配置 Kubernetes 服务账户以使用 EKS 容器组身份分派 IAM 角色

从以下位置打开 Amazon EKS 控制台：https://console.aws.amazon.com/eks/home#/clusters。

在左侧导航窗格中，选择集群，然后为您要配置 EKS 容器组身份代理插件的集群选择集群名称。

选择访问选项卡。

在容器组身份关联中，选择创建。

对于 IAM 角色，选择具有工作负载所需权限的 IAM 角色。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "AllowEksAuthToAssumeRoleForPodIdentity",
            "Effect": "Allow",
            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            },
            "Action": [
                "sts:AssumeRole",
                "sts:TagSession"
            ]
        }
    ]
}

对于 Kubernetes 命名空间，选择包含服务账户和工作负载的 Kubernetes 命名空间。或者，您可以按名称指定集群中不存在的命名空间。

对于 Kubernetes 服务账户，选择要使用的 Kubernetes 服务账户。Kubernetes 工作负载清单必须指定此服务账户。或者，您可以按名称指定集群中不存在的服务账户。

（可选）对于标签，选择添加标签以在键值对中添加元数据。这些标签将应用于关联，并可在 IAM 策略中使用。

您可以重复此步骤以添加多个标签。

选择创建。

要将现有 IAM 策略关联到您的 IAM 角色，请跳至下一步。

创建一个 IAM 策略。您可以创建自己的策略，也可以复制已授予您部分所需权限的 Amazon 托管策略，并根据您的特定要求对其进行自定义。有关更多信息，请参阅《IAM 用户指南》中的创建 IAM 策略。

1. 创建一个包含 Pods 访问 Amazon Web Services 所需权限的文件。有关所有 Amazon Web Services 的所有操作的列表，请参阅服务授权参考。

   您可以运行以下命令创建一个示例策略文件，以实现对 Amazon S3 存储桶的只读访问权限。您可以选择将配置信息或引导脚本存储在此存储桶中，并且您 Pod 中的容器可以从存储桶读取文件并将其加载到应用程序中。如果您要创建此示例策略，请将以下内容复制到您的设备。将 my-pod-secrets-bucket 替换为您的存储桶名称并运行该命令。

   cat >my-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
           }
       ]
   }
   EOF
   

2. 创建 IAM 策略。

   aws iam create-policy --policy-name my-policy --policy-document file://my-policy.json
   

创建 IAM 角色并将其与 Kubernetes 服务账户关联。

确认角色和服务账户配置正确。

1. 确认 IAM 角色的信任策略配置正确。

   aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument
   

   示例输出如下。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Sid": "Allow EKS Auth service to assume this role for Pod Identities",
               "Effect": "Allow",
               "Principal": {
                   "Service": "pods.eks.amazonaws.com"
               },
               "Action": [
                   "sts:AssumeRole",
                   "sts:TagSession"
               ]
           }
       ]
   }

2. 确认您在上一步中附加到角色的策略已附加到该角色。

   aws iam list-attached-role-policies --role-name my-role --query AttachedPolicies[].PolicyArn --output text
   

   示例输出如下。

   arn:aws:iam::111122223333:policy/my-policy

3. 设置一个变量以存储要使用策略的 Amazon 资源名称（ARN）。将 my-policy 替换为要确认其权限的策略的名称。

   export policy_arn=arn:aws:iam::111122223333:policy/my-policy
   

4. 查看该策略的默认版本。

   aws iam get-policy --policy-arn $policy_arn
   

   示例输出如下。

   {
       "Policy": {
           "PolicyName": "my-policy",
           "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
           "Arn": "arn:aws:iam::111122223333:policy/my-policy",
           "Path": "/",
           "DefaultVersionId": "v1",
           [...]
       }
   }

5. 查看策略内容以确保该策略包括您的 Pod 所需的所有权限。如有必要，将以下命令中的 1 替换为上一个输出中返回的版本。

   aws iam get-policy-version --policy-arn $policy_arn --version-id v1
   

   示例输出如下。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "s3:GetObject",
               "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
           }
       ]
   }

   如果您在上一步中创建了示例策略，则您的输出与示例相同。如果您创建了其他策略，则与示例内容不同。