允许 IAM 角色或用户访问您的 Amazon EKS 集群上的 Kubernetes 对象

• 创建访问条目 – 如果您的集群等于或高于集群 Kubernetes 版本的先决条件部分中列出的平台版本，我们建议您使用此选项。

  使用访问条目管理集群外的 IAM 主体的 Kubernetes 权限。您可以使用 EKS API、Amazon Command Line Interface、Amazon SDK、Amazon CloudFormation 和 Amazon Web Services Management Console 来添加和管理对集群的访问权限。这意味着您可以使用与创建集群相同的工具来管理用户。

  要开始使用，请先 设置访问条目，然后 将现有 aws-auth ConfigMap 条目迁移至访问条目。

• 向 aws-auth ConfigMap 中添加条目 – 如果您的集群的平台版本早于先决条件部分中列出的版本，则必须使用此选项。如果您的集群的平台版本等于或高于集群 Kubernetes 版本的先决条件部分中列出的平台版本，并且您已向 ConfigMap 中添加了条目，那么我们建议您将这些条目迁移到访问条目。但是，您无法迁移 Amazon EKS 添加到 ConfigMap 的条目，例如与托管节点组一起使用的 IAM 角色的条目或 Fargate 配置文件。有关更多信息，请参阅 让 IAM 主体访问您的集群。

先决条件

• 熟悉 Amazon EKS 集群的集群访问选项。有关更多信息，请参阅 允许用户访问您的集群。

• 现有 Amazon EKS 集群。要部署一个角色，请参阅 开始使用 Amazon EKS。要使用访问条目并更改集群的身份验证模式，集群的平台版本必须与下表中所列的版本相同或更高，或者 Kubernetes 版本必须比下表中所列的版本更高。

  Kubernetes 版本	平台版本
  1.28	eks.6
  1.27	eks.10
  1.26	eks.11
  1.25	eks.12
  1.24	eks.15
  1.23	eks.17

  您可以通过将以下命令中的 my-cluster 替换为集群名称，然后运行修改后的命令 aws eks describe-cluster --name my-cluster --query 'cluster.{"Kubernetes Version": version, "Platform Version": platformVersion}' 来检查当前的 Kubernetes 和平台版本。

  重要

  在 Amazon EKS 将您的集群更新到表中列出的平台版本后，Amazon EKS 会为最初创建集群的 IAM 主体创建一个具有集群管理员权限的访问条目。如果您不希望该 IAM 主体拥有集群的管理员权限，请移除 Amazon EKS 创建的访问条目。

  对于平台版本早于上表所列版本的集群，集群创建者始终是集群管理员。无法从创建集群的 IAM 用户或角色中移除集群管理员权限。

• 对您的集群具有以下权限的 IAM 主体：CreateAccessEntry、ListAccessEntries、DescribeAccessEntry、DeleteAccessEntry 和 UpdateAccessEntry。有关 Amazon EKS 权限的更多信息，请参阅《服务授权参考》中的 Amazon Elastic Kubernetes Service 定义的操作。

• 要为其创建访问条目的现有 IAM 主体，或者要更新或删除的现有访问条目。

注意事项

在创建访问条目之前，请考虑以下事项：

• 访问条目包含一个（且仅限一个）现有 IAM 主体的 Amazon 资源名称（ARN）。一个 IAM 主体不能包含在多个访问条目中。您指定的 ARN 的其他注意事项：

  • IAM 最佳实践建议使用具有短期凭证的 IAM 角色而不是具有长期凭证的 IAM 用户访问您的集群。有关更多信息，请参阅《IAM 用户指南》中的 要求人类用户使用带有身份提供者的联合身份验证才能使用临时凭证访问 Amazon。

  • 如果 ARN 适用于 IAM 角色，则可以包含路径。aws-auth ConfigMap 条目中的 ARN 不能包含路径。例如，您的 ARN 可以是 arn:aws:iam::111122223333:role/development/apps/my-role 或 arn:aws:iam::111122223333:role/my-role。

  • 如果访问条目的类型不是 Standard（请参阅下文关于类型的注意事项），则 ARN 必须位于与您的集群相同的 Amazon Web Services 账户。如果类型为 Standard，则 ARN 可以位于与您的集群所在的账户相同或不同的 Amazon Web Services 账户。

  • 在创建访问条目后，您将无法更改 IAM 主体。

  • 如果您删除了具有此 ARN 的 IAM 主体，则访问条目不会自动删除。对于已删除的 IAM 主体，我们建议您删除具有 ARN 的访问条目。如果您不删除访问条目并重新创建 IAM 主体，即使该访问条目具有相同的 ARN，也将无法运行。这是因为尽管重新创建的 IAM 主体的 ARN 相同，但对于重新创建的 IAM 主体，roleID 或 userID（您可以用 aws sts get-caller-identity Amazon CLI 命令查看）与原始 IAM 主体不同。即使您看不到 IAM 主体的 roleID 或 userID 访问条目，Amazon EKS 也会将其与访问条目一起存储。

