Amazon EKS 集群 IAM 角色 - Amazon EKS
检查现有集群角色创建 Amazon EKS 集群角色
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon EKS 集群 IAM 角色

Amazon EKS 管理的 Kubernetes 集群代表您调用其他 AWS 服务，以管理您与该服务一起使用的资源。必须先使用以下 IAM 策略创建 Amazon EKS 角色，然后才能创建 IAM 集群：

注意

在 2020 年 4 月 16 日之前，AmazonEKSServicePolicy 也是必需的，建议的名称是 eksServiceRole. 对于 AWSServiceRoleForAmazonEKS 服务相关角色，在 2020 年 4 月 16 日或之后创建的集群不再需要该策略。

检查现有集群角色

可使用以下过程检查并确定您的账户是否已有 Amazon EKS 集群角色。

在 eksClusterRole 控制台中检查 IAM

  1. 通过以下网址打开 IAM 控制台：https://console.amazonaws.cn/iam/。

  2. 在导航面板中，选择 Roles。

  3. 在角色列表中搜索 eksClusterRole. 如果包含 eksClusterRole 的角色不存在，请参阅创建 Amazon EKS 集群角色以创建角色。如果包含 eksClusterRole 的角色确实存在，则选择角色以查看附加的策略。

  4. 选择 Permissions.

  5. 确保将 AmazonEKSClusterPolicy 托管策略附加到该角色。如果附加该策略，则将正确配置 Amazon EKS 集群角色。

  6. 选择 Trust Relationships，然后选择 Edit Trust Relationship.

  7. 验证信任关系是否包含以下策略。如果信任关系符合以下策略，请选择 Cancel. 如果信任关系不符合，请将策略复制到 Policy Document 窗口中并选择 Update Trust Policy. 

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

创建 Amazon EKS 集群角色

您可以使用 AWS 管理控制台 或 AWS CloudFormation 为您的账户创建集群角色（如果尚不具有此角色）。

在 IAM 控制台中创建 Amazon EKS 集群角色

  1. 通过以下网址打开 IAM 控制台：https://console.amazonaws.cn/iam/。

  2. 选择 Roles，然后选择 Create role。

  3. 从服务列表中选择 EKS,为您的使用案例选择 EKS - Cluster,然后选择 Next: (下一步:)。权限。

  4. 选择 Next: (下一步:)。 标签。

  5. （可选）通过以键值对的形式附加标签来向角色添加元数据。有关在 IAM 中使用标签的更多信息,请参阅 中的标记 IAM 实体。IAM 用户指南

  6. 选择 Next: (下一步:)。 审核。

  7. 对于 Role name (角色名称)，输入您的角色的唯一名称，如 eksClusterRole，然后选择 Create role (创建角色)。

使用 AWS CloudFormation 创建 Amazon EKS 集群角色

  1. 将以下 AWS CloudFormation 模板保存到本地系统中的文本文件。

    ---
AWSTemplateFormatVersion: '2010-09-09'
Description: 'Amazon EKS Cluster Role'


Resources:

  eksClusterRole:
    Type: AWS::IAM::Role
    Properties:
      AssumeRolePolicyDocument:
        Version: '2012-10-17'
        Statement:
        - Effect: Allow
          Principal:
            Service:
            - eks.amazonaws.com
          Action:
          - sts:AssumeRole
      ManagedPolicyArns:
        - arn:aws:iam::aws:policy/AmazonEKSClusterPolicy

Outputs:

  RoleArn:
    Description: The role that Amazon EKS will use to create AWS resources for Kubernetes clusters
    Value: !GetAtt eksClusterRole.Arn
    Export:
      Name: !Sub "${AWS::StackName}-RoleArn"
    注意

    在 2020 年 4 月 16 日之前,ManagedPolicyArns 有一个 arn:aws:iam::aws:policy/AmazonEKSServicePolicy 条目。 对于 AWSServiceRoleForAmazonEKS 服务相关角色,不再需要该策略。

  2. 从 https://console.amazonaws.cn/cloudformation 打开 AWS CloudFormation 控制台。

  3. 选择创建堆栈。

  4. 对于指定模板，选择上传模板文件，然后选择选择文件。

  5. 选择您之前创建的文件，然后选择下一步。

  6. 对于 Stack name (堆栈名称)，输入角色的名称，如 eksClusterRole，然后选择 Next (下一步)。

  7. 在 Configure stack options (配置堆栈选项) 页面上，选择 Next (下一步)。

  8. 在审核页面上，审核您的信息，确认堆栈可创建 IAM 资源，然后选择创建堆栈。