Acciones, recursos y claves de condición para Amazon Elastic Kubernetes Service

Amazon Elastic Kubernetes Service (prefijo de servicio: eks) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

• Obtenga información para configurar este servicio.

• Vea una lista de las operaciones de API disponibles para este servicio.

• Obtenga información sobre cómo proteger este servicio y sus recursos mediante las políticas de permisos de IAM.

Acciones definidas por Amazon Elastic Kubernetes Service

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Tipos de recurso de la tabla de Acción indica si cada acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") a los que aplica la política en el elemento Resource de la instrucción de su política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Si la acción tiene uno o más recursos necesarios, la persona que llama debe tener permiso para usar la acción con esos recursos. Los recursos necesarios se indican en la tabla con un asterisco (*). Si limita el acceso a los recursos con el elemento Resource de una política de IAM, debe incluir un ARN o patrón para cada tipo de recurso requerido. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno de los tipos de recursos opcionales.

La columna Claves de condición de la tabla Acciones incluye claves que puede especificar en el elemento Condition de la instrucción de una política. Para obtener más información sobre las claves de condición asociadas a los recursos del servicio, consulte la columna Claves de condición de la tabla Tipos de recursos.

nota

Las claves de condición de recursos se enumeran en la tabla Tipos de recursos. Encontrará un enlace al tipo de recurso que se aplica a una acción en la columna Tipos de recursos (*obligatorio) de la tabla Acciones. El tipo de recurso de la tabla Tipos de recursos incluye la columna Claves de condición, que son las claves de condición del recurso que se aplican a una acción de la tabla Acciones.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones	Descripción	Nivel de acceso	Tipos de recursos (*necesarios)	Claves de condición	Acciones dependientes
AccessKubernetesApi [solo permiso]	Concede permiso para ver objetos de Kubernetes a través de la consola de AWS EKS	Leer	cluster*
AssociateAccessPolicy	Otorga permiso para asociar una política de acceso de Amazon EKS a una entrada de acceso de Amazon EKS	Escritura	access-entry*
				eks:policyArn eks:namespaces eks:accessScope
AssociateEncryptionConfig	Concede permiso para asociar la configuración de cifrado a un clúster.	Write	cluster*
AssociateIdentityProviderConfig	Concede permiso para asociar una configuración de proveedor de identidades a un clúster.	Escritura	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys eks:clientId eks:issuerUrl
CreateAccessEntry	Concede permiso para crear una entrada de acceso de Amazon EKS	Escritura	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys eks:principalArn eks:kubernetesGroups eks:username eks:accessEntryType
CreateAddon	Concede permiso para crear un complemento de Amazon EKS.	Write	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateCluster	Concede permiso para crear un clúster de Amazon EKS.	Escritura		aws:RequestTag/${TagKey} aws:TagKeys eks:bootstrapClusterCreatorAdminPermissions
CreateEksAnywhereSubscription	Concede permiso para crear una suscripción de EKS Anywhere	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
CreateFargateProfile	Concede permiso para crear un perfil de AWS Fargate	Write	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys
CreateNodegroup	Concede permiso para crear un grupo de nodos de Amazon EKS.	Escritura	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys
CreatePodIdentityAssociation	Concede permiso para crear una asociación EKS Pod Identity	Escritura	cluster*
				aws:RequestTag/${TagKey} aws:TagKeys
DeleteAccessEntry	Concede permiso para eliminar una entrada de acceso de Amazon EKS	Escritura	access-entry*
DeleteAddon	Concede permiso para eliminar un complemento de Amazon EKS.	Write	addon*
DeleteCluster	Concede permiso para eliminar un clúster de Amazon EKS.	Escritura	cluster*
DeleteEksAnywhereSubscription	Concede permiso para describir una suscripción a EKS Anywhere	Escritura	eks-anywhere-subscription*
DeleteFargateProfile	Concede permiso para eliminar un perfil de AWS Fargate	Write	fargateprofile*
DeleteNodegroup	Concede permiso para eliminar un grupo de nodos de Amazon EKS.	Escritura	nodegroup*
DeletePodIdentityAssociation	Concede permiso para eliminar una asociación de EKS Pod Identity	Escritura	podidentityassociation*
DeregisterCluster	Concede permiso para anular el registro de un clúster externo	Escritura	cluster*
DescribeAccessEntry	Concede permiso para describir una entrada de acceso de Amazon EKS	Leer	access-entry*
DescribeAddon	Concede permiso para recuperar información descriptiva sobre un complemento de Amazon EKS.	Leer	addon*
DescribeAddonConfiguration	Otorga permiso para enumerar opciones de configuración sobre un complemento de Amazon EKS	Leer
DescribeAddonVersions	Concede permiso para recuperar información descriptiva de la versión acerca de los complementos que son compatibles con los complementos de Amazon EKS.	Read
