ConfigMap을 사용한 IAM 사용자에게 Kubernetes에 대한 액세스 권한 부여

kubectl이 클러스터에 액세스하는 데 사용하는 자격 증명을 확인합니다. 컴퓨터에서 다음 명령으로 kubectl이 사용하는 자격 증명을 볼 수 있습니다. 기본 경로를 사용하지 않는 경우 ~/.kube/config를 kubeconfig 파일의 경로로 바꿉니다.

cat ~/.kube/config

예제 출력은 다음과 같습니다.

[...]
contexts:
- context:
    cluster: my-cluster.region-code.eksctl.io
    user: admin@my-cluster.region-code.eksctl.io
  name: admin@my-cluster.region-code.eksctl.io
current-context: admin@my-cluster.region-code.eksctl.io
[...]

이전 예제 출력에서는 admin이라는 사용자의 자격 증명이 my-cluster라는 클러스터에 대해 구성되었습니다. 클러스터를 생성한 사용자인 경우 클러스터에 대한 액세스 권한이 이미 있습니다. 클러스터를 생성한 사용자가 아닌 경우 다른 IAM 보안 주체에 대한 클러스터 액세스를 사용 설정하기 위해 나머지 단계를 완료해야 합니다. IAM 모범 사례에서는 되도록 사용자 대신 역할에 권한을 부여하세요. 다음 명령을 사용하여 현재 클러스터에 액세스할 수 있는 다른 보안 주체를 확인할 수 있습니다.

kubectl describe -n kube-system configmap/aws-auth

예제 출력은 다음과 같습니다.

Name:         aws-auth
Namespace:    kube-system
Labels:       <none>
Annotations:  <none>

Data
====
mapRoles:
----
- groups:
  - system:bootstrappers
  - system:nodes
  rolearn: arn:aws:iam::111122223333:role/my-node-role
  username: system:node:{{EC2PrivateDNSName}}


BinaryData
====

Events:  <none>

이전 예는 기본 aws-auth ConfigMap입니다. 노드 인스턴스 역할만 클러스터에 액세스할 수 있습니다.

IAM 보안 주체를 매핑할 수 있는 기존 Kubernetes roles 및 rolebindings 또는 clusterroles 및 clusterrolebindings가 있어야 합니다. 이런 리소스에 대한 자세한 내용을 알아보려면 Kubernetes 설명서의 RBAC 승인 사용을 참조하세요.

aws-auth ConfigMap을 편집합니다. eksctl과 같은 도구를 사용하여 ConfigMap을 업데이트하거나 이를 편집하여 수동으로 업데이트할 수 있습니다.

장치에 설치된 eksctl 명령줄 도구의 버전 0.199.0 이상 또는 AWS CloudShell이 필요합니다. eksctl을 설치 또는 업그레이드하려면 eksctl 설명서에서 설치를 참조하세요.

ConfigMap에서 현재 매핑을 확인합니다. my-cluster를 해당 클러스터의 이름으로 바꿉니다. region-code를 클러스터가 있는 AWS 리전으로 바꿉니다.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

예제 출력은 다음과 같습니다.

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

역할에 대한 매핑을 추가합니다. my-role을 역할 이름으로 바꿉니다. eks-console-dashboard-full-access-group을 Kubernetes Kubernetes RoleBinding 또는 ClusterRoleBinding 객체에 지정된 그룹 이름으로 바꿉니다. 111122223333을 계정 ID로 바꿉니다. admin을 선택한 모든 이름으로 바꿀 수 있습니다.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:role/my-role --username admin --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

예제 출력은 다음과 같습니다.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "{arn-aws}iam::111122223333:role/my-role" to auth ConfigMap

사용자에 대한 매핑을 추가합니다. IAM 모범 사례에서는 되도록 사용자 대신 역할에 권한을 부여하세요. my-user를 사용자 이름으로 바꿉니다. eks-console-dashboard-restricted-access-group을 Kubernetes Kubernetes RoleBinding 또는 ClusterRoleBinding 객체에 지정된 그룹 이름으로 바꿉니다. 111122223333을 계정 ID로 바꿉니다. my-user를 선택한 모든 이름으로 바꿀 수 있습니다.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:user/my-user --username my-user --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

예제 출력은 다음과 같습니다.

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws:iam::111122223333:user/my-user" to auth ConfigMap

ConfigMap에서 매핑을 다시 확인합니다.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

예제 출력은 다음과 같습니다.

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws:iam::111122223333:role/admin                                                            my-role                                 eks-console-dashboard-full-access-group
arn:aws:iam::111122223333:user/my-user                                                          my-user                                 eks-console-dashboard-restricted-access-group

편집을 위해 ConfigMap을 엽니다.

kubectl edit -n kube-system configmap/aws-auth

IAM 보안 주체를 ConfigMap에 추가하세요. IAM 그룹은 IAM 보안 주체가 아니므로 ConfigMap에 추가할 수 없습니다.

예를 들어, 아래 YAML 블록에는 다음이 포함됩니다.

파일을 저장하고 텍스트 편집기를 종료합니다.

aws-auth ConfigMap을(를) 이미 적용했는지 확인합니다.

kubectl describe configmap -n kube-system aws-auth

‘Error from server (NotFound): configmaps "aws-auth" not found’와 같은 오류가 발생할 경우 다음 단계를 수행하여 스톡 ConfigMap을 적용합니다.

AWS Authenticator 구성 맵을 다운로드, 편집 및 적용합니다.

노드의 상태를 확인하고 Ready 상태가 될 때까지 대기합니다.

kubectl get nodes --watch

Ctrl+C를 입력하여 쉘 프롬프트로 돌아갑니다.