AWS マネージドポリシーは、AWS が作成および管理するスタンドアロンポリシーです。AWS マネージドポリシーは、多くの一般的なユースケースで権限を提供できるように設計されているため、ユーザー、グループ、ロールへの権限の割り当てを開始できます。
AWS マネージドポリシーは、特定のユースケースに対して最小特権の許可を付与しない場合があることに注意してください。これは、すべての AWS 顧客が使用できる状態になっているためです。ユースケース別にカスタマーマネージドポリシーを定義して、マネージドポリシーを絞り込むことをお勧めします。
AWS マネージドポリシーで定義したアクセス権限は変更できません。AWS が AWS マネージドポリシーに定義されているアクセス許可を更新すると、更新はポリシーがアタッチされているすべてのプリンシパルアイデンティティ (ユーザー、グループ、ロール) に影響します。新しい AWS サービスを起動するか、既存のサービスで新しい API オペレーションが使用可能になると、AWS が AWS マネージドポリシーを更新する可能性が最も高くなります。
詳細については、「IAM ユーザーガイド」の「AWS 管理ポリシー」を参照してください。
AWS 管理ポリシー: AmazonEKS_CNI_Policy
AmazonEKS_CNI_Policy
ポリシーを IAM エンティティにアタッチできます。Amazon EC2 ノードグループを作成する前に、このポリシーをノード IAM ロール、または Amazon VPC CNI plugin for Kubernetes によって特に使用される IAM ロールにアタッチする必要があります。これは、ユーザーに代わってアクションを実行できるようにするためです。プラグインでのみ使用されるロールにポリシーをアタッチすることをお勧めします。詳細については、Amazon VPC CNIおよびIRSA を使用するように Amazon VPC CNI プラグインを設定するを参照してください。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ec2:*NetworkInterface
およびec2:*PrivateIpAddresses
- Amazon VPC CNI プラグインが Pods の Elastic Network Interface や IP アドレスのプロビジョニングなどのアクションを実行し、Amazon EKS で実行されるアプリケーションにネットワークを提供できるようにします。 -
ec2
読み取りアクション - Amazon VPC CNI プラグインがインスタンスやサブネットを記述して、Amazon VPC サブネット内の空き IP アドレスの量を確認するなどのアクションを実行できるようにします。VPC CNI は各サブネットの空き IP アドレスを使用して、Elastic Network Interface の作成時に使用する空き IP アドレスが最も多いサブネットを選択できます。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKS_CNI_Policy I_Policy」を参照してください。
AWS 管理ポリシー: AmazonEKSClusterPolicy
IAM エンティティに AmazonEKSClusterPolicy
をアタッチできます。クラスターを作成する前に、このポリシーが添付されたクラスター IAM ロールを用意する必要があります。Amazon EKS によって管理される Kubernetes クラスターは、お客様に代わって他の AWS サービスへの呼び出しを行います。これにより、サービスで使用するリソースを管理します。
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
autoscaling
– Auto Scaling グループの設定を読み取り、更新します。これらの権限は Amazon EKS では使用されませんが、下位互換性のためにポリシーに残ります。 -
ec2
– Amazon EC2 ノードに関連付けられているボリュームとネットワークリソースを操作します。これは、Kubernetes コントロールプレーンがインスタンスをクラスターに結合し、Kubernetes 永続ボリュームによってリクエストされる Amazon EBS ボリュームを動的にプロビジョニングおよび管理できるようにするために必要です。 -
elasticloadbalancing
– Elastic Load Balancer を操作し、ノードをターゲットとして追加します。これは、Kubernetes コントロールプレーンが Kubernetes サービスによってリクエストされる Elastic Load Balancer を動的にプロビジョニングできるようにするために必要です。 -
iam
- サービスにリンクされたロールを作成します。これは、Kubernetes コントロールプレーンが Kubernetes サービスによってリクエストされる Elastic Load Balancer を動的にプロビジョニングできるようにするために必要です。 -
kms
– AWS KMS からキーを読み取ります。これは、Kubernetes コントロールプレーンがetcd
に保存される Kubernetes シークレットの シークレット暗号化を管理するために必要です。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSClusterPolicy Policy」を参照してください。
