Acciones, recursos y claves de condición para Amazon Elastic Kubernetes Service - Referencia de autorizaciones de servicio

Acciones, recursos y claves de condición para Amazon Elastic Kubernetes Service

Amazon Elastic Kubernetes Service (prefijo de servicio: eks) proporciona los siguientes recursos, acciones y claves de contexto de condición específicos del servicio para su uso en las políticas de permisos de IAM.

Referencias:

Acciones definidas por Amazon Elastic Kubernetes Service

Puede especificar las siguientes acciones en el elemento Action de una declaración de política de IAM. Utilice políticas para conceder permisos para realizar una operación en AWS. Cuando utiliza una acción en una política, normalmente permite o deniega el acceso a la operación de la API o comandos de la CLI con el mismo nombre. No obstante, en algunos casos, una sola acción controla el acceso a más de una operación. Asimismo, algunas operaciones requieren varias acciones diferentes.

La columna Resource types (Tipos de recurso) indica si la acción admite permisos de nivel de recursos. Si no hay ningún valor para esta columna, debe especificar todos los recursos ("*") en el elemento Resource de la instrucción de la política. Si la columna incluye un tipo de recurso, puede especificar un ARN de ese tipo en una instrucción con dicha acción. Los recursos necesarios se indican en la tabla con un asterisco (*). Si especifica un ARN de permiso de recursos en una instrucción mediante esta acción, deberá ser de este tipo. Algunas acciones admiten varios tipos de recursos. Si el tipo de recurso es opcional (no se indica como obligatorio), puede elegir utilizar uno pero no el otro.

Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Acciones.

Acciones Descripción Nivel de acceso Tipos de recursos (*necesarios) Claves de condición Acciones dependientes
AccessKubernetesApi [solo permiso] Concede permiso para ver objetos de Kubernetes a través de la consola de AWS EKS Read

cluster*

AssociateEncryptionConfig Concede permiso para asociar la configuración de cifrado a un clúster. Write

cluster*

AssociateIdentityProviderConfig Concede permiso para asociar una configuración de proveedor de identidades a un clúster. Write

cluster*

aws:RequestTag/${TagKey}

aws:TagKeys

eks:clientId

eks:issuerUrl

CreateAddon Concede permiso para crear un complemento de Amazon EKS. Write

cluster*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateCluster Concede permiso para crear un clúster de Amazon EKS. Write

aws:RequestTag/${TagKey}

aws:TagKeys

CreateFargateProfile Concede permiso para crear un perfil de AWS Fargate Write

cluster*

aws:RequestTag/${TagKey}

aws:TagKeys

CreateNodegroup Concede permiso para crear un grupo de nodos de Amazon EKS. Write

cluster*

aws:RequestTag/${TagKey}

aws:TagKeys

DeleteAddon Concede permiso para eliminar un complemento de Amazon EKS. Write

addon*

DeleteCluster Concede permiso para eliminar un clúster de Amazon EKS. Write

cluster*

DeleteFargateProfile Concede permiso para eliminar un perfil de AWS Fargate Write

fargateprofile*

DeleteNodegroup Concede permiso para eliminar un grupo de nodos de Amazon EKS. Escritura

nodegroup*

DeregisterCluster Concede permiso para anular el registro de un clúster externo Escritura

cluster*

DescribeAddon Concede permiso para recuperar información descriptiva sobre un complemento de Amazon EKS. Read

addon*

DescribeAddonVersions Concede permiso para recuperar información descriptiva de la versión acerca de los complementos que son compatibles con los complementos de Amazon EKS. Read
DescribeCluster Concede permiso para recuperar información descriptiva sobre un clúster de Amazon EKS. Read

cluster*

DescribeFargateProfile Concede permiso para recuperar información descriptiva sobre un perfil de AWS Fargate asociado a un clúster Read

fargateprofile*

DescribeIdentityProviderConfig Concede permiso para recuperar información descriptiva sobre una configuración de ldp asociada a un clúster. Read

identityproviderconfig*

DescribeNodegroup Concede permiso para recuperar información descriptiva sobre un grupo de nodos de Amazon EKS. Read

nodegroup*

DescribeUpdate Concede permiso para recuperar una actualización determinada para un clúster, un grupo de nodos o un complemento de Amazon EKS dados (en la región especificada o predeterminada). Read

cluster*

addon

nodegroup

DisassociateIdentityProviderConfig Concede permiso para eliminar una configuración de Idp asociada. Write

identityproviderconfig*

ListAddons Concede permiso para enumerar los complementos de Amazon EKS de la Cuenta de AWS (en la región especificada o predeterminada) para un clúster determinado List

cluster*

ListClusters Concede permiso para enumerar los clústeres de Amazon EKS en la Cuenta de AWS (en la región especificada o predeterminada) List
ListFargateProfiles Concede permiso para enumerar los perfiles de AWS Fargate en la Cuenta de AWS (en la región especificada o predeterminada) asociados a un clúster determinado List

