Contribuisci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina su che si trova nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Concedere agli utenti l’accesso a Kubernetes con un provider OIDC esterno

Amazon EKS supporta l’utilizzo di provider di identità OpenID Connect (OIDC) come metodo per autenticare gli utenti nel cluster. I provider di identità OIDC possono essere utilizzati con o in alternativa all' AWS Identity and Access Management (IAM). Per ulteriori informazioni sull’utilizzo di IAM, consultare Concedere agli utenti e ai ruoli IAM l’accesso alle API Kubernetes. Dopo aver configurato l’autenticazione per il cluster, è possibile creare roles e clusterroles Kubernetes per assegnare autorizzazioni ai ruoli e quindi associare i ruoli alle identità utilizzando rolebindings e clusterrolebindings Kubernetes. Per ulteriori informazioni, consulta Using RBAC Authorization nella documentazione di Kubernetes.

Il numero di provider di identità OIDC che puoi associare a un cluster dipende dalla versione Kubernetes del cluster. Sui cluster che eseguono Kubernetes versione 1.32 o successiva, puoi associare fino a 10 provider di identità OIDC. La dimensione combinata di tutte le configurazioni dei provider OIDC deve essere inferiore a 12 KB. Nei cluster che eseguono una versione precedente alla 1.32, è possibile associare un solo provider di identità OIDC.

Associazione di un provider di identità OIDC

Prima di associare un provider di identità OIDC al cluster, è necessario ottenere dal provider le seguenti informazioni:

È possibile associare un provider di identità utilizzando eksctl o il Console di gestione AWS.

Associazione di un provider di identità usando eksctl

Associa un provider di identità utilizzando il AWS Console

Procedure consigliate per più provider di identità

Usa nome utente e prefissi di gruppo: imposta un prefisso nome utente (usernamePrefix) e un prefisso di gruppo (groupsPrefix) per ogni provider di identità OIDC per ridurre la possibilità che le identità di diversi provider si sovrappongano. Se non utilizzi i prefissi, utilizza le dichiarazioni relative al nome utente e ai gruppi che sono uniche per ogni provider. Entrambi gli approcci assicurano che due provider non possano produrre lo stesso nome utente o gruppo Kubernetes.

Convalida le dichiarazioni dei token: utilizza required claims (requiredClaims) per specificare le coppie chiave-valore che devono essere presenti nel token ID, in modo che il cluster accetti solo i token che autorizzi.

Limita le attestazioni in ogni token: configura il tuo provider di identità in modo che emetta token solo con le attestazioni necessarie al tuo cluster. La limitazione delle attestazioni riduce le informazioni esposte se un token viene compromesso.

Policy IAM di esempio

Se si desidera impedire che un provider di identità OIDC venga associato a un cluster, creare e associare le seguenti policy IAM agli account IAM degli amministratori Amazon EKS. Per ulteriori informazioni, consulta Creating IAM policies e Adding IAM identity permissions nella Guida per l’utente IAM e nelle Actions in Service Authorization Reference.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "denyOIDC",
            "Effect": "Deny",
            "Action": [
                "eks:AssociateIdentityProviderConfig"
            ],
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/*"

        },
        {
            "Sid": "eksAdmin",
            "Effect": "Allow",
            "Action": [
                "eks:*"
            ],
            "Resource": "*"
        }
    ]
}

La seguente policy di esempio consente l’associazione del provider di identità OIDC se il clientID è kubernetes e la issuerUrl è https://cognito-idp.us-west-2.amazonaws.com/*.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "AllowCognitoOnly",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotLikeIfExists": {
                    "eks:issuerUrl": "https://cognito-idp.us-west-2.amazonaws.com/*"
                }
            }
        },
        {
            "Sid": "DenyOtherClients",
            "Effect": "Deny",
            "Action": "eks:AssociateIdentityProviderConfig",
            "Resource": "arn:aws:eks:us-west-2:111122223333:cluster/my-instance",
            "Condition": {
                "StringNotEquals": {
                    "eks:clientId": "kubernetes"
                }
            }
        },
        {
            "Sid": "AllowOthers",
            "Effect": "Allow",
            "Action": "eks:*",
            "Resource": "*"
        }
    ]
}