AWS 管理ポリシー: AmazonEKSFargatePodExecutionRolePolicy
IAM エンティティに AmazonEKSFargatePodExecutionRolePolicy
をアタッチできます。Fargate プロファイルを作成する前に、Fargate Pod 実行ロールを作成し、このポリシーをアタッチする必要があります。詳細については、ステップ 2: Fargate Pod 実行ロールを作成するおよび起動時にどの Pods が AWS Fargate を使用するのかを定義するを参照してください。
このポリシーはロールに対して、Fargate で Amazon EKS Pods を実行するために必要な他の AWS サービスリソースにアクセスするための権限を付与します。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ecr
– Fargate で実行中のポッドが、Amazon ECR に格納されているコンテナイメージを取得できるようにします。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSFargatePodExecutionRolePolicy Policy」を参照してください。
AWS 管理ポリシー: AmazonEKSForFargateServiceRolePolicy
IAM エンティティに AmazonEKSForFargateServiceRolePolicy
をアタッチすることはできません。このポリシーは、ユーザーに代わって Amazon EKS がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「AWSServiceRoleforAmazonEKSForFargate
」を参照してください。
このポリシーは、Fargate タスクを実行するために必要なアクセス権限を Amazon EKS に付与します。このポリシーは、Fargate ノードがある場合にのみ使用されます。
許可の詳細
このポリシーには、Amazon EKS が以下のタスクを完了できるようにする以下の権限が含まれています。
-
ec2
– Elastic Network Interface を作成および削除し、Elastic Network Interface とリソースについて説明します。これは、Amazon EKS Fargate サービスが Fargate ポッドに必要な VPC ネットワーキングを設定できるようにするために必要です。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSForFargateServiceRolePolicy Policy」を参照してください。
AWS マネージドポリシー: AmazonEKSComputePolicy
IAM エンティティに AmazonEKSComputePolicy
をアタッチできます。このポリシーをクラスター IAM ロールにアタッチして、EKS がアカウントで管理できるリソースを拡張できます。
このポリシーは、Amazon EKS が EKS クラスター用の EC2 インスタンスを作成および管理するために必要な許可と、EC2 を設定するために必要な IAM 許可を付与します。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ec2
許可:-
ec2:CreateFleet
およびec2:RunInstances
- EC2 インスタンスの作成と、EKS クラスターノードのための特定の EC2 リソース (イメージ、セキュリティグループ、サブネット) の使用を許可します。 -
ec2:CreateLaunchTemplate
- EKS クラスターノードのための EC2 起動テンプレートの作成を許可します。 -
また、このポリシーには、これらの EC2 許可の使用を、EKS クラスター名および他の関連タグでタグ付けされたリソースに制限する条件も含まれています。
-
ec2:CreateTags
-CreateFleet
、RunInstances
、およびCreateLaunchTemplate
アクションによって作成された EC2 リソースへのタグの追加を許可します。
-
-
iam
許可:-
iam:AddRoleToInstanceProfile
- EKS コンピューティングインスタンスプロファイルへの IAM ロールの追加を許可します。 -
iam:PassRole
- 必要な IAM ロールを EC2 サービスに渡すことを許可します。
-
JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonEKSComputePolicy」を参照してください。
AWS 管理ポリシー: AmazonEKSNetworkingPolicy
IAM エンティティに AmazonEKSNetworkingPolicy
をアタッチできます。このポリシーをクラスター IAM ロールにアタッチして、EKS がアカウントで管理できるリソースを拡張できます。
このポリシーは、Amazon EKS が EKS クラスターのネットワークインターフェイスを作成および管理するために必要なアクセス許可を付与し、コントロールプレーンとワーカーノードが適切に通信および機能するように設計されています。
許可の詳細
