Ajudar a melhorar esta página
Quer contribuir para este guia do usuário? Role até o final desta página e selecione Editar esta página no GitHub. Suas contribuições ajudarão a tornar nosso guia do usuário melhor para todos.
Perfil do IAM para execução de Pod do Amazon EKS
A função de execução de Pod do Amazon EKS é necessária para executar Pods na infraestrutura do AWS Fargate.
Quando o cluster cria Pods na infraestrutura do AWS Fargate, os componentes que estão em execução na infraestrutura do Fargate devem fazer as chamadas para as APIs da AWS em seu nome. Isso ocorre para que eles possam realizar ações como extrair imagens de contêiner do Amazon ECR ou encaminhar logs para outros serviços da AWS. A função de execução de Pod do Amazon EKS fornece as permissões do IAM para isso.
Ao criar um perfil do Fargate, é necessário especificar uma função de execução de Pod para os componentes do Amazon EKS que são executados na infraestrutura do Fargate usando o perfil. Essa função é adicionada ao Controle de acesso com base em função (RBAC)kubelet
que está sendo executado na infraestrutura do Fargate seja registrado no cluster do Amazon EKS para aparecer no cluster como um nó.
nota
O perfil do Fargate deve ter uma função do IAM diferente dos grupos de nós do Amazon EC2.
Importante
Os contêineres em execução no Pod do Fargate não podem assumir as permissões do IAM associadas a uma função de execução de Pod. Para dar aos contêineres de Pod do Fargate permissões de acesso a outros serviços da AWS, você deve usar Perfis do IAM para contas de serviço.
Antes de criar um perfil do Fargate, é necessário criar um perfil do IAM com a AmazonEKSFargatePodExecutionRolePolicy
.
Verifique se existe uma função de execução de Pod configurada corretamente
É possível usar o procedimento a seguir para verificar se a conta já tem uma função de execução de Pod do Amazon EKS configurada corretamente. Para evitar um problema de segurança de representante confuso, é importante que a função restrinja o acesso com base no SourceArn
. É possível modificar a função de execução conforme necessário de forma a incluir suporte para perfis do Fargate em outros clusters.
Para verificar se há uma função de execução de Pod do Amazon EKS no console do IAM
Abra o console IAM em https://console.aws.amazon.com/iam/
. -
No painel de navegação à esquerda, escolha Roles.
-
Na página Roles (Funções), procure AmazonEKSFargatePodExecutionRole na lista de funções. Se a função não existir, consulte Criar a função de execução de Pod do Amazon EKS para criá-la. Se a função existir, escolha-a.
-
Na página AmazonEKSFargatePodExecutionRole, faça o seguinte:
-
Escolha Permissões.
-
Certifique-se de que a política gerenciada pela Amazon AmazonEKSFargatePodExecutionRolePolicy esteja associada ao perfil.
-
Escolha Relações de Confiança.
-
Escolha Edit trust policy (Editar política de confiança).
-
-
Na página Edit trust policy (Editar política de confiança), verifique se a relação de confiança contém a política a seguir e tem uma linha para perfis do Fargate no cluster. Em caso afirmativo, escolha Cancel (Cancelar).
{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Condition": { "ArnLike": { "aws:SourceArn": "arn:aws:eks:
region-code
:111122223333
:fargateprofile/my-cluster
/*" } }, "Principal": { "Service": "eks-fargate-pods.amazonaws.com" }, "Action": "sts:AssumeRole" } ] }Se a política corresponder, mas não tiver uma linha especificando os perfis do Fargate no seu cluster, será possível adicionar a seguinte linha sobre o objeto
ArnLike
. Substitua
pela Região da AWS na qual seu cluster se encontra,region-code
pelo ID da sua conta e111122223333
pelo nome do cluster.my-cluster
"aws:SourceArn": "arn:aws:eks:
region-code
:111122223333
:fargateprofile/my-cluster
/*",Se a política não corresponder, copie a política anterior completa para o formulário e escolha Update policy (Atualizar política). Substitua
pela Região da AWS em que seu cluster está localizado. Se você quiser usar a mesma função em todas as Regiões da AWS da sua conta, substituaregion-code
region-code
por*
. Substitua
pelo ID da conta e111122223333
pelo nome do cluster. Se quiser usar a mesma função para todos os clusters da sua conta, substituamy-cluster
pormy-cluster
*
.
Criar a função de execução de Pod do Amazon EKS
Se você ainda não tiver a função de execução de Pod do Amazon EKS para o cluster, poderá utilizar o AWS Management Console ou a AWS CLI para criá-la.