Migrieren vorhandener aws-auth ConfigMap-Einträge zu Zugriffseinträgen

Wenn Sie aws-auth ConfigMap auf Ihrem Cluster Einträge hinzugefügt haben, empfehlen wir Ihnen, Zugriffseinträge für die vorhandenen Einträge in Ihrem zu erstellen aws-authConfigMap. Nach der Erstellung der Zugriffseinträge können Sie die Einträge aus ConfigMap entfernen. Sie können keine Zugriffsrichtlinien Einträgen in der zuordnen aws-authConfigMap. Wenn Sie Ihren IAM-Prinzipalen Zugriffsrichtlinien zuordnen möchten, müssen Sie Zugriffseinträge erstellen.

Wichtig

Entfernen Sie keine vorhandenen aws-auth ConfigMap Einträge, die von Amazon EKS erstellt wurden, als Sie Ihrem Cluster eine verwaltete Knotengruppe oder ein Fargate-Profil hinzugefügt haben. Wenn Sie Einträge entfernen, die Amazon EKS in dem erstellt hatConfigMap, funktioniert Ihr Cluster nicht ordnungsgemäß. Sie können jedoch alle Einträge für selbstverwaltete Knotengruppen entfernen, nachdem Sie Zugriffseinträge für sie erstellt haben.

Voraussetzungen

• Vertrautheit mit Zugriffseinträgen und Zugriffsrichtlinien. Weitere Informationen erhalten Sie unter Gewähren Sie IAM-Benutzern Zugriff auf Kubernetes mit EKS-Zugriffseinträgen und Zugriffsrichtlinien mit Zugriffseinträgen verknüpfen.

• Ein vorhandener Cluster mit einer Plattformversion, die den in den Voraussetzungen des Gewähren Sie IAM-Benutzern Zugriff auf Kubernetes mit EKS-Zugriffseinträgen Themas aufgeführten Versionen entspricht oder höher ist.

• Version 0.204.0 oder höher des eksctl-Befehlszeilen-Tools, das auf Ihrem Computer oder in der AWS CloudShell installiert ist. Informationen zum Installieren und Aktualisieren von eksctl finden Sie in der Dokumentation zu eksctl unter Installation.

• Kubernetes-Berechtigungen zum Ändern von aws-auth ConfigMap im kube-system Namespace.

• Eine AWS Identity and Access Management Zugriffsverwaltungsrolle oder ein Benutzer mit den folgenden Berechtigungen: CreateAccessEntry undListAccessEntries. Weitere Informationen finden Sie in der Service-Authorization-Referenz unter Von Amazon Elastic Kubernetes Service definierte Aktionen.

eksctl

1. Sehen Sie sich die vorhandenen Einträge in aws-auth ConfigMap an. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

   eksctl get iamidentitymapping --cluster my-cluster

   Eine Beispielausgabe sieht wie folgt aus.

   ARN                                                                                             USERNAME                                GROUPS                                                  ACCOUNT
   arn:aws: iam::111122223333:role/EKS-my-cluster-Admins                                            Admins                                  system:masters
   arn:aws: iam::111122223333:role/EKS-my-cluster-my-namespace-Viewers                              my-namespace-Viewers                    Viewers
   arn:aws: iam::111122223333:role/EKS-my-cluster-self-managed-ng-1                                 system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
   arn:aws: iam::111122223333:user/my-user                                                          my-user
   arn:aws: iam::111122223333:role/EKS-my-cluster-fargateprofile1                                   system:node:{{SessionName}}             system:bootstrappers,system:nodes,system:node-proxier
   arn:aws: iam::111122223333:role/EKS-my-cluster-managed-ng                                        system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

2. Zugangseinträge erstellenfür alle ConfigMap Einträge, die Sie in der vorherigen Ausgabe erstellt haben. Achten Sie beim Erstellen der Zugriffseinträge darauf, für ARN, USERNAME, GROUPS und ACCOUNT die gleichen Werte anzugeben, die in der Ausgabe zurückgegeben wurden. Im Falle der Beispielausgabe würden Sie Zugriffseinträge für alle Einträge außer den letzten beiden Einträgen erstellen, da diese von Amazon EKS für ein Fargate-Profil bzw. für eine verwaltete Knotengruppe erstellt wurden.

3. Löschen Sie die Einträge aus ConfigMap für alle von Ihnen erstellten Zugriffseinträge. Wenn Sie den Eintrag nicht aus dem löschenConfigMap, überschreiben die Einstellungen für den Zugriffseintrag für den IAM-Prinzipal-ARN den ConfigMap Eintrag. 111122223333Ersetzen Sie es durch Ihre AWS Konto-ID und EKS-my-cluster-my-namespace-Viewers durch den Namen der Rolle im Eintrag in IhremConfigMap. Wenn der Eintrag, den Sie entfernen möchten, für einen IAM-Benutzer und nicht für eine IAM-Rolle bestimmt ist, role ersetzen Sie ihn durch user und EKS-my-cluster-my-namespace-Viewers durch den Benutzernamen.

   eksctl delete iamidentitymapping --arn arn:aws: iam::111122223333:role/EKS-my-cluster-my-namespace-Viewers --cluster my-cluster