このポリシーは、Amazon EKS がクラスターのネットワークインターフェイスを管理できるようにする以下のアクセス許可を付与します。
-
ec2
ネットワークインターフェイスアクセス許可:-
ec2:CreateNetworkInterface
- EC2 ネットワークインターフェイスの作成を許可します。 -
このポリシーには、このアクセス許可の使用を EKS クラスター名と Kubernetes CNI ノード名でタグ付けされたネットワークインターフェイスに制限するための条件が含まれています。
-
ec2:CreateTags
-CreateNetworkInterface
アクションによって作成されたネットワークインターフェイスへのタグの追加を許可します。
-
-
ec2
ネットワークインターフェイス管理のアクセス許可:-
ec2:AttachNetworkInterface
、ec2:DetachNetworkInterface
- EC2 インスタンスへのネットワークインターフェイスのアタッチとデタッチを許可します。 -
ec2:UnassignPrivateIpAddresses
、ec2:UnassignIpv6Addresses
、ec2:AssignPrivateIpAddresses
、ec2:AssignIpv6Addresses
- ネットワークインターフェイスの IP アドレス割り当ての管理を許可します。 -
これらのアクセス許可は、EKS クラスター名でタグ付けされたネットワークインターフェイスに制限されます。
-
JSON ポリシードキュメントの最新バージョンを確認するには、AWS マネージドポリシーリファレンスガイドの「AmazonEKSNetworkingPolicy」を参照してください。
AWS マネージドポリシー: AmazonEKSBlockStoragePolicy
IAM エンティティに AmazonEKSBlockStoragePolicy
をアタッチできます。このポリシーをクラスター IAM ロールにアタッチして、EKS がアカウントで管理できるリソースを拡張できます。
このポリシーは、Amazon EKS が EKS クラスターのために EC2 ボリュームとスナップショットを作成、管理、メンテナンスするために必要な許可を付与し、Kubernetes ワークロードが必要とする永続的ストレージをコントロールプレーンとワーカーノードがプロビジョニングおよび使用できるようにします。
許可の詳細
この IAM ポリシーは、Amazon EKS が EC2 ボリュームとスナップショットを管理できるように、次の許可を付与します:
-
ec2
ボリューム管理の許可:-
ec2:AttachVolume
、ec2:DetachVolume
、ec2:ModifyVolume
、ec2:EnableFastSnapshotRestores
- EC2 ボリュームの高速スナップショット復元のアタッチ、デタッチ、変更、有効化を許可します。 -
これらの許可は、EKS クラスター名でタグ付けされたボリュームに制限されます。
-
ec2:CreateTags
-CreateVolume
およびCreateSnapshot
アクションによって作成された EC2 ボリュームとスナップショットへのタグの追加を許可します。
-
-
ec2
ボリューム作成の許可:-
ec2:CreateVolume
- 新しい EC2 ボリュームの作成を許可します。 -
このポリシーには、この許可の使用を、EKS クラスター名および他の関連タグでタグ付けされたボリュームに制限する条件が含まれています。
-
ec2:CreateSnapshot
- 新しい EC2 ボリュームスナップショットの作成を許可します。 -
このポリシーには、この許可の使用を、EKS クラスター名および他の関連タグでタグ付けされたスナップショットに制限する条件が含まれています。
-
JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonEKSBlockStoragePolicy」を参照してください。
AWS マネージドポリシー: AmazonEKSLoadBalancingPolicy
IAM エンティティに AmazonEKSLoadBalancingPolicy
をアタッチできます。このポリシーをクラスター IAM ロールにアタッチして、EKS がアカウントで管理できるリソースを拡張できます。
この IAM ポリシーは、Amazon EKS が Elastic Load Balancer (ELB) および関連リソースを管理するためにさまざまな AWS サービスと連携するために必要な許可を付与します。
許可の詳細
このポリシーによって付与される主な許可は次のとおりです:
-
elasticloadbalancing
: Elastic Load Balancer とターゲットグループの作成、変更、管理を許可します。これには、ロードバランサー、ターゲットグループ、リスナー、ルールを作成、更新、削除するための許可が含まれます。 -
ec2
: Kubernetes コントロールプレーンがインスタンスをクラスターに参加させ、Amazon EBS ボリュームを管理するために必要なセキュリティグループの作成と管理を許可します。 -
iam
: Kubernetes コントロールプレーンが ELB を動的にプロビジョニングするために必要な、Elastic Load Balancing 用のサービスにリンクされたロールの作成を許可します。 -
kms
