리소스 정책, Amazon EKS Cluster 구성 맵 및 AWS KMS 키 정책의 권한 세트 참조

클러스터 액세스에 를 사용할 때 Amazon Elastic Kubernetes Service(AmazonEKS) 클러스터aws-auth ConfigMap의 aws-auth ConfigMap 파일.

AWS Key Management Service (AWS KMS) 키에 대한 리소스 기반 정책. 이 정책을 키 정책이라고도 합니다.

하나 이상의 권한 집합 할당을 유지합니다.

Amazon 의 경우 에서 참조하는 역할EKS, 의 키 정책 AWS KMS또는 다른 의 aws-auth ConfigMap 경우 리소스 기반 정책이 포함된 AWS 계정에서 이 할당을 유지합니다 AWS 서비스.

예를 들어 EKSAccess 권한 세트를 생성하고 AWS 계정 ARN 에서 해당 역할을 참조하는 경우 해당 계정의 권한 세트에 관리 그룹을 111122223333영구적으로 할당합니다. 할당은 영구적이므로 IAM Identity Center는 해당 역할을 삭제하지 않으므로 이름 변경 위험이 제거됩니다. 관리자 그룹은 권한 상승 위험 없이 항상 액세스할 수 있습니다.

aws-auth ConfigMap 및 를 사용하는 Amazon EKS 클러스터의 경우 AWS KMS: 에서 생성한 역할을 포함합니다IAM.

의 권한 세트에 ARNs 대한 역할을 Amazon EKS 클러스터aws-auth ConfigMap에 참조하거나 AWS KMS 키에 대한 키 정책에 참조하는 경우 에 생성한 역할도 하나 이상 포함하는 것이 좋습니다IAM. 역할은 Amazon EKS 클러스터에 액세스하거나 AWS KMS 키 정책을 관리할 수 있도록 허용해야 합니다. 권한 집합이 이 역할을 맡을 수 있어야 합니다. 이렇게 하면 권한 세트의 역할이 변경되면 aws-auth ConfigMap 또는 AWS KMS 키 정책ARN에서 에 ARN 대한 참조를 업데이트할 수 있습니다. 다음 섹션에서는 에서 생성된 역할에 대한 신뢰 정책을 생성하는 방법의 예를 제공합니다IAM. AdministratorAccess 권한 집합으로만 역할을 수임할 수 있습니다.

이 신뢰 정책의 보안 주체 요소는 AWS 계정 보안 주체를 지정합니다. 이 정책에서 sts:AssumeRole 권한이 111122223333 있는 AWS 계정의 보안 주체는 에서 생성된 역할을 수임할 수 있습니다IAM.

Condition element 이 신뢰 정책의 는 에서 생성된 역할을 수임할 수 있는 보안 주체에 대한 추가 요구 사항을 지정합니다IAM. 이 정책에서 다음 역할을 가진 권한 세트가 역할을 수임할 ARN 수 있습니다.

arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"
        }
      }
    }
  ]
}

이러한 정책에 IAM에서 생성한 역할을 포함하면 권한 세트 AWS KMS keys또는 권한 세트에 대한 모든 할당이 실수로 삭제되고 다시 생성되는 경우 Amazon EKS 클러스터 또는 기타 AWS 리소스에 대한 긴급 액세스 권한이 제공됩니다.