Amazon Elastic Kubernetes Service 的操作、资源和条件键

Amazon Elastic Kubernetes Service（服务前缀：eks）提供以下服务特定的资源、操作和条件上下文键以在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。

主题

Amazon Elastic Kubernetes Service 定义的操作
Amazon Elastic Kubernetes Service 定义的资源类型
Amazon Elastic Kubernetes Service 的条件键

Amazon Elastic Kubernetes Service 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 Amazon 中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作表的资源类型列指示每项操作是否支持资源级权限。如果该列没有任何值，您必须在策略语句的 Resource 元素中指定策略应用的所有资源（“*”）。通过在 IAM policy 中使用条件来筛选访问权限，以控制是否可以在资源或请求中使用特定标签键。如果操作具有一个或多个必需资源，则调用方必须具有使用这些资源来使用该操作的权限。必需资源在表中以星号 (*) 表示。如果您在 IAM policy 中使用 Resource 元素限制资源访问权限，则必须为每种必需的资源类型添加 ARN 或模式。某些操作支持多种资源类型。如果资源类型是可选的（未指示为必需），则可以选择使用一种可选资源类型。

操作表的条件键列包括可以在策略语句的 Condition 元素中指定的键。有关与服务资源关联的条件键的更多信息，请参阅资源类型表的条件键列。

注意

资源条件键在资源类型表中列出。您可以在操作表的资源类型（* 为必需）列中找到应用于某项操作的资源类型的链接。资源类型表中的资源类型包括条件密钥列，这是应用于操作表中操作的资源条件键。