: etcd に保存されている Kubernetes シークレットの暗号化をサポートするために Kubernetes コントロールプレーンが必要とする AWS KMS からのキーの読み取りを許可します。 -
wafv2
およびshield
: ウェブ ACL 関連付けと関連付け解除、および Elastic Load Balancer のための AWS Shield 保護の作成/削除を許可します。 -
cognito-idp
、acm
、およびelasticloadbalancing
: ユーザープールクライアントの記述、証明書の一覧表示および記述、ならびにターゲットグループの記述を実行するための許可を付与します。これは、Kubernetes コントロールプレーンが Elastic Load Balancer を管理するために必要です。
また、このポリシーには、eks:eks-cluster-name
タグを使用して、許可の範囲が管理対象の特定の EKS クラスターに設定されているようにするための条件チェックもいくつか含まれています。
JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AmazonEKSLoadBalancingPolicy」を参照してください。
AWS 管理ポリシー: AmazonEKSServicePolicy
IAM エンティティに AmazonEKSServicePolicy
をアタッチできます。2020 年 4 月 16 日より前に作成されたクラスターでは、IAM ロールを作成し、このポリシーをアタッチする必要がありました。2020 年 4 月 16 日以降に作成されたクラスターでは、ロールを作成する必要はなく、このポリシーの割り当ても必要ありません。IAM プリンシパルを使用してクラスターを作成する場合、iam:CreateServiceLinkedRole
権限がある場合、AWSServiceRoleforAmazonEKS のサービスにリンクされたロールが自動的に作成されます。このサービスにリンクされたロールには、管理ポリシー: AmazonEKSServiceRolePolicy がアタッチされています。
このポリシーにより、Amazon EKS は Amazon EKS クラスターを操作するために必要なリソースを作成および管理できるようになります。
許可の詳細
このポリシーには、Amazon EKS が以下のタスクを完了できるようにする以下の権限が含まれています。
-
eks
- 更新を開始した後、クラスターの Kubernetes バージョンを更新します。この権限は Amazon EKS では使用されませんが、下位互換性のためにポリシーに残ります。 -
ec2
– Elastic Network Interface およびその他のネットワークリソースとタグを操作します。これは、ノードと Kubernetes コントロールプレーン間の通信を容易にするネットワーキングを設定するために、Amazon EKS で必要です。セキュリティグループに関する情報を確認します。セキュリティグループのタグを更新します。 -
route53
– VPC をホストゾーンに関連付けます。これは、Kubernetes クラスター API サーバーのプライベートエンドポイントネットワーキングを有効にするために、Amazon EKS で必要です。 -
logs
– ログイベント これは、Amazon EKS が Kubernetes コントロールプレーンログを CloudWatch に送信できるようにするために必要です。 -
iam
- サービスにリンクされたロールを作成します。これは、Amazon EKS がユーザーに代わって Amazon EKS でのサービスにリンクされたロールのアクセス許可 のサービスにリンクされたロールを作成するために必要です。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSServicePolicy olicy」を参照してください。
AWS 管理ポリシー: AmazonEKSServiceRolePolicy
IAM エンティティに AmazonEKSServiceRolePolicy
をアタッチすることはできません。このポリシーは、ユーザーに代わって Amazon EKS がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「Amazon EKS でのサービスにリンクされたロールのアクセス許可」を参照してください。iam:CreateServiceLinkedRole
権限のある IAM プリンシパルを使用してクラスターを作成する場合、AWSServiceRoleforAmazonEKS のサービスにリンクされたロールが自動的に作成され、このポリシーがアタッチされます。
このポリシーにより、サービスにリンクされたロールはユーザーに代わって AWS サービスを呼び出します。
許可の詳細
このポリシーには、Amazon EKS が以下のタスクを完了できるようにする以下の権限が含まれています。
-
ec2
– Elastic Network Interface と Amazon EC2 インスタンス、クラスターセキュリティグループ、およびクラスターの作成に必要な VPC を作成、記述します。詳細については、「クラスターの Amazon EKS セキュリティグループ要件を表示する」を参照してください。セキュリティグループに関する情報を確認します。セキュリティグループのタグを更新します。 -
iam
