ConfigMap을 사용한 IAM 사용자에게 Kubernetes에 대한 액세스 권한 부여

ConfigMap에서 현재 매핑을 확인합니다. my-cluster를 클러스터 이름으로 바꿉니다. region-code를 클러스터가 있는 AWS 리전으로 바꿉니다.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

예제 출력은 다음과 같습니다.

ARN                                                                                             USERNAME                                GROUPS                          ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

역할에 대한 매핑을 추가합니다. my-role을 역할 이름으로 바꿉니다. eks-console-dashboard-full-access-group을 Kubernetes RoleBinding 또는 ClusterRoleBinding 객체에 지정된 그룹 이름으로 바꿉니다. 111122223333을 계정 ID로 바꿉니다. admin을 선택한 모든 이름으로 바꿀 수 있습니다.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:role/my-role --username admin --group eks-console-dashboard-full-access-group \
    --no-duplicate-arns

예제 출력은 다음과 같습니다.

[...]
2022-05-09 14:51:20 [ℹ]  adding identity "arn:aws:iam::111122223333:role/my-role" to auth ConfigMap

사용자에 대한 매핑을 추가합니다. IAM 모범 사례에서는 되도록 사용자 대신 역할에 권한을 부여하세요. my-user를 사용자 이름으로 바꿉니다. eks-console-dashboard-restricted-access-group을 Kubernetes RoleBinding 또는 ClusterRoleBinding 객체에 지정된 그룹 이름으로 바꿉니다. 111122223333을 계정 ID로 바꿉니다. my-user를 선택한 모든 이름으로 바꿀 수 있습니다.

eksctl create iamidentitymapping --cluster my-cluster --region=region-code \
    --arn arn:aws:iam::111122223333:user/my-user --username my-user --group eks-console-dashboard-restricted-access-group \
    --no-duplicate-arns

예제 출력은 다음과 같습니다.

[...]
2022-05-09 14:53:48 [ℹ]  adding identity "arn:aws:iam::111122223333:user/my-user" to auth ConfigMap

ConfigMap에서 매핑을 다시 확인합니다.

eksctl get iamidentitymapping --cluster my-cluster --region=region-code

예제 출력은 다음과 같습니다.

ARN                                                                                             USERNAME                                GROUPS                                  ACCOUNT
arn:aws:iam::111122223333:role/eksctl-my-cluster-my-nodegroup-NodeInstanceRole-1XLS7754U3ZPA    system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws:iam::111122223333:role/admin                                                            my-role                                 eks-console-dashboard-full-access-group
arn:aws:iam::111122223333:user/my-user                                                          my-user                                 eks-console-dashboard-restricted-access-group

편집을 위해 ConfigMap을 엽니다.

kubectl edit -n kube-system configmap/aws-auth

IAM 보안 주체를 ConfigMap에 추가하세요. IAM 그룹은 IAM 보안 주체가 아니므로 ConfigMap에 추가할 수 없습니다..

예를 들어 아래 YAML 블록에는 다음이 포함됩니다.

필요에 따라 줄을 추가하거나 제거하고 모든 example values를 자신의 값으로 바꿉니다.

# Please edit the object below. Lines beginning with a '#' will be ignored,
# and an empty file will abort the edit. If an error occurs while saving this file will be
# reopened with the relevant failures.
#
apiVersion: v1
data:
  mapRoles: |
    - groups:
      - system:bootstrappers
      - system:nodes
      rolearn: arn:aws:iam::111122223333:role/my-role
      username: system:node:{{EC2PrivateDNSName}}
    - groups:
      - eks-console-dashboard-full-access-group
      rolearn: arn:aws:iam::111122223333:role/my-console-viewer-role
      username: my-console-viewer-role
  mapUsers: |
    - groups:
      - system:masters
      userarn: arn:aws:iam::111122223333:user/admin
      username: admin
    - groups:
      - eks-console-dashboard-restricted-access-group      
      userarn: arn:aws:iam::444455556666:user/my-user
      username: my-user

파일을 저장하고 텍스트 편집기를 종료합니다.