DescribeCluster	Concede permiso para recuperar información descriptiva sobre un clúster de Amazon EKS.	Leer	cluster*
DescribeEksAnywhereSubscription	Concede permiso para describir una suscripción a EKS Anywhere	Leer	eks-anywhere-subscription*
DescribeFargateProfile	Concede permiso para recuperar información descriptiva sobre un perfil de AWS Fargate asociado a un clúster	Read	fargateprofile*
DescribeIdentityProviderConfig	Concede permiso para recuperar información descriptiva sobre una configuración de ldp asociada a un clúster.	Leer	identityproviderconfig*
DescribeInsight	Concede permiso para recuperar información descriptiva de una información detectada para un clúster especificado	Leer	cluster*
DescribeNodegroup	Concede permiso para recuperar información descriptiva sobre un grupo de nodos de Amazon EKS.	Leer	nodegroup*
DescribePodIdentityAssociation	Concede permisos para describir una asociación de EKS Pod Identity	Leer	podidentityassociation*
DescribeUpdate	Concede permiso para recuperar una actualización determinada para un clúster, un grupo de nodos o un complemento de Amazon EKS dados (en la región especificada o predeterminada).	Leer	cluster*
			addon
			nodegroup
DisassociateAccessPolicy	Otorga permiso para desasociar una política de acceso de Amazon EKS de una entrada de acceso de Amazon EKS	Escritura	access-entry*
				eks:policyArn eks:namespaces eks:accessScope
DisassociateIdentityProviderConfig	Concede permiso para eliminar una configuración de Idp asociada.	Escritura	identityproviderconfig*
ListAccessEntries	Concede permiso para enumerar todas las entradas de acceso a Amazon EKS	Enumeración	cluster*
ListAccessPolicies	Concede permiso para enumerar las políticas de acceso a Amazon EKS	Enumeración
ListAddons	Concede permiso para enumerar los complementos de Amazon EKS de la Cuenta de AWS (en la región especificada o predeterminada) para un clúster determinado	Enumeración	cluster*
ListAssociatedAccessPolicies	Concede permisos para enumerar la política de acceso asociada y la entrada de acceso de Amazon EKS	Enumeración	access-entry*
ListClusters	Concede permiso para enumerar los clústeres de Amazon EKS en la Cuenta de AWS (en la región especificada o predeterminada)	Enumeración
ListEksAnywhereSubscriptions	Concede permiso para enumerar suscripciones de EKS Anywhere	Enumeración
ListFargateProfiles	Concede permiso para enumerar los perfiles de AWS Fargate en la Cuenta de AWS (en la región especificada o predeterminada) asociados a un clúster determinado	List	cluster*
ListIdentityProviderConfigs	Concede permiso para enumerar las configuraciones ldp en la Cuenta de AWS (en la región especificada o predeterminada) asociados a un clúster determinado.	Enumeración	cluster*
ListInsights	Concede permisos para enumerar todos los conocimientos detectados para un clúster especificado	Enumeración	cluster*
ListNodegroups	Concede permiso para enumerar los grupos de nodos de Amazon EKS en la Cuenta de AWS (en la región especificada o predeterminada) asociados al clúster determinado.	Enumeración	cluster*
ListPodIdentityAssociations	Concede permiso para enumerar asociaciones de EKS Pod Identity	Enumeración	cluster*
ListTagsForResource	Concede permiso para enumerar las etiquetas del recurso especificado	Read	addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
ListUpdates	Concede permiso para enumerar las actualizaciones determinadas para un clúster, un grupo de nodos o un complemento de Amazon EKS dados (en la región especificada o predeterminada).	Enumeración	cluster*
			addon
			nodegroup
RegisterCluster	Concede permiso para registrar un clúster externo	Escritura		aws:RequestTag/${TagKey} aws:TagKeys
TagResource	Concede permiso para etiquetar el recurso especificado	Etiquetado	access-entry
			addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:RequestTag/${TagKey} aws:TagKeys
UntagResource	Concede permiso para quitar las etiquetas del recurso especificado	Etiquetado	access-entry
			addon
			cluster
			eks-anywhere-subscription
			fargateprofile
			identityproviderconfig
			nodegroup
			podidentityassociation
				aws:TagKeys
UpdateAccessEntry	Concede permiso para actualizar una entrada de acceso de Amazon EKS	Escritura	access-entry*
UpdateAddon	Concede permiso para actualizar las configuraciones de los complementos de Amazon EKS, como la versión del VPC-CNI.	Write	addon*
UpdateClusterConfig	Concede permiso para actualizar las configuraciones de clúster de Amazon EKS (p. ej.: acceso al punto de conexión del servidor de API).	Write	cluster*
UpdateClusterVersion	Concede permiso para actualizar la versión de Kubernetes de un clúster de Amazon EKS.	Escritura	cluster*
UpdateEksAnywhereSubscription	Concede permiso para actualizar una suscripción EKS Anywhere	Escritura	eks-anywhere-subscription*
UpdateNodegroupConfig	Concede permiso para actualizar las configuraciones de grupos de nodos de Amazon EKS (p. ej.: capacidad mínima, máxima o deseada o etiquetas).	Write	nodegroup*
UpdateNodegroupVersion	Concede permiso para actualizar la versión de Kubernetes de un grupo de nodos de Amazon EKS.	Escritura	nodegroup*
UpdatePodIdentityAssociation	Concede permiso para actualizar una asociación de EKS Pod Identity	Escritura	podidentityassociation*

