创建具有 EKS 容器组身份所需信任策略的 IAM 角色

聚焦模式

创建具有 EKS 容器组身份所需信任策略的 IAM 角色 - Amazon EKS


{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

sts:AssumeRole

在将临时凭证传递给您的容器组之前，EKS 容器组身份使用 AssumeRole 分派 IAM 角色。

sts:TagSession

EKS 容器组身份使用 TagSession 在对 AWS STS 的请求中包含会话标签。

您可以在信任策略的条件键中使用这些标签，来限制哪些服务账户、命名空间和集群可以使用此角色。

有关 Amazon EKS 条件键的列表，请参阅《Service Authorization Reference》中的 Conditions defined by Amazon Elastic Kubernetes Service。要了解您可以对哪些操作和资源使用条件键，请参阅 Actions defined by Amazon Elastic Kubernetes Service。