Gerencie usuários e funções do IAM

nota

A AWS sugere migrar para Associações de identidade do EKS Pod a partir do. aws-auth ConfigMap

Os clusters EKS usam usuários e funções do IAM para controlar o acesso ao cluster. As regras são implementadas em um mapa de configuração

Editar ConfigMap com um comando CLI

chamadoaws-auth. eksctlfornece comandos para ler e editar esse mapa de configuração.

Obtenha todos os mapeamentos de identidade:

eksctl get iamidentitymapping --cluster <clusterName> --region=<region>

Obtenha todos os mapeamentos de identidade correspondentes a um arn:

eksctl get iamidentitymapping --cluster <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing-role

Crie um mapeamento de identidade:

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing --group system:masters --username admin

Exclua um mapeamento de identidade:

eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --arn arn:aws:iam::123456:role/testing

nota

O comando acima exclui um único FIFO de mapeamento, a menos que --all seja fornecido. Nesse caso, ele remove todas as correspondências. Avisará se forem encontrados mais mapeamentos que correspondam a essa função.

Crie um mapeamento de conta:

 eksctl create iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Exclua um mapeamento de conta:

 eksctl delete iamidentitymapping --cluster  <clusterName> --region=<region> --account user-account

Editar ConfigMap usando um ClusterConfig arquivo

Os mapeamentos de identidade também podem ser especificados em: ClusterConfig

---
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: cluster-with-iamidentitymappings
  region: us-east-1

iamIdentityMappings:
  - arn: arn:aws:iam::000000000000:role/myAdminRole
    groups:
      - system:masters
    username: admin
    noDuplicateARNs: true # prevents shadowing of ARNs

  - arn: arn:aws:iam::000000000000:user/myUser
    username: myUser
    noDuplicateARNs: true # prevents shadowing of ARNs

  - serviceName: emr-containers
    namespace: emr # serviceName requires namespace

  - account: "000000000000" # account must be configured with no other options

nodeGroups:
  - name: ng-1
    instanceType: m5.large
    desiredCapacity: 1

 eksctl create iamidentitymapping -f cluster-with-iamidentitymappings.yaml