Tipos de recursos definidos por Amazon Elastic Kubernetes Service

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla Tipos de recursos. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso	ARN	Claves de condición
cluster	arn:${Partition}:eks:${Region}:${Account}:cluster/${ClusterName}	aws:ResourceTag/${TagKey}
nodegroup	arn:${Partition}:eks:${Region}:${Account}:nodegroup/${ClusterName}/${NodegroupName}/${UUID}	aws:ResourceTag/${TagKey}
addon	arn:${Partition}:eks:${Region}:${Account}:addon/${ClusterName}/${AddonName}/${UUID}	aws:ResourceTag/${TagKey}
fargateprofile	arn:${Partition}:eks:${Region}:${Account}:fargateprofile/${ClusterName}/${FargateProfileName}/${UUID}	aws:ResourceTag/${TagKey}
identityproviderconfig	arn:${Partition}:eks:${Region}:${Account}:identityproviderconfig/${ClusterName}/${IdentityProviderType}/${IdentityProviderConfigName}/${UUID}	aws:ResourceTag/${TagKey}
eks-anywhere-subscription	arn:${Partition}:eks:${Region}:${Account}:eks-anywhere-subscription/${UUID}	aws:ResourceTag/${TagKey}
podidentityassociation	arn:${Partition}:eks:${Region}:${Account}:podidentityassociation/${ClusterName}/${UUID}	aws:ResourceTag/${TagKey}
access-entry	arn:${Partition}:eks:${Region}:${Account}:access-entry/${ClusterName}/${IamIdentityType}/${IamIdentityAccountID}/${IamIdentityName}/${UUID}	aws:ResourceTag/${TagKey} eks:accessEntryType eks:clusterName eks:kubernetesGroups eks:principalArn eks:username
access-policy	arn:${Partition}:eks::aws:cluster-access-policy/${AccessPolicyName}

Claves de condición de Amazon Elastic Kubernetes Service

Amazon Elastic Kubernetes Service define las siguientes claves de condición que pueden utilizarse en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición	Descripción	Tipo
aws:RequestTag/${TagKey}	Filtra el acceso por una clave que está presente en la solicitud que el usuario realiza al servicio EKS.	Cadena
aws:ResourceTag/${TagKey}	Filtra el acceso por par de clave y valor de etiqueta.	Cadena
aws:TagKeys	Filtra el acceso por la lista de todos los nombres de clave de etiqueta presentes en la solicitud que el usuario realiza al servicio EKS.	ArrayOfString
eks:accessEntryType	Filtra el acceso por el tipo de entrada de acceso presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	Cadena
eks:accessScope	Filtra el acceso por el accessScope presente en la política de acceso para asociar o desasociar que el usuario realiza al servicio EKS	Cadena
eks:bootstrapClusterCreatorAdminPermissions	Filtra el acceso por el bootstrapClusterCreator AdminPermissions momento en la solicitud de creación de clúster	Bool
eks:clientId	Filtra el acceso por el ClientiD presente en la solicitud de associateIdentityProvider Config que el usuario realiza al servicio EKS	Cadena
eks:clusterName	Filtra el acceso por el clusterName presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	Cadena
eks:issuerUrl	Filtra el acceso por la URL del emisor presente en la solicitud de associateIdentityProvider Config que el usuario realiza al servicio EKS	Cadena
eks:kubernetesGroups	Filtra el acceso por el kubernetesGroups presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	ArrayOfString
eks:namespaces	Filtra el acceso por el namespaces presente en la política de acceso para asociar o desasociar que el usuario realiza al servicio EKS	ArrayOfString
eks:policyArn	Filtra el acceso por el policyArn presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	ARN
eks:principalArn	Filtra el acceso por el principalArn presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	ARN
eks:username	Filtra el acceso por el nombre de usuario de Kubernetes presente en las solicitudes de entrada de acceso que el usuario realiza al servicio EKS	Cadena