在資源政策、Amazon EKS Cluster 組態映射和 AWS KMS 金鑰政策中參考許可集

當您使用 進行叢集存取時，在 Amazon Elastic Kubernetes Service (Amazon EKS) 叢集aws-auth ConfigMap的 aws-auth ConfigMap 檔案中。

在適用於 AWS Key Management Service (AWS KMS) 金鑰的資源型政策中。此政策也稱為金鑰政策。

維護至少一個許可集指派。

在包含您在 aws-auth ConfigMap Amazon 的 中參考的角色EKS、 中的金鑰政策 AWS KMS，或其他 以資源為基礎的政策的 AWS 帳戶中，維護此指派 AWS 服務。

例如，如果您建立EKSAccess許可集並從ARN AWS 帳戶 參考對應的角色111122223333，則請將管理群組永久指派給該帳戶中的許可集。由於指派是永久性的， IAM Identity Center 不會刪除對應的角色，這會消除重新命名風險。管理群組一律可以存取，而不會有權限提升的風險。

對於使用 aws-auth ConfigMap和 的 Amazon EKS叢集 AWS KMS：包含在 中建立的角色IAM。

如果您在 ARNs Amazon EKS叢集的 或 AWS KMS 金鑰的金鑰政策中參考 aws-auth ConfigMap 中許可集的角色，我們建議您也包含至少一個您在 中建立的角色IAM。角色必須允許您存取 Amazon EKS叢集或管理 AWS KMS 金鑰政策。許可集必須能夠擔任此角色。如此一來，如果許可集ARN的角色變更，您可以在 aws-auth ConfigMap或 AWS KMS 金鑰政策ARN中更新對 的參考。下一節提供如何為在 中建立的角色建立信任政策的範例IAM。角色只能由 AdministratorAccess 許可集擔任。

此信任政策的主體元素會指定 AWS 帳戶主體。在此政策中， AWS 帳戶中111122223333具有 sts:AssumeRole 許可的主體可以擔任在 中建立的角色IAM。

此信任政策Condition element的 會指定可擔任在 中建立之角色之主體的其他需求IAM。在此政策中，具有下列角色的許可集ARN可以擔任該角色。

arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "AWS": "arn:aws:iam::111122223333:root"
      },
      "Action": "sts:AssumeRole",
      "Condition": {
        "ArnLike": {
          "aws:PrincipalArn": "arn:aws:iam::111122223333:role/aws-reserved/sso.amazonaws.com/eu-west-2/AWSReservedSSO_AdministratorAccess_*"
        }
      }
    }
  ]
}

如果意外刪除並重新建立許可集或許可集的所有指派 AWS KMS keys，包括您在此類政策IAM中建立的角色，將提供您 Amazon EKS叢集或其他 AWS 資源的緊急存取權。