为 Kubernetes 服务账户分配 IAM 角色

创建一个 IAM 策略。您可以创建自己的策略，也可以复制已授予您部分所需权限的 AWS 托管策略，并根据您的特定要求对其进行自定义。有关更多信息，请参阅《IAM 用户指南》中的创建 IAM 策略。

创建一个文件，其包含您希望那您的Pods访问的 AWS 服务所需的权限。有关所有 AWS 服务的所有操作的列表，请参阅服务授权参考。

您可以运行以下命令创建一个示例策略文件，以实现对 Amazon S3 存储桶的只读访问权限。您可以选择将配置信息或引导脚本存储在此存储桶中，并且您 Pod 中的容器可以从存储桶读取文件并将其加载到应用程序中。如果您要创建此示例策略，请将以下内容复制到您的设备。将 my-pod-secrets-bucket 替换为您的存储桶名称并运行该命令。

cat >my-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}
EOF

创建 IAM 策略。

aws iam create-policy --policy-name my-policy --policy-document file://my-policy.json

创建 Kubernetes 服务账户。将以下内容复制到您的设备。将 my-service-account 替换为所需的名称，如有必要，将 default 替换为其他命名空间。如更改 default，则命名空间必须已经存在。

cat >my-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: default
EOF
kubectl apply -f my-service-account.yaml

使用以下命令将 AWS 账户 ID 设置为环境变量。

account_id=$(aws sts get-caller-identity --query "Account" --output text)

使用以下命令将集群的 OIDC 身份提供者设置为环境变量。将 my-cluster 替换为您的集群的名称。

oidc_provider=$(aws eks describe-cluster --name my-cluster --region $AWS_REGION --query "cluster.identity.oidc.issuer" --output text | sed -e "s/^https:\/\///")

为服务账户的命名空间和名称设置变量。将 my-service-account 替换为要分派角色的 Kubernetes 服务账户。将 default 替换为服务账户的命名空间。

export namespace=default
export service_account=my-service-account

运行以下命令为 IAM 角色创建信任策略文件。若要允许命名空间内的所有服务账户使用该角色，请将以下内容复制到您的设备。将 StringEquals 替换为 StringLike，并将 $service_account 替换为 *。您可在 StringEquals 和 StringLike 条件中添加多个条目，以允许多个服务账户或命名空间分派角色。要允许其它 AWS 账户中的角色（而不是您的集群所在账户中的角色）分派该角色户，请参阅使用 IRSA 对另一个账户进行身份验证获取更多信息。

cat >trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::$account_id:oidc-provider/$oidc_provider"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "$oidc_provider:aud": "sts.amazonaws.com",
          "$oidc_provider:sub": "system:serviceaccount:$namespace:$service_account"
        }
      }
    }
  ]
}
EOF

创建角色。将 my-role 替换为您的 IAM 角色的名称，并将 my-role-description 替换为您的角色的描述。

aws iam create-role --role-name my-role --assume-role-policy-document file://trust-relationship.json --description "my-role-description"

将 IAM 策略附加到您的角色。将 my-role 替换为您的 IAM 角色的名称，并将 my-policy 替换为您创建的现有策略的名称。

aws iam attach-role-policy --role-name my-role --policy-arn=arn:aws:iam::$account_id:policy/my-policy

请使用要让服务账户分派的 IAM 角色的 Amazon 资源名称（ARN）注释您的服务账户。将 my-role 替换为您的现有 IAM 角色的名称。假设您在上一步中允许其它 AWS 账户中的角色（而不是您的集群所在账户中的角色）分派该角色户。那么，请确保指定其它账户中的 AWS 账户和角色。有关更多信息，请参阅使用 IRSA 对另一个账户进行身份验证。

kubectl annotate serviceaccount -n $namespace $service_account eks.amazonaws.com/role-arn=arn:aws:iam::$account_id:role/my-role

（可选）为服务账户配置 AWS Security Token Service 端点为服务账户配置 AWS Security Token Service 端点。AWS 建议使用区域级 AWS STS 端点而不是全局端点。这可以减少延迟，提供内置冗余并提高会话令牌的有效性。

确认 IAM 角色的信任策略配置正确。

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

示例输出如下。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:default:my-service-account",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

确认您在上一步中附加到角色的策略已附加到该角色。

aws iam list-attached-role-policies --role-name my-role --query AttachedPolicies[].PolicyArn --output text

示例输出如下。

                     arn:aws:iam::111122223333:policy/my-policy

设置一个变量以存储要使用策略的 Amazon 资源名称（ARN）。将 my-policy 替换为要确认其权限的策略的名称。

export policy_arn=arn:aws:iam::111122223333:policy/my-policy

查看该策略的默认版本。

aws iam get-policy --policy-arn $policy_arn

示例输出如下。

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws:iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

查看策略内容以确保该策略包括您的 Pod 所需的所有权限。如有必要，将以下命令中的 1 替换为上一个输出中返回的版本。

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

示例输出如下。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}

如果您在上一步中创建了示例策略，则您的输出与示例相同。如果您创建了其他策略，则与示例内容不同。

确认使用角色注释 Kubernetes 服务账户。

kubectl describe serviceaccount my-service-account -n default

示例输出如下。

Name:                my-service-account
Namespace:           default
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role
Image pull secrets:  <none>
Mountable secrets:   my-service-account-token-qqjfl
Tokens:              my-service-account-token-qqjfl
[...]