將 IAM 角色指派給 Kubernetes 服務帳戶

開啟 Amazon EKS 主控台。

在左側導覽窗格中，選取叢集，然後選取您要為其設定 EKS Pod 身分識別代理程式附加元件之叢集的名稱。

選擇存取索引標籤。

在 Pod 身分識別關聯中，選擇建立。

對於 IAM 角色，選取具有您希望工作負載擁有許可的 IAM 角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

sts:AssumeRole— EKS Pod Identity 使用 AssumeRole來擔任 IAM 角色，然後再將暫時登入資料傳遞至您的 Pod。

sts:TagSession— EKS Pod Identity 使用 TagSession 在對 AWS STS 的請求中包含工作階段標籤。

您可以在信任政策中的條件索引鍵中使用這些標籤，以限制哪些服務帳戶、命名空間和叢集可以使用此角色。

如需 Amazon EKS 條件金鑰的清單，請參閱服務授權參考中的 Amazon Elastic Kubernetes Service 定義的條件。若要了解您可以搭配哪些動作和資源使用條件索引鍵，請參閱 Amazon Elastic Kubernetes Service 定義的動作。

針對 Kubernetes 命名空間，選取包含服務帳戶和工作負載的 Kubernetes 命名空間。或者，您可以依叢集中不存在的名稱指定命名空間。

針對 Kubernetes 服務帳戶，選取要使用的 Kubernetes 服務帳戶。Kubernetes 工作負載的資訊清單必須指定此服務帳戶。或者，您可以依叢集中不存在的名稱指定服務帳戶。

(選用) 對於標籤，請選擇新增標籤，以在鍵值對中新增中繼資料。這些標籤會套用至關聯，可用於 IAM 政策。

您可以多次重複此步驟以新增多個標籤。

選擇 Create (建立)。

如果您要將現有 IAM 政策與 IAM 角色建立關聯，請跳到下一步驟。

建立 IAM 政策。您可以建立自己的政策，或複製已授予部分所需許可的 AWS 受管政策，並根據您的特定需求進行自訂。如需詳細資訊，請參閱「IAM 使用者指南」中的建立 IAM 政策。

建立 IAM 角色並將其與 Kubernetes 服務帳戶建立關聯。

確認 IAM 角色的信任政策已正確設定。

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

範例輸出如下。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Allow EKS Auth service to assume this role for Pod Identities",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

確認您在上一步連接至角色的政策已連接至該角色。

aws iam list-attached-role-policies --role-name my-role --query 'AttachedPolicies[].PolicyArn' --output text

範例輸出如下。

 arn:aws: iam::111122223333:policy/my-policy

設定變數以存放您要使用之政策的 Amazon Resource Name (ARN)。將 my-policy 取代為您要確認許可的政策名稱。

export policy_arn=arn:aws: iam::111122223333:policy/my-policy

檢視預設政策版本。

aws iam get-policy --policy-arn $policy_arn

範例輸出如下。

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws: iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

檢視政策內容，以確保政策包含 Pod 所需的所有許可。如有必要，請將下列命令中的 1 取代為先前輸出中傳回的版本。

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

範例輸出如下。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws: s3:::my-pod-secrets-bucket"
        }
    ]
}

如果您在上一步建立了範例政策，則輸出結果相同。如果您建立了不同的政策，則 example 內容有所不同。