– IAM ロールにアタッチされているすべての管理ポリシーを一覧表示します。これは、Amazon EKS がクラスターの作成に必要なすべての管理ポリシーと権限を一覧表示および検証できるようにするために必要です。 -
VPC をホストゾーンに関連付ける - これは、Kubernetes クラスター API サーバーのプライベートエンドポイントネットワーキングを有効にするために、Amazon EKS で必要です。
-
ログイベント - これは、Amazon EKS が Kubernetes コントロールプレーンログを CloudWatch に送信できるようにするために必要です。
-
Put メトリクス – これは、Amazon EKS が Kubernetes コントロールプレーンログを CloudWatch に送信できるようにするために必要です。
-
eks
- クラスターアクセスエントリとポリシーを管理し、EKS リソースにアクセスできるユーザーと、それらのユーザーが実行できるアクションをきめ細かく制御できるようにします。これには、コンピューティング、ネットワーキング、ロードバランシング、ストレージオペレーションのために標準アクセスポリシーを関連付けることが含まれます。 -
elasticloadbalancing
- EKS クラスターに関連付けられているロードバランサーとそのコンポーネント (リスナー、ターゲットグループ、証明書) を作成、管理、削除します。ロードバランサーの属性とヘルスステータスを表示します。 -
events
- EKS クラスターに関連する EC2 イベントと AWS ヘルスイベントをモニタリングするための EventBridge ルールを作成および管理し、インフラストラクチャの変更とヘルスアラートへの自動応答を可能にします。 -
iam
- EKS ノードの管理に必要な作成、削除、ロールの関連付けなど、「eks」プレフィックスを使用して EC2 インスタンスプロファイルを管理します。 -
pricing
およびshield
- AWS の料金情報と Shield 保護ステータスにアクセスし、EKS リソースのコスト管理と高度なセキュリティ機能を可能にします。 -
リソースのクリーンアップ - クラスターのクリーンアップオペレーション中に、ボリューム、スナップショット、起動テンプレート、ネットワークインターフェイスなどの EKS タグ付きリソースを安全に削除します。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSServiceRolePolicy」を参照してください。
AWS 管理ポリシー: AmazonEKSVPCResourceController
AmazonEKSVPCResourceController
ポリシーは IAM ID にアタッチできます。ポッドのセキュリティグループを使用している場合は、ユーザーに代わってアクションを実行させるために、このポリシーを Amazon EKS クラスターの IAM ロールにアタッチする必要があります。
このポリシーは、ノードの Elastic Network Interface と IP アドレスを管理するアクセス権限をクラスターロールに付与します。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ec2
- Elastic Network Interface と IP アドレスを管理し、Pod セキュリティグループと Windows ノードをサポートします。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSVPCResourceController」を参照してください。
AWS 管理ポリシー: AmazonEKSWorkerNodePolicy
AmazonEKSWorkerNodePolicy
ポリシーを IAM エンティティにアタッチできます。このポリシーを、Amazon EKS がユーザーに代わってアクションを実行することを許可する Amazon EC2 ノードを作成するときに指定するノード IAM ロールにアタッチしなければなりません。eksctl
を使用してノードグループを作成すると、ノード IAM ロールが作成され、このポリシーをロールに自動的にアタッチします。
このポリシーは、Amazon EKS Amazon EC2 ノードに Amazon EKS クラスターに接続するためのアクセス権限を付与します。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ec2
– インスタンスボリュームとネットワーク情報を読み取ります。これは、Kubernetes ノードが Amazon EKS クラスターに参加するのに必要な Amazon EC2 リソースに関する情報を記述できるようにするために必要です。 -
eks
– オプションで、ノードのブートストラップの一部としてクラスターを記述します。 -
eks-auth:AssumeRoleForPodIdentity
– ノード上の EKS ワークロードの認証情報を取得できるようにします。これは、EKS Pod Identity が正しく機能するために必要です。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSWorkerNodePolicy Policy」を参照してください。
AWS マネージドポリシー: AmazonEKSWorkerNodeMinimalPolicy
