Ambil kunci penandatanganan untuk memvalidasi token OIDC

Kubernetes menerbitkan a ProjectedServiceAccountToken ke setiap Akun Layanan Kubernetes. Token ini adalah token OIDC, yang selanjutnya merupakan jenis token web JSON (JWT). Amazon EKS menghosting titik akhir OIDC publik untuk setiap cluster yang berisi kunci penandatanganan untuk token sehingga sistem eksternal dapat memvalidasinya.

Untuk memvalidasi aProjectedServiceAccountToken, Anda perlu mengambil kunci penandatanganan publik OIDC, juga disebut JSON Web Key Set (JWKS). Gunakan kunci ini di aplikasi Anda untuk memvalidasi token. Misalnya, Anda dapat menggunakan pustaka PyJWT Python untuk memvalidasi token menggunakan kunci ini. Untuk informasi lebih lanjut tentangProjectedServiceAccountToken, lihatInformasi latar belakang IAM, Kubernetes, dan OpenID Connect (OIDC).

catatan

Jika validator Anda berjalan di VPC tanpa akses internet keluar, Anda dapat mengambil dokumen penemuan dan JWKS secara pribadi dengan membuat titik akhir AWS PrivateLink antarmuka untuk titik akhir kluster OIDC (). com.amazonaws.region-code.oidc-eks Untuk informasi selengkapnya, lihat Akses titik akhir OIDC cluster menggunakan AWS PrivateLink.

Prasyarat

• Penyedia AWS Identitas dan Manajemen Akses (IAM) OpenID Connect (OIDC) yang ada untuk cluster Anda. Untuk menentukan apakah Anda sudah memiliki satu, atau harus membuat satu, lihat Buat penyedia IAM OIDC untuk klaster Anda.

• AWS CLI — Alat baris perintah untuk bekerja dengan AWS layanan, termasuk Amazon EKS. Untuk informasi selengkapnya, lihat Menginstal di Panduan AWS Pengguna Antarmuka Baris Perintah. Setelah menginstal AWS CLI, kami sarankan Anda juga mengkonfigurasinya. Untuk informasi selengkapnya, lihat Konfigurasi cepat dengan aws configure di Panduan Pengguna AWS Antarmuka Baris Perintah.

Prosedur

1. Ambil URL OIDC untuk cluster Amazon EKS Anda menggunakan AWS CLI.

   $ aws eks describe-cluster --name my-cluster --query 'cluster.identity.oidc.issuer'
   "https://oidc.eks.us-west-2.amazonaws.com/id/8EBDXXXX00BAE"

2. Ambil kunci penandatanganan publik menggunakan curl, atau alat serupa. Hasilnya adalah JSON Web Key Set (JWKS).

   penting

   Amazon EKS membatasi panggilan ke titik akhir OIDC. Anda harus menyimpan kunci penandatanganan publik. Hormati cache-control header yang disertakan dalam respons.

   penting

   Amazon EKS memutar kunci penandatanganan OIDC setiap tujuh hari.

   $ curl https://oidc.eks.us-west-2.amazonaws.com/id/8EBDXXXX00BAE/keys
   {"keys":[{"kty":"RSA","kid":"2284XXXX4a40","use":"sig","alg":"RS256","n":"wklbXXXXMVfQ","e":"AQAB"}]}