Gestion des utilisateurs et des rôles IAM

Note

AWS suggère de migrer vers leAssociations d'identité EKS Pod. aws-auth ConfigMap

Les clusters EKS utilisent des utilisateurs et des rôles IAM pour contrôler l'accès au cluster. Les règles sont implémentées dans une carte de configuration

Modifier ConfigMap à l'aide d'une commande CLI

appeléaws-auth. eksctlfournit des commandes pour lire et modifier cette carte de configuration.

Obtenez tous les mappages d'identité :

eksctl get iamidentitymapping --cluster <clusterName> --region=<region>

Obtenez tous les mappages d'identité correspondant à un ARN :

eksctl get iamidentitymapping --cluster <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing-role

Créez un mappage d'identité :

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing --group system:masters --username admin

Supprimer un mappage d'identité :

eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing

Note

La commande ci-dessus supprime une seule FIFO de mappage sauf indication contraire--all, auquel cas elle supprime toutes les correspondances. Avertira si d'autres mappages correspondant à ce rôle sont trouvés.

Créez un mappage de compte :

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Supprimer un mappage de compte :

 eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Modifier ConfigMap à l'aide d'un ClusterConfig fichier

Les mappages d'identité peuvent également être spécifiés dans ClusterConfig :

---
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: cluster-with-iamidentitymappings
  region: us-east-1

iamIdentityMappings:
  - arn: arn:aws:iam::000000000000:role/myAdminRole
    groups:
      - system:masters
    username: admin
    noDuplicateARNs: true # prevents shadowing of ARNs

  - arn: arn:aws:iam::000000000000:user/myUser
    username: myUser
    noDuplicateARNs: true # prevents shadowing of ARNs

  - serviceName: emr-containers
    namespace: emr # serviceName requires namespace

  - account: "000000000000" # account must be configured with no other options

nodeGroups:
  - name: ng-1
    instanceType: m5.large
    desiredCapacity: 1

 eksctl create iamidentitymapping -f cluster-with-iamidentitymappings.yaml