Définissez un nom d'utilisateur personnalisé pour les entrées d'accès EKS

Lorsque vous créez des entrées d'accès pour Amazon EKS, vous pouvez soit utiliser le nom d'utilisateur généré automatiquement, soit spécifier un nom d'utilisateur personnalisé. Cette page explique les deux options et vous guide dans la définition d'un nom d'utilisateur personnalisé.

Présentation

Le nom d'utilisateur indiqué dans une entrée d'accès est utilisé pour identifier le principal IAM dans les journaux et les pistes d'audit de Kubernetes. Par défaut, Amazon EKS génère un nom d'utilisateur basé sur l'ARN de l'identité IAM, mais vous pouvez spécifier un nom d'utilisateur personnalisé si nécessaire.

Génération de nom d'utilisateur par

Si vous ne spécifiez aucune valeur pour le nom d'utilisateur, Amazon EKS génère automatiquement un nom d'utilisateur basé sur l'identité IAM :

• Pour les utilisateurs d'IAM :

  • EKS définit le nom d'utilisateur Kubernetes sur l'ARN de l'utilisateur IAM

  • Exemple :

    {arn-aws}iam::<111122223333>:user/<my-user>

• Pour les rôles IAM :

  • EKS définit le nom d'utilisateur Kubernetes en fonction de l'ARN du rôle IAM

  • L'ARN STS du rôle lorsqu'il est assumé. Amazon EKS ajoute {{SessionName}} au rôle. Si l'ARN du rôle que vous avez spécifié contenait un chemin, Amazon EKS le supprime dans le nom d'utilisateur généré.

  • Exemple :

    {arn-aws}sts::<111122223333>:assumed-role/<my-role>/{{SessionName}}

À moins que vous n'ayez une raison spécifique de spécifier votre propre nom d'utilisateur, nous vous recommandons de ne pas en indiquer un et de laisser Amazon EKS le générer automatiquement pour vous.

Définition d'un nom d'utilisateur personnalisé

Lorsque vous créez une entrée d'accès, vous pouvez spécifier un nom d'utilisateur personnalisé à l'aide du --username paramètre :

aws eks create-access-entry --cluster-name <cluster-name> --principal-arn <iam-identity-arn> --type STANDARD --username <custom-username>

Exigences relatives aux noms d'utilisateur personnalisés

Si vous spécifiez un nom d'utilisateur personnalisé :

• Le nom d'utilisateur ne peut pas commencer par system: eks:aws:,,amazon:, ouiam:.

• Si le nom d'utilisateur correspond à un rôle IAM, nous vous recommandons d'ajouter {{SessionName}} ou de le placer {{SessionNameRaw}} à la fin de votre nom d'utilisateur.

  • Si vous ajoutez l'un {{SessionName}} ou {{SessionNameRaw}} l'autre à votre nom d'utilisateur, celui-ci doit inclure deux points avant {{SessionName}}.