Criar o perfil do IAM do driver CSI do Amazon

Criar um perfil do IAM e associar uma política. AWS mantém uma política AWS gerenciada ou você pode criar sua própria política personalizada. Você pode criar uma função IAM e anexar a política gerenciada AWS com o seguinte comando. Substitua o my-cluster pelo nome do cluster. O comando implanta uma pilha do AWS CloudFormation que cria um perfil do IAM e anexa a política do IAM a ele. Se o cluster estiver nas Regiões da AWS: AWS GovCloud (EUA-Leste) ou AWS GovCloud (EUA-Oeste), substitua arn:aws: por arn:aws-us-gov:.

eksctl create iamserviceaccount \
    --name ebs-csi-controller-sa \
    --namespace kube-system \
    --cluster my-cluster \
    --role-name AmazonEKS_EBS_CSI_DriverRole \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
    --approve

Se você usar uma chave do KMS personalizada para criptografia em seus volumes do Amazon EBS, personalize o perfil do IAM conforme necessário. Por exemplo, faça o seguinte:

1. Copie e cole o código a seguir em um novo arquivo kms-key-for-encryption-on-ebs.json. Substitua custom-key-arn pelo ARN da chave do KMS personalizada.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

2. Crie a política do Você pode alterar KMS_Key_For_Encryption_On_EBS_Policy para um nome diferente. Porém, se fizer isso, não se esqueça de alterá-lo também em etapas posteriores.

   aws iam create-policy \
     --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
     --policy-document file://kms-key-for-encryption-on-ebs.json
   

3. Anexe a política do IAM necessária à função com o comando a seguir. Substitua 111122223333 pelo ID da sua conta. Se o cluster estiver nas Regiões da AWS: AWS GovCloud (EUA-Leste) ou AWS GovCloud (EUA-Oeste), substitua arn:aws: por arn:aws-us-gov:.

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
     --role-name AmazonEKS_EBS_CSI_DriverRole
   

Abra o console IAM em https://console.aws.amazon.com/iam/.

No painel de navegação à esquerda, escolha Roles.

Na página Roles (Funções), selecione Create role (Criar função).

Na página Select trusted entity (Selecionar entidade confiável), faça o seguinte:

1. Na seção Trusted entity type (Tipo de entidade confiável), escolha Web identity (Identidade da Web).

2. Em Identity provider (Provedor de identidade), escolha OpenID ConnectOpenID Connect provider URL (URL do provedor OpenID Connect) para o cluster (conforme mostrado na guia Overview [Visão geral] do Amazon EKS).

3. Para Audience (Público), escolha sts.amazonaws.com.

4. Escolha Próximo.

Na página Add permissions (Adicionar permissões), faça o seguinte:

1. Na caixa Filter policies (Políticas de filtro) insira AmazonEBSCSIDriverPolicy.

2. Marque a caixa de seleção à esquerda do AmazonEBSCSIDriverPolicy retornado na pesquisa.

3. Escolha Próximo.

Na página Name, review, and create (Nomear, revisar e criar), faça o seguinte:

1. Em Role name (Nome da função), insira um nome exclusivo para a função, como AmazonEKS_EBS_CSI_DriverRole.

2. Em Adicionar tags (Opcional), adicione metadados ao perfil anexando tags como pares chave-valor. Para obter mais informações sobre o uso de tags no IAM, consulte Marcar recursos do IAM no Guia do usuário do IAM.

3. Selecione Criar função.

Depois que a função for criada, escolha a função no console a fim de abri-la para edição.

Escolha a guia Trust relationships (Relacionamentos de confiança) e, em seguida, escolha Edit trust policy (Editar política de confiança).

Encontre a linha semelhante à seguinte:

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

Adicione uma vírgula ao final da linha anterior e depois adicione a linha a seguir após a anterior. Substitua region-code pela Região da AWS em que está o cluster. Substitua EXAMPLED539D4633E53DE1B71EXAMPLE pelo ID do provedor OIDC do cluster.

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"

Escolha Update Policy (Atualizar política) para concluir.