IAM エンティティに AmazonEKSWorkerNodeMinimalPolicy をアタッチできます。このポリシーを、Amazon EKS がユーザーに代わってアクションを実行することを許可する Amazon EC2 ノードを作成するときに指定するノード IAM ロールにアタッチすることができます。
このポリシーは、Amazon EKS Amazon EC2 ノードに Amazon EKS クラスターに接続するためのアクセス権限を付与します。このポリシーのアクセス許可は、AmazonEKSWorkerNodePolicy に比べて少なくなります。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
eks-auth:AssumeRoleForPodIdentity
– ノード上の EKS ワークロードの認証情報を取得できるようにします。これは、EKS Pod Identity が正しく機能するために必要です。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSWorkerNodePolicy Policy」を参照してください。
AWS 管理ポリシー: AWSServiceRoleForAmazonEKSNodegroup
IAM エンティティに AWSServiceRoleForAmazonEKSNodegroup
をアタッチすることはできません。このポリシーは、ユーザーに代わって Amazon EKS がアクションを実行することを許可する、サービスにリンクされたロールにアタッチされます。詳細については、「Amazon EKS でのサービスにリンクされたロールのアクセス許可」を参照してください。
このポリシーは、AWSServiceRoleForAmazonEKSNodegroup
ロール権限を付与し、アカウント内の Amazon EC2 ノードグループを作成および管理できるようにします。
許可の詳細
このポリシーには、Amazon EKS に以下のタスクを完了させるための以下の権限が含まれています。
-
ec2
– セキュリティグループ、タグ、キャパシティ予約、および起動テンプレートを操作します。これは、Amazon EKS マネージド型ノードグループがリモートアクセス設定を有効にし、マネージド型ノードグループで使用できるキャパシティ予約を記述するために必要です。さらに、Amazon EKS マネージド型ノードグループは、ユーザーに代わって起動テンプレートを作成します。これは、各マネージド型ノードグループをバックアップする Amazon EC2 Auto Scaling グループを設定するためです。 -
iam
– サービスにリンクされたロールを作成し、ロールを渡します。これは、Amazon EKS マネージド型ノードグループが、マネージドノードグループの作成時に渡されるロールのインスタンスプロファイルを管理するために必要です。このインスタンスプロファイルは、マネージド型ノードグループの一部として起動される Amazon EC2 インスタンスによって使用されます。Amazon EKS は、Amazon EC2 Auto Scaling グループなどの他のサービスに対してサービスリンクされたロールを作成する必要があります。これらの権限は、マネージド型ノードグループの作成に使用されます。 -
autoscaling
– セキュリティの Auto Scaling グループを使用します。これは、Amazon EKS マネージド型ノードグループが、各マネージドノードグループをバックアップする Amazon EC2 Auto Scaling グループを管理するために必要です。また、ノードグループの更新中にノードが終了またはリサイクルされたときに Pods を強制撤去させるなどの機能をサポートするためにも使用されます。
JSON ポリシードキュメントの最新バージョンを確認するには、「AWS マネージドポリシーリファレンスガイド」の「AWSServiceRoleForAmazonEKSNodegroup」を参照してください。
AWS 管理ポリシー: AmazonEBSCSIDriverPolicy
AmazonEBSCSIDriverPolicy
ポリシーは、Amazon EBS Container Storage Interface (CSI) ドライバーが、ユーザーに代わってボリュームを作成、変更、アタッチ、デタッチ、削除できるようにします。また、EBS CSI ドライバーに、スナップショットの作成と削除、インスタンス、ボリューム、およびスナップショットの一覧表示を行う権限も付与します。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEBSCSIDriverServiceRolePolicy」を参照してください。
AWS マネージドポリシー: AmazonEFSCSIDriverPolicy
AmazonEFSCSIDriverPolicy
ポリシーでは、Amazon EFS コンテナストレージインターフェイス (CSI) がユーザーに代わってアクセスポイントを作成および削除できるようにすることができます。また、Amazon EFS CSI ドライバーに、アクセスポイント、ファイルシステム、マウントターゲット、Amazon EC2 アベイラビリティゾーンを一覧表示するアクセス許可を付与することもできます。
JSON ポリシードキュメントの最新バージョンを確認するには、AWS マネージドポリシーリファレンスガイドの「AmazonEFSCSIDriverServiceRolePolicy」を参照してください。