有关下表中各列的详细信息，请参阅操作表。

操作	描述	访问级别	资源类型（* 为必需）	条件键
AccessKubernetesApi [仅权限]	授予权限以通过 Amazon EKS 控制台查看 Kubernetes 对象	读取	cluster*
AssociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目关联的权限	写入	access-entry*
AssociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目关联的权限	写入		eks:policyArn eks:namespaces eks:accessScope
AssociateEncryptionConfig	授予权限以将加密配置关联到集群	Write	cluster*
AssociateIdentityProviderConfig	授予权限以将身份提供商配置关联到集群	写入	cluster*
AssociateIdentityProviderConfig	授予权限以将身份提供商配置关联到集群	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:clientId eks:issuerUrl
CreateAccessEntry	授予创建 Amazon EKS 访问条目的权限	写入	cluster*
CreateAccessEntry	授予创建 Amazon EKS 访问条目的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:principalArn eks:kubernetesGroups eks:username eks:accessEntryType
CreateAddon	授予权限以创建 Amazon EKS 附加组件	Write	cluster*
			podidentityassociation
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCluster	授予权限以创建 Amazon EKS 集群	写入		aws:RequestTag/${TagKey} aws:TagKeys eks:bootstrapClusterCreatorAdminPermissions eks:bootstrapSelfManagedAddons eks:authenticationMode eks:supportType
CreateEksAnywhereSubscription	授予创建 EKS Anywhere 订阅的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreateFargateProfile	授予权限以创建 Amazon Fargate 配置文件	Write	cluster*
CreateFargateProfile	授予权限以创建 Amazon Fargate 配置文件	Write		aws:RequestTag/${TagKey} aws:TagKeys
CreateNodegroup	授予权限以创建 Amazon EKS 节点组	写入	cluster*
CreateNodegroup	授予权限以创建 Amazon EKS 节点组	写入		aws:RequestTag/${TagKey} aws:TagKeys
CreatePodIdentityAssociation	授予创建 EKS 容器组身份关联的权限	写入	cluster*
CreatePodIdentityAssociation	授予创建 EKS 容器组身份关联的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccessEntry	授予删除 Amazon EKS 访问条目的权限	写入	access-entry*
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	Write	addon*
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	Write	podidentityassociation
DeleteCluster	授予权限以删除 Amazon EKS 集群	写入	cluster*
DeleteEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	写入	eks-anywhere-subscription*
DeleteFargateProfile	授予权限以删除 Amazon Fargate 配置文件	Write	fargateprofile*
DeleteNodegroup	授予权限以删除 Amazon EKS 节点组	写入	nodegroup*
DeletePodIdentityAssociation	授予删除 EKS 容器组身份关联的权限	写入	podidentityassociation*
DeregisterCluster	授予取消注册外部集群的权限	写入	cluster*
DescribeAccessEntry	授予描述 Amazon EKS 访问条目的权限	读取	access-entry*
DescribeAddon	授予权限以检索有关 Amazon EKS 附加组件的描述性信息	读取	addon*
DescribeAddonConfiguration	授予列出有关 Amazon EKS 附加组件的配置选项的权限	读取
DescribeAddonVersions	授予权限以检索有关 Amazon EKS Add-ons 支持的附加组件的描述性版本信息	Read
DescribeCluster	授予权限以检索有关 Amazon EKS 集群的描述性信息	读取	cluster*
DescribeEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	读取	eks-anywhere-subscription*
DescribeFargateProfile	授予权限以检索与集群关联的 Amazon Fargate 配置文件的相关描述性信息	Read	fargateprofile*
DescribeIdentityProviderConfig	授予权限以检索与集群关联的 Idp config 的相关描述性信息	读取	identityproviderconfig*
DescribeInsight	授予检索指定集群中检测到的见解的描述性信息的权限	读取	cluster*
DescribeNodegroup	授予权限以检索有关 Amazon EKS 节点组的描述性信息	读取	nodegroup*
DescribePodIdentityAssociation	授予描述 EKS 容器组身份关联的权限	读取	podidentityassociation*
DescribeUpdate	授予权限以检索给定 Amazon EKS 集群/节点组/附加组件（在指定或默认区域中）的给定更新。	读取	cluster*
			addon
			nodegroup
DisassociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目取消关联的权限	写入	access-entry*
DisassociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目取消关联的权限	写入		eks:policyArn eks:namespaces eks:accessScope
DisassociateIdentityProviderConfig	授予权限以删除关联的 Idp config	写入	identityproviderconfig*
ListAccessEntries	授予列出所有 Amazon EKS 访问条目的权限	列出	cluster*
ListAccessPolicies	授予列出 Amazon EKS 访问策略的权限	列出
ListAddons	授予权限以列出您的 Amazon Web Services 账户（在指定或原定设置区域中）中针对给定集群的 Amazon EKS 附加组件	列出	cluster*
ListAssociatedAccessPolicies	授予列出关联访问策略与 Amazon EKS 访问条目的权限	列出	access-entry*
ListClusters	授予权限以列出您的 Amazon Web Services 账户（在指定或原定设置区域中）中的 Amazon EKS 集群	列出
ListEksAnywhereSubscriptions	授予列出 EKS Anywhere 订阅的权限	列出
ListFargateProfiles	授予权限以列出您的 Amazon Web Services 账户（在指定或原定设置区域中）中与给定集群关联的 Amazon Fargate 配置文件	List	cluster*
ListIdentityProviderConfigs	授予权限以列出您的 Amazon Web Services 账户（在指定或原定设置区域中）中与给定集群关联的 Idp config	列出	cluster*
ListInsights	授予列出指定集群的所有检测见解的权限	列出	cluster*
ListNodegroups	授予权限以列出您的 Amazon Web Services 账户（在指定或原定设置区域中）中附加到给定集群的 Amazon EKS 节点组	列出	cluster*
ListPodIdentityAssociations	授予列出 EKS 容器组身份关联的权限	列出	cluster*
ListTagsForResource	授予列出指定资源的标签的权限	Read	addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
ListUpdates	授予权限以列出给定 Amazon EKS 集群/节点组/附加组件（在指定或默认区域中）的更新	列出	cluster*
			addon
			nodegroup
RegisterCluster	授予注册外部集群的权限	写入		aws:RequestTag/${TagKey} aws:TagKeys
TagResource	授予标记指定资源的权限	Tagging	access-entry
			addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	授予取消标记指定资源的权限	标记	access-entry
			addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:TagKeys
UpdateAccessEntry	授予更新 Amazon EKS 访问条目的权限	写入	access-entry*
UpdateAddon	授予权限以更新 Amazon EKS 附加组件配置，例如 VPC-CNI 版本	Write	addon*
UpdateAddon	授予权限以更新 Amazon EKS 附加组件配置，例如 VPC-CNI 版本	Write	podidentityassociation
UpdateClusterConfig	授予权限以更新 Amazon EKS 集群配置（例如，API 服务器终端节点访问）	Write	cluster*
UpdateClusterConfig	授予权限以更新 Amazon EKS 集群配置（例如，API 服务器终端节点访问）	Write		eks:authenticationMode eks:supportType
UpdateClusterVersion	授予权限以更新 Amazon EKS 集群的 Kubernetes 版本	写入	cluster*
UpdateEksAnywhereSubscription	授予更新 EKS Anywhere 订阅的权限	写入	eks-anywhere-subscription*
UpdateNodegroupConfig	授予权限以更新 Amazon EKS 节点组配置（例如：最小/最大/所需容量或标签）	Write	nodegroup*
UpdateNodegroupVersion	授予权限以更新 Amazon EKS 节点组的 Kubernetes 版本	写入	nodegroup*
UpdatePodIdentityAssociation	授予更新 EKS 容器组身份关联的权限	写入	podidentityassociation*

