通过 OpenID Connect 身份提供商对集群的用户进行身份验证

使用 eksctl 将 OIDC 身份提供商与您的集群关联

1. 使用以下内容创建名为 associate-identity-provider.yaml 的文件。将 example values 替换为您自己的值。identityProviders 部分中的值是从 OIDC 身份提供商处获取的。仅 identityProviders 下的 name、type、issuerUrl 和 clientId 设置需要相应值。

   ---
   apiVersion: eksctl.io/v1alpha5
   kind: ClusterConfig
   
   metadata:
     name: my-cluster
     region: your-region-code
   
   identityProviders:
     - name: my-provider
       type: oidc
       issuerUrl: https://example.com
       clientId: kubernetes
       usernameClaim: email
       usernamePrefix: my-username-prefix
       groupsClaim: my-claim
       groupsPrefix: my-groups-prefix
       requiredClaims:
         string: string
       tags:
         env: dev

   重要

   不要为 groupsPrefix 或 usernamePrefix 指定 system: 或该字符串的任何部分。

2. 创建提供商。

   eksctl associate identityprovider -f associate-identity-provider.yaml

3. 要使用 kubectl 与您的集群和 OIDC 身份提供商搭配使用，请参阅 Kubernetes 文档中的使用 kubectl。

使用 Amazon Web Services Management Console 将 OIDC 身份提供商与您的集群关联

1. 从以下位置打开 Amazon EKS 控制台：https://console.aws.amazon.com/eks/home#/clusters。

2. 选择您的集群。

3. 选择 Configuration（配置）选项卡，然后选择 Authentication（身份验证）选项卡。

4. 在 OIDC Identity Providers（OIDC 身份提供商）页面上，选择 Associate Identity Provider（关联身份提供商）。

5. 在 Associate OIDC Identity Provider（关联 OIDC 身份提供商）页面上，输入或选择以下选项，然后选择 Associate（关联）。

   • 对于 Name（名称），为提供商输入一个唯一的名称。

   • 对于 Issuer URL（发布者 URL），输入您的提供商的 URL。此 URL 必须可通过 Internet 进行访问。

   • 对于 Client ID（客户端 ID），输入 OIDC 身份提供商的客户端 ID（也称为受众）。

   • 对于 Username claim（用户名声明），输入要用作用户名的声明。

   • 对于 Groups claim（组声明），输入要用作用户的组的声明。

   • （可选）选择 Advanced options（高级选项），输入或选择以下信息。

     • Username prefix（用户名前缀）– 输入要加在用户名声明前面的前缀。该前缀加在用户名声明前面，以防止与现有名称发生冲突。如果您未提供值，并且用户名为 email 之外的值，则前缀默认为 Issuer URL（发布者 URL）的值。您可以使用值 - 来禁用所有前缀。不要指定 system: 或该字符串的任何部分。

     • 组前缀 – 输入要加在组声明前面的前缀。该前缀加在组声明前面，以防止与现有名称（如 system: groups）发生冲突。例如，值 oidc: 会创建组名称，如 oidc:engineering 和 oidc:infra。不要指定 system: 或该字符串的任何部分。

     • Required claims（所需声明）– 选择 Add claim（添加声明），然后在客户端 ID 令牌中输入描述所需声明的一个或多个键值对。这些键值对描述了 ID 令牌中所需的声明。如果设置，则验证每个声明是否存在于具有匹配值的 ID 令牌中。

6. 要使用 kubectl 与您的集群和 OIDC 身份提供商搭配使用，请参阅 kubectl 文档中的使用 Kubernetes。