AWS マネージドポリシー: AmazonEKSLocalOutpostClusterPolicy
このポリシーを IAM エンティティにアタッチできます。ローカルクラスターを作成する前に、このポリシーをクラスターロールにアタッチする必要があります。Amazon EKS によって管理される Kubernetes クラスターは、お客様に代わって他の AWS サービスへの呼び出しを行います。これにより、サービスで使用するリソースを管理します。
AmazonEKSLocalOutpostClusterPolicy
には以下の権限が含まれています。
-
ec2
読み取りアクション – コントロールプレーンインスタンスがアベイラビリティーゾーン、ルートテーブル、インスタンス、およびネットワークインターフェイスのプロパティを記述することを許可します。Amazon EC2 インスタンスがコントロールプレーンインスタンスとしてクラスターに正常に参加するには、許可が必要です。 -
ssm
- Amazon EC2 Systems Manager がコントロールプレーンインスタンスに接続できるようにします。これは、アカウントのローカルクラスターと通信して管理するために、Amazon EKS によって使用されます。 -
logs
- インスタンスが Amazon CloudWatch にログをプッシュできるようにします。 -
secretsmanager
- インスタンスがコントロールプレーンインスタンスのブートストラップデータを AWS Secrets Manager から安全に取得および削除できるようにします。 -
ecr
- コントロールプレーンインスタンス上で動作している Pods とコンテナが、Amazon Elastic Container Registry に格納されているコンテナイメージをプルできるようにします。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSLocalOutPostClusterPolicy」を参照してください。
AWS マネージドポリシー: AmazonEKSLocalOutpostServiceRolePolicy
このポリシーを IAM エンティティにアタッチすることはできません。iam:CreateServiceLinkedRole
権限のある IAM プリンシパルを使用してクラスターを作成する場合、Amazon EKS は、AWSServiceRoleforAmazonEKSLocalOutpost のサービスにリンクされたロールを自動的に作成し、このポリシーをアタッチします。このポリシーは、サービスにリンクされたロールはローカルクラスターの代わりに AWS サービスを呼び出すことを許可します。
AmazonEKSLocalOutpostServiceRolePolicy
には以下の権限が含まれています。
-
ec2
- Amazon EKS がセキュリティ、ネットワーク、その他のリソースと連携して、アカウント内のコントロールプレーンインスタンスを正常に起動および管理できるようにします。 -
ssm
- Amazon EC2 Systems Manager がコントロールプレーンインスタンスに接続できるようにします。これは、アカウントのローカルクラスターと通信して管理するために、Amazon EKS によって使用されます。 -
iam
- Amazon EKS がコントロールプレーンインスタンスに関連付けられたインスタンスプロファイルを管理できるようにします。 -
secretsmanager
- Amazon EKS がコントロールプレーンインスタンスのブートストラップデータを AWS Secrets Manager に格納できるようにします。これにより、インスタンスのブートストラップ中に安全に参照できるようになります。 -
outposts
- Amazon EKS がお客様のアカウントから Outpost 情報を取得して、Outpost でローカルクラスターを正常に起動できるようにします。
JSON ポリシードキュメントの最新バージョンを確認するには、『AWS管理ポリシーリファレンスガイド』の「AmazonEKSLocalOutPostServiceRolePolicy」を参照してください。
Amazon EKS による AWS 管理ポリシーの更新
Amazon EKS の AWS 管理ポリシーの更新に関する詳細を、このサービスがこれらの変更の追跡を開始した以降の分について表示します。このページの変更に関する自動通知を入手するには、Amazon EKS ドキュメントの履歴ページから、RSS フィードにサブスクライブしてください。
変更 | 説明 | 日付 |
---|---|---|
許可を AWS 管理ポリシー: AWSServiceRoleForAmazonEKSNodegroup に追加しました。 |
|
2024 年 11 月 22 日 |
アクセス許可を AWS マネージドポリシー: AmazonEKSLocalOutpostClusterPolicy に追加しました。 |
各ノードが存在するアベイラビリティーゾーンを、クラスターコントロールプレーンの AWS Cloud Controller Manager が識別できるように、 |
2024 年 11 月 21 日 |
許可を AWS 管理ポリシー: AWSServiceRoleForAmazonEKSNodegroup に追加しました。 |
Amazon EKS マネージドノードグループによって作成されたインスタンスのために |
2024 年 11 月 20 日 |
