在资源策略、Amazon EKS 集群配置映射和 AWS KMS 密钥策略中引用权限集

当你aws-auth ConfigMap使用访问集群时，在亚马逊 Elastic Kubernetes Servic EKS e (Amazon) 集群aws-auth ConfigMap的文件中。

在 AWS Key Management Service (AWS KMS) 密钥的基于资源的策略中。该政策也被称为关键政策。

维护至少一项权限集分配。

在包含您在 for Amazon 中引用的角色EKS、中的aws-auth ConfigMap关键策略或其他 AWS 服务角色的基于资源的策略的 AWS 账户中 AWS KMS保留此分配。

例如，如果您创建了一个EKSAccess权限集并ARN从 AWS 帐户中引用了相应的角色111122223333，则会将管理组永久分配给该帐户中的权限集。由于分配是永久性的，因此 Ident IAM ity Center 不会删除相应的角色，从而消除了重命名风险。管理组将始终具有访问权限，而无需担心权限升级的风险。

对于使用aws-auth ConfigMap和的 Amazon EKS 集群 AWS KMS：包括在中创建的角色IAM。

如果您在 for Amazon EKS 集群中ARNsaws-auth ConfigMap为权限集引用角色，或者在 AWS KMS 密钥策略中为密钥引用角色，我们建议您至少包括一个您在中创建的角色IAM。该角色必须允许您访问 Amazon EKS 集群或管理 AWS KMS 密钥策略。权限集必须能够承担此角色。这样，如果权限集ARN的角色发生变化，则可以在aws-auth ConfigMap或 AWS KMS 密钥策略ARN中更新对的引用。下一节将举例说明如何为在中创建的角色创建信任策略IAM。该角色只能由 AdministratorAccess 权限集承担。

此信任策略的 “委托人” 元素指定了 AWS 账户委托人。在此策略中， AWS 账户中111122223333拥有sts:AssumeRole权限的委托人可以代入中IAM创建的角色。

该信任策略Condition element对可以担任中创建的角色的委托人规定了其他要求。IAM在此策略中，具有以下角色的权限集ARN可以代入该角色。

arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"
        }
      }
    }
  ]
}

如果意外删除并重新创建了权限集或该权限集的所有分配， AWS KMS keys则在此类策略IAM中包含您创建的角色将为您提供对您的 Amazon EKS 集群或其他 AWS 资源的紧急访问权限。