Amazon Elastic Kubernetes Service 的操作、资源和条件键

Amazon Elastic Kubernetes Service（服务前缀：eks）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon Elastic Kubernetes Service 定义的操作
Amazon Elastic Kubernetes Service 定义的资源类型
Amazon Elastic Kubernetes Service 的条件键

Amazon Elastic Kubernetes Service 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

“操作” 表的 “访问级别” 列描述了如何对操作进行分类（列出、读取、权限管理或标记）。此分类可以帮助您了解当您在策略中使用操作时，相应操作授予的访问级别。有关访问级别的更多信息，请参阅策略摘要中的访问级别。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

“操作” 表格的 “依赖操作” 列显示成功调用操作可能需要的其他权限。除了操作本身的权限外，可能还需要这些权限。当操作指定依赖操作时，这些依赖关系可能适用于为该操作定义的其他资源，而不仅仅是表格中列出的第一个资源。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
AccessKubernetesApi [仅权限]	授予通过 EKS 控制台查看 Kubernetes 对象的权限 Amazon	读取	cluster*
AssociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目关联的权限	写入	access-entry*
AssociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目关联的权限	写入		eks:policyArn eks:namespaces eks:accessScope
AssociateEncryptionConfig	授予权限以将加密配置关联到集群	Write	cluster*
AssociateIdentityProviderConfig	授予权限以将身份提供商配置关联到集群	写入	cluster*
AssociateIdentityProviderConfig	授予权限以将身份提供商配置关联到集群	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:clientId eks:issuerUrl
CreateAccessEntry	授予创建 Amazon EKS 访问条目的权限	写入	cluster*
CreateAccessEntry	授予创建 Amazon EKS 访问条目的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:principalArn eks:kubernetesGroups eks:username eks:accessEntryType
CreateAddon	授予权限以创建 Amazon EKS 附加组件	Write	cluster*
			podidentityassociation
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCluster	授予权限以创建 Amazon EKS 集群	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:bootstrapClusterCreatorAdminPermissions eks:bootstrapSelfManagedAddons eks:authenticationMode eks:supportType eks:computeConfigEnabled eks:elasticLoadBalancingEnabled eks:blockStorageEnabled
CreateEksAnywhereSubscription	授予创建 EKS Anywhere 订阅的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateFargateProfile	授予创建 Amazon Fargate 个人资料的权限	写入	cluster*
CreateFargateProfile	授予创建 Amazon Fargate 个人资料的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateNodegroup	授予权限以创建 Amazon EKS 节点组	写入	cluster*
CreateNodegroup	授予权限以创建 Amazon EKS 节点组	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreatePodIdentityAssociation	授予创建 EKS 容器组身份关联的权限	写入	cluster*
CreatePodIdentityAssociation	授予创建 EKS 容器组身份关联的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccessEntry	授予删除 Amazon EKS 访问条目的权限	写入	access-entry*
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	Write	addon*
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	Write	podidentityassociation
DeleteCluster	授予权限以删除 Amazon EKS 集群	写入	cluster*
DeleteEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	写入	eks-anywhere-subscription*
DeleteFargateProfile	授予删除 Amazon Fargate 个人资料的权限	写入	fargateprofile*
DeleteNodegroup	授予权限以删除 Amazon EKS 节点组	写入	nodegroup*
DeletePodIdentityAssociation	授予删除 EKS 容器组身份关联的权限	写入	podidentityassociation*
DeregisterCluster	授予取消注册外部集群的权限	写入	cluster*
DescribeAccessEntry	授予描述 Amazon EKS 访问条目的权限	读取	access-entry*
DescribeAddon	授予权限以检索有关 Amazon EKS 附加组件的描述性信息	读取	addon*
DescribeAddonConfiguration	授予列出有关 Amazon EKS 附加组件的配置选项的权限	读取
DescribeAddonVersions	授予权限以检索有关 Amazon EKS Add-ons 支持的附加组件的描述性版本信息	Read
DescribeCluster	授予权限以检索有关 Amazon EKS 集群的描述性信息	读取	cluster*
DescribeClusterVersions	授予权限以检索有关 Amazon EKS 集群支持的 Kubernetes 版本的描述性信息	读取
DescribeEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	读取	eks-anywhere-subscription*