許可を AWS 管理ポリシー: AmazonEKSServiceRolePolicy に追加しました。 |
EKS が AWS マネージドポリシー |
2024 年 11 月 16 日 |
AWS マネージドポリシー: AmazonEKSComputePolicy について説明しました。 |
EKS が AWS マネージドポリシー |
2024 年 11 月 7 日 |
AWS マネージドポリシー: AmazonEKSComputePolicy について説明しました。 |
AWS は |
2024 年 11 月 1 日 |
アクセス許可を |
Amazon EKS がトポロジ情報をラベルとしてノードにアタッチできるようにする |
2024 年 11 月 1 日 |
AWS マネージドポリシー: AmazonEKSBlockStoragePolicy について説明しました。 |
AWS は |
2024 年 10 月 30 日 |
AWS マネージドポリシー: AmazonEKSLoadBalancingPolicy について説明しました。 |
AWS は |
2024 年 10 月 30 日 |
AmazonEKSServiceRolePolicy に許可を追加しました。 |
Amazon EKS が Amazon CloudWatch にメトリクスを発行できるようにする |
2024 年 10 月 29 日 |
AWS 管理ポリシー: AmazonEKSNetworkingPolicy について説明しました。 |
AWS は |
2024 年 10 月 28 日 |
|
EKS がセキュリティグループ情報を読み取り、関連するタグを更新できるように、 |
2024 年 10 月 10 日 |
AmazonEKSWorkerNodeMinimalPolicy を導入しました。 |
AWS は |
2024 年 10 月 3 日 |
AWSServiceRoleForAmazonEKSNodegroup に権限を追加しました。 |
Amazon EKS が管理する Auto Scaling グループで Amazon EKS が |
2024 年 8 月 21 日 |
AWSServiceRoleForAmazonEKSNodegroup に権限を追加しました。 |
Amazon EKS がユーザーのアカウントでキャパシティ予約を記述できるようにする |
2024 年 6 月 27 日 |
AmazonEKS _CNI_Policy – 既存のポリシーへの更新 |
Amazon EKS は、Amazon VPC CNI plugin for Kubernetes が Amazon VPC サブネット内の空き IP アドレスの量を確認できるようにする新しい |
2024 年 3 月 4 日 |
AmazonEKSWorkerNodePolicy – 既存のポリシーへの更新 |
Amazon EKS は EKS Pod Identity を許可する新しいアクセス権限を追加しました。Amazon EKS Pod Identity エージェントはノードロールを使用します。 |
2023 年 11 月 26 日 |
AmazonEFSCSIDriverPolicy を導入しました。 |
AWS は |
2023 年 7 月 26 日 |
AmazonEKSClusterPolicy に権限を追加しました。 |
ロードバランサーを作成しながら、サブネットの自動検出中に Amazon EKS が AZ の詳細を取得できるようにする |
2023 年 2 月 7 日 |
AmazonEBSCSIDriverPolicy のポリシー条件が更新されました。 |
|
2022 年 11 月 17 日 |
AmazonEKSLocalOutpostServiceRolePolicy にアクセス許可を追加しました。 |
前提条件の検証とマネージドライフサイクルの管理が向上するように、 |
2022 年 10 月 24 日 |
AmazonEKSLocalOutpostClusterPolicy の Amazon Elastic Container Registry のアクセス権限を更新します。 |
|
2022 年 10 月 20 日 |
AmazonEKSLocalOutpostClusterPolicy にアクセス許可を追加しました。 |
クラスターコントロールプレーンインスタンスがいくつかの |
2022 年 8 月 31 日 |
AmazonEKSLocalOutpostClusterPolicy を導入しました。 |
AWS は |
2022 年 8 月 24 日 |
AWS は |
2022 年 8 月 23 日 |
|
AmazonEBSCSIDriverPolicy を導入しました。 |
AWS は |
2022 年 4 月 4 日 |
AmazonEKSWorkerNodePolicy に権限を追加しました。 |
インスタンスレベルのプロパティを自動検出できる Amazon EKS に最適化された AMI を有効化する |
2022 年 3 月 21 日 |
AWSServiceRoleForAmazonEKSNodegroup に権限を追加しました。 |
Amazon EKS がメトリクスの収集を有効にすることを許可する |
2021 年 12 月 13 日 |
AmazonEKSClusterPolicy に権限を追加しました。 |
|
2021 年 6 月 17 日 |
Amazon EKS が変更の追跡を開始しました。 |
Amazon EKS が AWS 管理ポリシーの変更の追跡を開始しました。 |
2021 年 6 月 17 日 |