Gestione degli utenti e dei ruoli IAM

Nota

AWS suggerisce di migrare a da. Associazioni EKS Pod Identity aws-auth ConfigMap

I cluster EKS utilizzano utenti e ruoli IAM per controllare l'accesso al cluster. Le regole sono implementate in una mappa di configurazione

Modifica ConfigMap con un comando CLI

chiamatoaws-auth. eksctlfornisce comandi per leggere e modificare questa mappa di configurazione.

Ottieni tutte le mappature delle identità:

eksctl get iamidentitymapping --cluster <clusterName> --region=<region>

Ottieni tutte le mappature di identità corrispondenti a un arn:

eksctl get iamidentitymapping --cluster <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing-role

Crea una mappatura dell'identità:

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing --group system:masters --username admin

Eliminare una mappatura dell'identità:

eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing

Nota

Il comando precedente elimina una singola mappatura FIFO a meno che non --all venga fornito, nel qual caso rimuove tutte le corrispondenze. Avviserà se vengono trovate altre mappature corrispondenti a questo ruolo.

Crea una mappatura dell'account:

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Eliminare una mappatura dell'account:

 eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Modifica ConfigMap utilizzando un ClusterConfig file

Le mappature delle identità possono essere specificate anche in: ClusterConfig

---
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: cluster-with-iamidentitymappings
  region: us-east-1

iamIdentityMappings:
  - arn: arn:aws:iam::000000000000:role/myAdminRole
    groups:
      - system:masters
    username: admin
    noDuplicateARNs: true # prevents shadowing of ARNs

  - arn: arn:aws:iam::000000000000:user/myUser
    username: myUser
    noDuplicateARNs: true # prevents shadowing of ARNs

  - serviceName: emr-containers
    namespace: emr # serviceName requires namespace

  - account: "000000000000" # account must be configured with no other options

nodeGroups:
  - name: ng-1
    instanceType: m5.large
    desiredCapacity: 1

 eksctl create iamidentitymapping -f cluster-with-iamidentitymappings.yaml