DescribeFargateProfile	授予检索与集群关联的 Far Amazon gate 配置文件的描述性信息的权限	读取	fargateprofile*
DescribeIdentityProviderConfig	授予权限以检索与集群关联的 Idp config 的相关描述性信息	读取	identityproviderconfig*
DescribeInsight	授予检索指定集群中检测到的见解的描述性信息的权限	读取	cluster*
DescribeInsightsRefresh	授予检索最新按需集群见解刷新操作状态的权限	读取	cluster*
DescribeNodegroup	授予权限以检索有关 Amazon EKS 节点组的描述性信息	读取	nodegroup*
DescribePodIdentityAssociation	授予描述 EKS 容器组身份关联的权限	读取	podidentityassociation*
DescribeUpdate	授予权限以检索给定 Amazon EKS cluster/nodegroup/add 的给定更新（在指定或默认区域）	读取	cluster*
			addon
			nodegroup
DisassociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目取消关联的权限	写入	access-entry*
DisassociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目取消关联的权限	写入		eks:policyArn eks:namespaces eks:accessScope
DisassociateIdentityProviderConfig	授予权限以删除关联的 Idp config	写入	identityproviderconfig*
ListAccessEntries	授予列出所有 Amazon EKS 访问条目的权限	列表	cluster*
ListAccessPolicies	授予列出 Amazon EKS 访问策略的权限	列表
ListAddons	授予在您的 Amazon Web Services 账户（指定或默认区域）列出给定集群的 Amazon EKS 插件的权限	列表	cluster*
ListAssociatedAccessPolicies	授予列出关联访问策略与 Amazon EKS 访问条目的权限	列表	access-entry*
ListClusters	授予列出您的 Amazon Web Services 账户（指定或默认区域）中的 Amazon EKS 集群的权限	列表
ListDashboardData	授予列出仪表板数据的权限。Amazon EKS 控制面板汇总了有关跨多个账户和区域的集群资源的信息。控制面板包含有关 EC2 实例和 EKS 集群版本的信息	读取	dashboard*
ListDashboardResources	授予列出仪表板资源的权限。Amazon EKS 控制面板汇总了有关跨多个账户和区域的集群资源的信息。控制面板包含有关 EC2 实例和 EKS 集群版本的信息	读取	dashboard*
ListEksAnywhereSubscriptions	授予列出 EKS Anywhere 订阅的权限	列表
ListFargateProfiles	授予列出您 Amazon Web Services 账户（在指定或默认区域）中与给定集群关联的 Amazon Fargate 配置文件的权限	列表	cluster*
ListIdentityProviderConfigs	授予列出您 Amazon Web Services 账户（在指定或默认区域）中与给定集群关联的 Idp 配置的权限	列表	cluster*
ListInsights	授予列出指定集群的所有检测见解的权限	列表	cluster*
ListNodegroups	授予权限以列出您的 Amazon Web Services 账户（在指定或默认区域）连接到给定集群的 Amazon EKS 节点组	列表	cluster*
ListPodIdentityAssociations	授予列出 EKS 容器组身份关联的权限	列表	cluster*
ListTagsForResource	授予列出指定资源的标签的权限	读取	addon
			cluster
			dashboard
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
ListUpdates	授予列出给定 Amazon EKS cluster/nodegroup/add 更新的权限（在指定或默认区域）	列表	cluster*
			addon
			nodegroup
MutateViaKubernetesApi [仅权限]	授予通过控制台修改 Kubernetes 对象的权限 Amazon	写入	cluster*
RegisterCluster	授予注册外部集群的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
StartInsightsRefresh	授予启动按需刷新操作以获取集群见解的权限，在标准刷新计划之外获取最新分析	写入	cluster*
TagResource	授予标记指定资源的权限	Tagging	access-entry
			addon
			cluster
			dashboard
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予取消标记指定资源的权限	标记	access-entry
			addon
			cluster
			dashboard
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:TagKeys
UpdateAccessEntry	授予更新 Amazon EKS 访问条目的权限	写入	access-entry*
UpdateAddon	授予权限以更新 Amazon EKS 附加组件配置，例如 VPC-CNI 版本	Write	addon*
UpdateAddon	授予权限以更新 Amazon EKS 附加组件配置，例如 VPC-CNI 版本	Write	podidentityassociation
UpdateClusterConfig	授予权限以更新 Amazon EKS 集群配置（例如，API 服务器终端节点访问）	Write	cluster*
UpdateClusterConfig	授予权限以更新 Amazon EKS 集群配置（例如，API 服务器终端节点访问）	Write		eks:authenticationMode eks:supportType eks:computeConfigEnabled eks:elasticLoadBalancingEnabled eks:blockStorageEnabled
UpdateClusterVersion	授予权限以更新 Amazon EKS 集群的 Kubernetes 版本	写入	cluster*
UpdateEksAnywhereSubscription	授予更新 EKS Anywhere 订阅的权限	写入	eks-anywhere-subscription*
UpdateNodegroupConfig	授予更新 Amazon EKS 节点组配置（例如：min/max/desired容量或标签）的权限	写入	nodegroup*
UpdateNodegroupVersion	授予权限以更新 Amazon EKS 节点组的 Kubernetes 版本	写入	nodegroup*
UpdatePodIdentityAssociation	授予更新 EKS 容器组身份关联的权限	写入	podidentityassociation*

