将 IAM 角色与服务账户关联 - Amazon EKS
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

将 IAM 角色与服务账户关联

在 Kubernetes 中，您通过添加以下注释到服务账户，定义 IAM 角色与集群中的服务账户关联。

注意

如果您已使用 eksctl 创建了 IAM 角色用于您的服务账户，则在您创建角色时就使用该服务账户完成了该操作。 

apiVersion: v1
kind: ServiceAccount
metadata:
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::<AWS_ACCOUNT_ID>:role/<IAM_ROLE_NAME>

Prerequisites

使用 IAM 角色对服务账户进行注释

  1. 使用以下命令可通过要用于服务账户的 IAM 角色的 ARN 注释您的服务账户。请务必将 <example values>（包括 <>）替换为您自己的值。 

    kubectl annotate serviceaccount -n <SERVICE_ACCOUNT_NAMESPACE> <SERVICE_ACCOUNT_NAME> \
eks.amazonaws.com/role-arn=arn:aws:iam::<AWS_ACCOUNT_ID>:role/<IAM_ROLE_NAME>
    注意

    如果您没有现有服务账户，则需要创建一个。有关更多信息，请参阅 Kubernetes 文档中的为 Pod 配置服务账户。要使服务账户能够使用 Kubernetes 权限，您必须创建 Role 或 ClusterRole，然后将角色绑定到服务账户。有关更多信息，请参阅 Kubernetes 文档中的使用 RBAC 授权。例如，在部署 AWS VPC CNI 插件时，部署清单将创建服务账户、集群角色和集群角色绑定。您可以在 上查看清单GitHub以用作示例。

  2. 删除并重新创建任何与服务账户关联的现有 Pod，以应用凭据环境变量。变异 Webhook 不将其应用到已经在运行的 Pod。以下命令删除现有 aws-node DaemonSet Pod 并使用服务账户注释部署它们。您可以修改命名空间、部署类型和标签，以更新您的特定 Pod。 

    kubectl delete pods -n <kube-system> -l <k8s-app=aws-node>

  3. 确认 Pod 已全部重新启动。

    kubectl get pods -n <kube-system>  -l <k8s-app=aws-node>

  4. 描述 Pod 之一并确保 AWS_WEB_IDENTITY_TOKEN_FILE 和 AWS_ROLE_ARN 环境变量存在。 

    kubectl exec -n kube-system aws-node-<9rgzw> env | grep AWS

    输出：

    AWS_VPC_K8S_CNI_LOGLEVEL=DEBUG
AWS_ROLE_ARN=arn:aws:iam::<AWS_ACCOUNT_ID>:role/<IAM_ROLE_NAME>
AWS_WEB_IDENTITY_TOKEN_FILE=/var/run/secrets/eks.amazonaws.com/serviceaccount/token