Se você usar uma chave do KMS personalizada para criptografia em seus volumes do Amazon EBS, personalize o perfil do IAM conforme necessário. Por exemplo, faça o seguinte:

1. No painel de navegação à esquerda, escolha Políticas.

2. Na página Policies (Políticas), escolha Create Policy (Criar política).

3. Na página Criar política, escolha a guia JSON.

4. Copie e cole o seguinte código no editor, substituindo custom-key-arn pelo ARN da chave do KMS personalizada:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

5. Escolha Próximo: etiquetas.

6. Na página Add tags (optional) (Adicionar etiquetas - opcional), escolha Next: Review (Próximo: revisar).

7. Em Name (Nome), insira um nome exclusivo para a sua política (por exemplo, KMS_Key_For_Encryption_On_EBS_Policy).

8. Escolha Create policy (Criar política).

9. No painel de navegação à esquerda, escolha Roles.

10. Escolha AmazonEKS_EBS_CSI_DriverRole no console para abri-lo para edição.

11. Na lista suspensa Add permissions (Adicionar permissões), escolha Attach policies (Anexar políticas).

12. Na caixa Filter policies (Políticas de filtro) insira KMS_Key_For_Encryption_On_EBS_Policy.

13. Marque a caixa de seleção à esquerda do KMS_Key_For_Encryption_On_EBS_Policy retornado na pesquisa.

14. Escolha Anexar políticas.

Exiba a URL do provedor OIDC do cluster. Substitua my-cluster pelo nome do cluster. Se o resultado do comando for None, revise os Pré-requisitos.

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

Veja um exemplo de saída abaixo.

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

Crie o perfil do IAM, concedendo a ação AssumeRoleWithWebIdentity.

1. Copie o conteúdo a seguir em um arquivo chamado aws-ebs-csi-driver-trust-policy.json. Substitua 111122223333 pelo ID da sua conta. Substitua EXAMPLED539D4633E53DE1B71EXAMPLE e region-code pelos valores retornados na etapa anterior. Se o cluster estiver nas Regiões da AWS: AWS GovCloud (EUA-Leste) ou AWS GovCloud (EUA-Oeste), substitua arn:aws: por arn:aws-us-gov:.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
           }
         }
       }
     ]
   }

2. Crie a função. Você pode alterar AmazonEKS_EBS_CSI_DriverRole para um nome diferente. Se você alterá-lo, não se esqueça de alterá-lo em etapas superiores.

   aws iam create-role \
     --role-name AmazonEKS_EBS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"
   

Associar uma política. AWS mantém uma política AWS gerenciada ou você pode criar sua própria política personalizada. Anexe a política gerenciada pela AWS função com o comando a seguir. Se o cluster estiver nas Regiões da AWS: AWS GovCloud (EUA-Leste) ou AWS GovCloud (EUA-Oeste), substitua arn:aws: por arn:aws-us-gov:.

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
  --role-name AmazonEKS_EBS_CSI_DriverRole

Se você usar uma chave do KMS personalizada para criptografia em seus volumes do Amazon EBS, personalize o perfil do IAM conforme necessário. Por exemplo, faça o seguinte:

1. Copie e cole o código a seguir em um novo arquivo kms-key-for-encryption-on-ebs.json. Substitua custom-key-arn pelo ARN da chave do KMS personalizada.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

2. Crie a política do Você pode alterar KMS_Key_For_Encryption_On_EBS_Policy para um nome diferente. Porém, se fizer isso, não se esqueça de alterá-lo também em etapas posteriores.

   aws iam create-policy \
     --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
     --policy-document file://kms-key-for-encryption-on-ebs.json
   

3. Anexe a política do IAM necessária à função com o comando a seguir. Substitua 111122223333 pelo ID da sua conta. Se o cluster estiver nas Regiões da AWS: AWS GovCloud (EUA-Leste) ou AWS GovCloud (EUA-Oeste), substitua arn:aws: por arn:aws-us-gov:.

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
     --role-name AmazonEKS_EBS_CSI_DriverRole