Amazon Elastic Kubernetes Service 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
cluster	`arn:${Partition}:eks:${Region}:${Account}:cluster/${ClusterName}`	aws:ResourceTag/${TagKey}
nodegroup	`arn:${Partition}:eks:${Region}:${Account}:nodegroup/${ClusterName}/${NodegroupName}/${UUID}`	aws:ResourceTag/${TagKey}
addon	`arn:${Partition}:eks:${Region}:${Account}:addon/${ClusterName}/${AddonName}/${UUID}`	aws:ResourceTag/${TagKey}
fargateprofile	`arn:${Partition}:eks:${Region}:${Account}:fargateprofile/${ClusterName}/${FargateProfileName}/${UUID}`	aws:ResourceTag/${TagKey}
identityproviderconfig	`arn:${Partition}:eks:${Region}:${Account}:identityproviderconfig/${ClusterName}/${IdentityProviderType}/${IdentityProviderConfigName}/${UUID}`	aws:ResourceTag/${TagKey}
eks-anywhere-subscription	`arn:${Partition}:eks:${Region}:${Account}:eks-anywhere-subscription/${UUID}`	aws:ResourceTag/${TagKey}
podidentityassociation	`arn:${Partition}:eks:${Region}:${Account}:podidentityassociation/${ClusterName}/${UUID}`	aws:ResourceTag/${TagKey}
access-entry	`arn:${Partition}:eks:${Region}:${Account}:access-entry/${ClusterName}/${IamIdentityType}/${IamIdentityAccountID}/${IamIdentityName}/${UUID}`	aws:ResourceTag/${TagKey} eks:accessEntryType eks:clusterName eks:kubernetesGroups eks:principalArn eks:username
access-policy	`arn:${Partition}:eks::aws:cluster-access-policy/${AccessPolicyName}`
dashboard	`arn:${Partition}:eks:${Region}:${Account}:dashboard/${DashboardName}`	aws:ResourceTag/${TagKey}

Amazon Elastic Kubernetes Service 的条件键

Amazon Elastic Kubernetes Service 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件密钥，请参阅Amazon 全局条件上下文密钥。

条件键	描述	类型
aws:RequestTag/${TagKey}	按用户向 EKS 服务发出的请求中包含的键筛选访问	字符串
aws:ResourceTag/${TagKey}	按标签键值对筛选访问	字符串
aws:TagKeys	按用户向 EKS 服务发出的请求中包含的所有标签键名称的列表筛选访问	ArrayOfString
eks:accessEntryType	按用户向 EKS 服务发出的访问条目请求中所包含的访问条目类型筛选访问权限	字符串
eks:accessScope	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 accessScope 筛选访问权限	字符串
eks:authenticationMode	按创建/更新集群请求中所包含的身份验证模式筛选访问权限	字符串
eks:blockStorageEnabled	在创建/更新集群请求中按启用块存储的参数筛选访问权限	布尔型
eks:bootstrapClusterCreatorAdminPermissions	按创建集群请求中的 bootstrapClusterCreatorAdminPermissions 当前用户筛选访问权限	布尔型
eks:bootstrapSelfManagedAddons	按创建集群请求中存在的 bootstrapSelfManaged插件筛选访问权限	布尔型
eks:clientId	筛选用户向 EKS 服务发出的 C associateIdentityProvider onfig 请求中存在的 ClientId 的访问权限	字符串
eks:clusterName	按用户向 EKS 服务发出的访问条目请求中所包含的 clusterName 筛选访问权限	字符串
eks:computeConfigEnabled	在创建/更新集群请求中按启用计算配置的参数筛选访问权限	布尔型
eks:elasticLoadBalancingEnabled	在创建/更新集群请求中按启用弹性负载平衡的参数筛选访问权限	布尔型
eks:issuerUrl	按用户向 EKS 服务发出的 Confi associateIdentityProvider g 请求中存在的 issuerUrl 筛选访问权限	字符串
eks:kubernetesGroups	按用户向 EKS 服务发出的访问条目请求中所包含的 kubernetesGroups 筛选访问权限	ArrayOfString
eks:namespaces	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 namespaces 筛选访问权限	ArrayOfString
eks:policyArn	按用户向 EKS 服务发出的访问条目请求中所包含的 policyArn 筛选访问权限	ARN
eks:principalArn	按用户向 EKS 服务发出的访问条目请求中所包含的 principalArn 筛选访问权限	ARN
eks:supportType	按创建/更新集群请求中所包含的 supportType 筛选访问权限	字符串
eks:username	按用户向 EKS 服务发出的访问条目请求中所包含的 Kubernetes 用户名筛选访问权限	字符串

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon Elastic File System

Amazon Elastic Load Balancing