Para configurar Pods para usar uma conta de serviço do Kubernetes

Para configurar um Pod para usar uma conta de serviço

1. Use o comando a seguir para criar um manifesto de implantação com o qual é possível implantar um Pod para confirmar a configuração. Substitua example values pelos seus próprios valores.

   cat >my-deployment.yaml <<EOF
   apiVersion: apps/v1
   kind: Deployment
   metadata:
     name: my-app
   spec:
     selector:
       matchLabels:
         app: my-app
     template:
       metadata:
         labels:
           app: my-app
       spec:
         serviceAccountName: my-service-account
         containers:
         - name: my-app
           image: public.ecr.aws/nginx/nginx:X.XX
   EOF
   

2. Implante o manifesto no seu cluster.

   kubectl apply -f my-deployment.yaml
   

3. Confirme se as variáveis de ambiente necessárias existem para seu Pod.

   1. Visualize os Pods que foram implantados na implantação da etapa anterior.

      kubectl get pods | grep my-app
      

      Veja um exemplo de saída abaixo.

      my-app-6f4dfff6cb-76cv9   1/1     Running   0          3m28s

   2. Visualize o ARN do perfil do IAM que o Pod está usando.

      kubectl describe pod my-app-6f4dfff6cb-76cv9 | grep AWS_ROLE_ARN:
      

      Veja um exemplo de saída abaixo.

      AWS_ROLE_ARN:                 arn:aws:iam::111122223333:role/my-role

      O ARN do perfil deve corresponder ao ARN do perfil com o qual você anotou a conta de serviço existente. Para saber mais sobre como fazer anotações na conta de serviço, consulte Configurar uma conta de serviço do Kubernetes para assumir um perfil do IAM.

   3. Confirme que o Pod tenha um arquivo de token de identidade da Web montado.

      kubectl describe pod my-app-6f4dfff6cb-76cv9 | grep AWS_WEB_IDENTITY_TOKEN_FILE:
      

      Veja um exemplo de saída abaixo.

      AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token

      O kubelet solicita e armazena o token em nome do Pod. Por padrão, o kubelet atualiza o token se ele for mais antigo do que 80% do seu tempo de vida total, ou se o token tiver mais de 24 horas. É possível modificar a duração da expiração de qualquer conta, exceto a conta de serviço padrão, usando as configurações na especificação do Pod. Para obter mais informações, consulte Service Account Token Volume Projection (Projeção do volume de tokens da conta de serviço) na documentação do Kubernetes.

      O Webhook de identidade do pod do Amazon EKS no cluster observa os Pods que usam uma conta de serviço com a seguinte anotação:

      eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role

      O webhook aplica as variáveis de ambiente anteriores a esses Pods. Seu cluster não precisa usar o webhook para configurar as variáveis de ambiente e montagens de arquivos do token. É possível configurar manualmente o Pods para ter essas variáveis de ambiente. As versões compatíveis do SDK da AWS procuram essas variáveis de ambiente primeiro no fornecedor da cadeia de credenciais. As credenciais da função são usadas para os Pods que atendam a esses critérios.

4. Confirme que seus Pods possam interagir com os Serviços da AWS usando as permissões que você atribuiu na política do IAM associada ao seu perfil.

   nota

   Quando um Pod usa credenciais da AWS de um perfil do IAM associado a uma conta de serviço, a AWS CLI ou outros SDKs nos contêineres desse Pod usam as credenciais fornecidas por esse perfil. Se você não restringir o acesso às credenciais fornecidas à perfil do IAM do nó do Amazon EKS, o Pod ainda terá acesso a essas credenciais. Para obter mais informações, consulte Restringir o acesso ao perfil da instância atribuído ao nó de processamento.

   Se os seus Pods não conseguirem interagir com os serviços conforme o esperado, conclua as etapas a seguir para confirmar se tudo está configurado corretamente.

   1. Confirme que seus Pods usam uma versão do SDK AWS da que ofereça suporte a assumir um perfil do IAM por meio de um arquivo de token de identidade da Web OpenID Connect. Para ter mais informações, consulte Usar o AWS SDK compatível.

   2. Confirme se a implantação está usando a conta de serviço.

      kubectl describe deployment my-app | grep "Service Account"
      

      Veja um exemplo de saída abaixo.

      Service Account:  my-service-account

   3. Se os seus Pods ainda não conseguirem acessar os serviços, revise as etapas que estão descritas em Configurar uma conta de serviço do Kubernetes para assumir um perfil do IAM para confirmar se seu perfil e conta de serviço estão configurados corretamente.