Amazon Elastic Kubernetes Service 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。操作表中的每个操作指定了可以使用该操作指定的资源类型。您也可以在策略中包含条件键，从而定义资源类型。这些键显示在资源类型表的最后一列。有关下表中各列的详细信息，请参阅资源类型表。

资源类型	ARN	条件键
cluster	`arn:${Partition}:eks:${Region}:${Account}:cluster/${ClusterName}`	aws:ResourceTag/${TagKey}
nodegroup	`arn:${Partition}:eks:${Region}:${Account}:nodegroup/${ClusterName}/${NodegroupName}/${UUID}`	aws:ResourceTag/${TagKey}
addon	`arn:${Partition}:eks:${Region}:${Account}:addon/${ClusterName}/${AddonName}/${UUID}`	aws:ResourceTag/${TagKey}
fargateprofile	`arn:${Partition}:eks:${Region}:${Account}:fargateprofile/${ClusterName}/${FargateProfileName}/${UUID}`	aws:ResourceTag/${TagKey}
identityproviderconfig	`arn:${Partition}:eks:${Region}:${Account}:identityproviderconfig/${ClusterName}/${IdentityProviderType}/${IdentityProviderConfigName}/${UUID}`	aws:ResourceTag/${TagKey}
eks-anywhere-subscription	`arn:${Partition}:eks:${Region}:${Account}:eks-anywhere-subscription/${UUID}`	aws:ResourceTag/${TagKey}
podidentityassociation	`arn:${Partition}:eks:${Region}:${Account}:podidentityassociation/${ClusterName}/${UUID}`	aws:ResourceTag/${TagKey}
access-entry	`arn:${Partition}:eks:${Region}:${Account}:access-entry/${ClusterName}/${IamIdentityType}/${IamIdentityAccountID}/${IamIdentityName}/${UUID}`	aws:ResourceTag/${TagKey} eks:accessEntryType eks:clusterName eks:kubernetesGroups eks:principalArn eks:username
access-policy	`arn:${Partition}:eks::aws:cluster-access-policy/${AccessPolicyName}`

Amazon Elastic Kubernetes Service 的条件键

Amazon Elastic Kubernetes Service 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。您可以使用这些键进一步细化应用策略语句的条件。有关下表中各列的详细信息，请参阅条件键表。

要查看适用于所有服务的全局条件键，请参阅可用的全局条件键。

条件键	描述	类型
aws:RequestTag/${TagKey}	按用户向 EKS 服务发出的请求中包含的键筛选访问	String
aws:ResourceTag/${TagKey}	按标签键值对筛选访问	String
aws:TagKeys	按用户向 EKS 服务发出的请求中包含的所有标签键名称的列表筛选访问	字符串数组
eks:accessEntryType	按用户向 EKS 服务发出的访问条目请求中所包含的访问条目类型筛选访问权限	String
eks:accessScope	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 accessScope 筛选访问权限	String
eks:authenticationMode	按创建/更新集群请求中所包含的身份验证模式筛选访问权限	String
eks:bootstrapClusterCreatorAdminPermissions	按创建集群请求中所包含的 bootstrapClusterCreatorAdminPermissions 筛选访问权限	布尔型
eks:bootstrapSelfManagedAddons	按创建集群请求中所包含的 bootstrapSelfManagedAddons 筛选访问权限	布尔型
eks:clientId	按用户向 EKS 服务发出的 associateIdentityProviderConfig 请求中包含的 clientId 筛选访问	String
eks:clusterName	按用户向 EKS 服务发出的访问条目请求中所包含的 clusterName 筛选访问权限	String
eks:issuerUrl	按用户向 EKS 服务发出的 associateIdentityProviderConfig 请求中包含的 issuerUrl 筛选访问	String
eks:kubernetesGroups	按用户向 EKS 服务发出的访问条目请求中所包含的 kubernetesGroups 筛选访问权限	字符串数组
eks:namespaces	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 namespaces 筛选访问权限	字符串数组
eks:policyArn	按用户向 EKS 服务发出的访问条目请求中所包含的 policyArn 筛选访问权限	ARN
eks:principalArn	按用户向 EKS 服务发出的访问条目请求中所包含的 principalArn 筛选访问权限	ARN
eks:supportType	按创建/更新集群请求中所包含的 supportTye 筛选访问权限	String
eks:username	按用户向 EKS 服务发出的访问条目请求中所包含的 Kubernetes 用户名筛选访问权限	String

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

Amazon Elastic File System

Amazon Elastic Load Balancing