンを作成する前に、AWS CLI を使用して次を判断します:

  • アドオンに IAM 許可が必要かどうか

  • 使用する推奨 IAM ポリシー

Amazon EKS アドオン (AWS CLI) に関する IAM 情報を取得する

  1. インストールするアドオンの名前とクラスターの Kubernetes バージョンを決定します。アドオンの詳細については、「Amazon EKS アドオン」を参照してください。

  2. AWS CLI を使用してアドオンに IAM アクセス許可が必要かどうかを確認します。

    aws eks describe-addon-versions \
--addon-name <addon-name> \
--kubernetes-version <kubernetes-version>

    例:

    aws eks describe-addon-versions \
--addon-name aws-ebs-csi-driver \
--kubernetes-version 1.30

    以下の出力例を確認します。requiresIamPermissions は true であり、デフォルトのアドオンバージョンであることに注意してください。推奨される IAM ポリシーを取得するときは、アドオンバージョンを指定する必要があります。

    {
    "addons": [
        {
            "addonName": "aws-ebs-csi-driver",
            "type": "storage",
            "addonVersions": [
                {
                    "addonVersion": "v1.31.0-eksbuild.1",
                    "architecture": [
                        "amd64",
                        "arm64"
                    ],
                    "compatibilities": [
                        {
                            "clusterVersion": "1.30",
                            "platformVersions": [
                                "*"
                            ],
                            "defaultVersion": true
                        }
                    ],
                    "requiresConfiguration": false,
                    "requiresIamPermissions": true
                },
[...]

  3. アドオンに IAM アクセス許可が必要な場合は、AWS CLI を使用して推奨される IAM ポリシーを取得します。

    aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name <addon-name> \
--addon-version <addon-version>

    例:

    aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name aws-ebs-csi-driver \
--addon-version v1.31.0-eksbuild.1

    以下の出力を確認します。recommendedManagedPolicies を書き留めます。

    [
    {
        "serviceAccount": "ebs-csi-controller-sa",
        "recommendedManagedPolicies": [
            "arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy"
        ]
    }
]

  4. IAM ロールを作成し、管理ポリシーをアタッチします。または、管理ポリシーを確認し、必要に応じてアクセス許可の範囲を絞り込みます。詳細については、「EKS Pod Identity の関連付けの作成」を参照してください。