cluster*

ListIdentityProviderConfigs Concede permiso para enumerar las configuraciones ldp en la Cuenta de AWS (en la región especificada o predeterminada) asociados a un clúster determinado. List

cluster*

ListNodegroups Concede permiso para enumerar los grupos de nodos de Amazon EKS en la Cuenta de AWS (en la región especificada o predeterminada) asociados al clúster determinado. List

cluster*

ListTagsForResource Concede permiso para enumerar las etiquetas del recurso especificado Read

addon

cluster

fargateprofile

identityproviderconfig

nodegroup

ListUpdates Concede permiso para enumerar las actualizaciones determinadas para un clúster, un grupo de nodos o un complemento de Amazon EKS dados (en la región especificada o predeterminada). List

cluster*

addon

nodegroup

RegisterCluster Concede permiso para registrar un clúster externo Escritura

aws:RequestTag/${TagKey}

aws:TagKeys

TagResource Concede permiso para etiquetar el recurso especificado Etiquetado

addon

cluster

fargateprofile

identityproviderconfig

nodegroup

aws:RequestTag/${TagKey}

aws:TagKeys

UntagResource Concede permiso para quitar las etiquetas del recurso especificado Etiquetado

addon

cluster

fargateprofile

identityproviderconfig

nodegroup

aws:TagKeys

UpdateAddon Concede permiso para actualizar las configuraciones de los complementos de Amazon EKS, como la versión del VPC-CNI. Write

addon*

UpdateClusterConfig Concede permiso para actualizar las configuraciones de clúster de Amazon EKS (p. ej.: acceso al punto de enlace del servidor de API). Write

cluster*

UpdateClusterVersion Concede permiso para actualizar la versión de Kubernetes de un clúster de Amazon EKS. Write

cluster*

UpdateNodegroupConfig Concede permiso para actualizar las configuraciones de grupos de nodos de Amazon EKS (p. ej.: capacidad mínima, máxima o deseada o etiquetas). Write

nodegroup*

UpdateNodegroupVersion Concede permiso para actualizar la versión de Kubernetes de un grupo de nodos de Amazon EKS. Write

nodegroup*

Tipos de recursos definidos por Amazon Elastic Kubernetes Service

Los siguientes tipos de recurso están definidos por este servicio y se pueden utilizar en el elemento Resource de las instrucciones de política de permisos de IAM. Cada acción de la tabla Acciones identifica los tipos de recursos que se pueden especificar con dicha acción. Un tipo de recurso también puede definir qué claves de condición se pueden incluir en una política. Estas claves se muestran en la última columna de la tabla. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla Tipos de recurso.

Tipos de recurso ARN Claves de condición
cluster arn:${Partition}:eks:${Region}:${Account}:cluster/${ClusterName}

aws:ResourceTag/${TagKey}

nodegroup arn:${Partition}:eks:${Region}:${Account}:nodegroup/${ClusterName}/${NodegroupName}/${UUID}

aws:ResourceTag/${TagKey}

addon arn:${Partition}:eks:${Region}:${Account}:addon/${ClusterName}/${AddonName}/${UUID}

aws:ResourceTag/${TagKey}

fargateprofile arn:${Partition}:eks:${Region}:${Account}:fargateprofile/${ClusterName}/${FargateProfileName}/${UUID}

aws:ResourceTag/${TagKey}

identityproviderconfig arn:${Partition}:eks:${Region}:${Account}:identityproviderconfig/${ClusterName}/${IdentityProviderType}/${IdentityProviderConfigName}/${UUID}

aws:ResourceTag/${TagKey}

Claves de condición de Amazon Elastic Kubernetes Service

Amazon Elastic Kubernetes Service define las siguientes claves de condición que pueden utilizarse en el elemento Condition de una política de IAM. Puede utilizar estas claves para ajustar más las condiciones en las que se aplica la instrucción de política. Para obtener información detallada sobre las columnas de la siguiente tabla, consulte Tabla de Claves de condición.

Para ver las claves de condición globales que están disponibles para todos los servicios, consulte Claves de condición globales disponibles.

Claves de condición Descripción Tipo
aws:RequestTag/${TagKey} Filtra el acceso por una clave que está presente en la solicitud que el usuario realiza al servicio EKS. Cadena
aws:ResourceTag/${TagKey} Filtra el acceso por par de clave y valor de etiqueta. Cadena
aws:TagKeys Filtra el acceso por la lista de todos los nombres de clave de etiqueta presentes en la solicitud que el usuario realiza al servicio EKS. ArrayOfString
eks:clientId Filtra el acceso por el clientId presente en la solicitud associateIdentityProviderConfig que el usuario realiza al servicio EKS. Cadena
eks:issuerUrl Filtra el acceso por el issuerUrl presente en la solicitud associateIdentityProviderConfig que el usuario realiza al servicio EKS. Cadena