Peran IAM untuk add-on Amazon EKS - Amazon EKS

View a markdown version of this page

Peran IAM untuk add-on Amazon EKS - Amazon EKS

Bantu meningkatkan halaman ini

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk berkontribusi pada panduan pengguna ini, pilih GitHub tautan Edit halaman ini di yang terletak di panel kanan setiap halaman.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Peran IAM untuk add-on Amazon EKS

Add-on Amazon EKS tertentu memerlukan peran dan izin IAM untuk memanggil AWS API. Misalnya, add-on Amazon VPC CNI memanggil AWS API tertentu untuk mengonfigurasi sumber daya jaringan di akun Anda. Pengaya ini perlu diberikan izin menggunakan IAM. Lebih khusus lagi, akun layanan dari pod yang menjalankan add-on perlu dikaitkan dengan peran IAM dengan kebijakan IAM tertentu.

Cara yang disarankan untuk memberikan AWS izin ke beban kerja cluster adalah menggunakan fitur Amazon EKS Identitas Pod. Anda dapat menggunakan Asosiasi Identi tas Pod untuk memetakan akun layanan add-on ke peran IAM. Jika pod menggunakan akun layanan yang memiliki asosiasi, Amazon EKS menetapkan variabel lingkungan dalam wadah pod. Variabel lingkungan mengkonfigurasi AWS SDK, termasuk AWS CLI, untuk menggunakan kredenSIAL EKS Pod Identity. Untuk informasi selengkapnya, lihat Pelajari cara EKS Pod Identity memberikan akses Pod AWS layanan

Add-on Amazon EKS dapat membantu mengelola siklus hidup asosiasi identitas pod yang sesuai dengan add-on. Misalnya, Anda dapat membuat atau memperbarui add-on Amazon EKS dan asosiasi identitas pod yang diperlukan dalam satu panggilan API. Amazon EKS juga menyediakan API untuk mengambil kebijakan IAM yang disarankan.

  1. Konfirmasikan bahwa agen identitas pod Amazon EKS telah diatur di cluster Anda.

  2. Tentukan apakah add-on yang ingin Anda instal memerlukan izin IAM menggunakan operasi describe-addon-versions AWS CLI. Jika ben requiresIamPermissions deranyatrue, maka Anda harus menggunakan describe-addon-configurations operasi untuk menentukan izin yang dibutuhkan oleh addon. Tanggapan mencakup daftar kebijakan IAM terkelola yang disarankan.

  3. Ambil nama Akun Layanan Kubernetes dan kebijakan IAM menggunakan operasi CLI. describe-addon-configuration Evaluasi ruang lingkup kebijakan yang disarankan terhadap persyaratan keamanan Anda.

  4. Buat peran IAM menggunakan kebijakan izin yang disarankan, dan kebijakan kepercayaan yang diperlukan oleh Pod Identity. Untuk informasi selengkapnya, lihat Membuat asosiasi Pod Identity (AWS Konsol).

  5. Buat atau perbarui add-on Amazon EKS menggunakan CLI. Tentukan setidaknya satu asosiasi identitas pod. Asosiasi identitas pod adalah nama akun layanan Kubernetes, dan ARN dari peran IAM.

    • Asosiasi identitas pod yang dibuat menggunakan API add-on dimiliki oleh add-on masing-masing. Jika Anda menghapus add-on, asosiasi identitas pod juga dihapus. Anda dapat mencegah penghapusan bertingkat ini dengan menggunakan preserve opsi saat menghapus addon menggunakan AWS CLI atau API. Anda juga dapat langsung memperbarui atau menghapus asosiasi identitas pod jika perlu. Add-ons tidak dapat mengambil alih kepemilikan asosiasi identitas pod yang ada. Anda harus menghapus asosiasi yang ada dan membuatnya kembali menggunakan operasi pembuatan atau pembaruan add-on.

    • Amazon EKS merekomendasikan penggunaan asosiasi identitas pod untuk mengelola izin IAM untuk add-on. Metode sebelumnya, peran IAM untuk akun layanan (IRSA), masih didukung. Anda dapat menentukan IRSA serviceAccountRoleArn dan asosiasi identitas pod untuk add-on. Jika agen identitas pod EKS diinstal pada cluster, agen tersebut serviceAccountRoleArn akan diabaikan, dan EKS akan menggunakan asosiasi identitas pod yang disediakan. Jika Pod Identity tidak diaktifkan, serviceAccountRoleArn maka akan digunakan.

    • Jika Anda memperbarui asosiasi identitas pod untuk add-on yang ada, Amazon EKS memulai restart bergulir dari pod add-on.