• 每个访问条目都有一种类型。您可以将 EC2 Linux（用于与 Linux 或 Bottlerocket 自行管理的节点一起使用的 IAM 角色）、EC2 Windows（用于与 Windows 自行管理的节点一起使用的 IAM 角色）、FARGATE_LINUX（用于与 Amazon Fargate (Fargate) 一起使用的 IAM 角色）或 Standard 指定为一种类型。如果您不指定类型，则 Amazon EKS 会自动将类型设置为 Standard。无需为用于托管节点组或 Fargate 配置文件的 IAM 角色创建访问条目，因为无论您的集群处于哪个平台版本，Amazon EKS 都会将这些角色的条目添加到 aws-auth ConfigMap 中。

  在创建访问条目后，您将无法更改类型。

• 如果访问条目的类型为 Standard，则可以为该访问条目指定用户名。如果您没有为用户名指定值，Amazon EKS 会根据访问条目的类型以及您指定的 IAM 主体是 IAM 角色还是 IAM 用户，为您设置以下值之一。除非您出于特定原因要指定自己的用户名，否则我们建议您不要指定用户名，而是让 Amazon EKS 为您自动生成用户名。如果您指定自己的用户名：

  • 不能以 system:、eks:、aws:、amazon: 或 iam: 开头。

  • 如果该用户名用于 IAM 角色，我们建议您在用户名的末尾添加 {{SessionName}}。如果您在用户名中添加 {{SessionName}}，则该用户名必须在 {{SessionName}} 之前加一个冒号。如果分派此角色，则分派此角色时指定的会话名称将自动传递到集群，并显示在 CloudTrail 日志中。例如，您不能将用户名设置为 john{{SessionName}}。用户名必须是 :john{{SessionName}} 或 jo:hn{{SessionName}}。冒号只能在 {{SessionName}} 前面。下表中由 Amazon EKS 生成的用户名包含一个 ARN。由于 ARN 包含冒号，因此符合此要求。如果用户名中未包含 {{SessionName}}，则不需要使用冒号。

  IAM 主体类型	Type	Amazon EKS 自动设置的用户名值
  用户	Standard	用户的 ARN。例如：arn:aws:iam::111122223333:user/my-user
  角色	Standard	分派角色时此角色的 STS ARN。Amazon EKS 会将 {{SessionName}} 附加到该角色中。 例如：arn:aws:sts::111122223333:assumed-role/my-role/{{SessionName}} 如果您指定的角色的 ARN 包含路径，Amazon EKS 会在生成的用户名中将其移除。
  角色	EC2 Linux 或 EC2 Windows	system:node:{{EC2PrivateDNSName}}
  角色	FARGATE_LINUX	system:node:{{SessionName}}

  创建访问条目后，您可以更改用户名。

• 如果访问条目的类型为 Standard，并且您想使用 Kubernetes RBAC 授权，则可以在访问条目中添加一个或多个组名。创建访问条目后，您可以添加和移除组名。要让 IAM 主体能够访问集群上的 Kubernetes 对象，您必须创建和管理 Kubernetes 基于角色的授权（RBAC）对象。在集群上创建 Kubernetes RoleBinding 或 ClusterRoleBinding 对象，将组名指定为 kind: Group 的 subject。Kubernetes 授权 IAM 主体访问您在 Kubernetes Role 或 ClusterRole 对象中指定的任何集群对象，这些对象也在绑定的 roleRef 中指定。如果您指定组名，我们建议您熟悉 Kubernetes 基于角色的授权（RBAC）对象。有关更多信息，请参阅 Kubernetes 文档中的使用 RBAC 授权。

  重要

  Amazon EKS 不会确认您的集群上存在的任何 Kubernetes RBAC 对象是否包含您指定的任何组名。

  或者除了 Kubernetes 授权 IAM 主体访问集群上的 Kubernetes 对象之外，您可以将 Amazon EKS 访问策略关联到访问条目。Amazon EKS 授权 IAM 主体使用访问策略中的权限访问您集群上的 Kubernetes 对象。您可以将访问策略的权限范围限定到您指定的 Kubernetes 命名空间。使用访问策略不需要您管理 Kubernetes RBAC 对象。有关更多信息，请参阅 将访问策略与访问条目关联和取消关联。

• 如果您创建类型为 EC2 Linux 或 EC2 Windows 的访问条目，则创建访问条目的 IAM 主体必须拥有 iam:PassRole 权限。有关更多信息，请参阅《IAM 用户指南》中的向用户授予权限以将角色传递给 Amazon Web Service。

• 与标准 IAM 行为类似，访问条目创建和更新最终是一致的，并且在初始 API 调用成功返回后可能需要几秒钟才能生效。您在设计应用程序时，必须考虑到这些可能的延迟。在应用程序的关键、高可用性代码路径中，我们不建议创建或更新访问条目。而应在不常运行的、单独的初始化或设置例程中进行 更改。另外，在生产工作流程依赖这些更改之前，请务必验证更改已传播。

• 访问条目不支持服务相关角色。如果主体 ARN 是服务相关角色，则无法创建访问条目。您可以通过服务相关角色的 ARN（格式为 arn:aws:iam::*:role/aws-service-role/*）来识别它们。