配置 Pods 以使用 Kubernetes 服务账户

如果 Pod 需要访问 AWS 服务，则您必须配置它以使用 Kubernetes 服务账户。服务账户必须关联到有权访问 AWS 服务的 AWS Identity and Access Management（IAM）角色。

先决条件

现有集群。如果还没有，可以使用开始使用 Amazon EKS 指南之一创建一个。
集群的现有 IAM OpenID Connect（OIDC）提供商。要了解您是否已拥有一个（IAM）角色或如何创建一个（IAM）角色，请参阅为集群创建 IAM OIDC 提供商。
与 IAM 角色关联的现有 Kubernetes 服务账户。必须使用 IAM 角色的 Amazon 资源名称（ARN）注释服务账户。该角色必须具有关联的 IAM 策略，其中包含您希望您的 Pods 必须具有的权限，以便使用 AWS 服务。有关如何创建和配置服务账户和角色的更多信息，请参阅为 Kubernetes 服务账户分配 IAM 角色。
在您的设备或 AWS CloudShell 上安装和配置了 AWS Command Line Interface（AWS CLI）的版本 2.12.3 或更高版本，或版本 1.27.160 或更高版本。要查看当前版本，请使用 aws --version | cut -d / -f2 | cut -d ' ' -f1。软件包管理器（如 yum、apt-get 或适用于 macOS 的 Homebrew）通常比 AWS CLI 的最新版本落后几个版本。要安装最新版本，请参阅《AWS Command Line Interface 用户指南》中的安装、更新和卸载 AWS CLI，以及使用 aws configure 快速配置。AWS CloudShell 中安装的 AWS CLI 版本也可能比最新版本落后几个版本。如需更新，请参阅《AWS CloudShell 用户指南》中的将 AWS CLI 安装到主目录。
您的设备或 AWS CloudShell 上安装了 kubectl 命令行工具。该版本可以与集群的 Kubernetes 版本相同，或者最多早于或晚于该版本一个次要版本。例如，如果您的集群版本为 1.29，则可以将 kubectl 的 1.28、1.29 或 1.30 版本与之配合使用。要安装或升级 kubectl，请参阅设置 kubectl 和 eksctl。
包含集群配置的现有 kubectl config 文件。要创建 kubectl config 文件，请参阅通过创建 kubeconfig 文件将 kubectl 连接到 EKS 集群。

要配置 Pod 以使用服务账户

使用以下命令创建部署清单，您可以使用该部署清单部署 Pod 以确认配置。将 example values 替换为您自己的值。


cat >my-deployment.yaml <<EOF
apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-app
spec:
  selector:
    matchLabels:
      app: my-app
  template:
    metadata:
      labels:
        app: my-app
    spec:
      serviceAccountName: my-service-account
      containers:
      - name: my-app
        image: public.ecr.aws/nginx/nginx:X.XX
EOF

将清单部署到集群。
```
kubectl apply -f my-deployment.yaml
```
确认您的 Pod 具有所需的环境变量。
1. 按上一步部署后，查看部署的 Pods。
```
kubectl get pods | grep my-app
```
  示例输出如下。
```
my-app-6f4dfff6cb-76cv9   1/1     Running   0          3m28s
```
2. 查看 Pod 使用的 IAM 角色的 ARN。
```
kubectl describe pod my-app-6f4dfff6cb-76cv9 | grep AWS_ROLE_ARN:
```
  示例输出如下。
```
AWS_ROLE_ARN:                 arn:aws:iam::111122223333:role/my-role
```
  角色 ARN 必须与您用于注释现有服务账户的角色 ARN 匹配。有注释服务账户的更多信息，请参阅为 Kubernetes 服务账户分配 IAM 角色。
3. 确认 Pod 具有 Web 身份令牌文件挂载。
```
kubectl describe pod my-app-6f4dfff6cb-76cv9 | grep AWS_WEB_IDENTITY_TOKEN_FILE:
```
  示例输出如下。
```
AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token
```
  kubelet 代表 Pod 请求并存储令牌。默认情况下，如果令牌早于其总生存时间的 80%，或者令牌大于 24 小时，则 kubelet 会刷新令牌。您可以使用 Pod 规范中的设置修改任何账户（默认服务账户除外）的过期期限。有关更多信息，请参阅 Kubernetes 文档中的服务账户令牌卷预测。
  
  集群上的 Amazon EKS 容器组（pod）身份 Webhook 监控使用具有以下注释的服务账户的 Pods：
```
eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role
```
  Webhook 将之前的环境变量应用于这些 Pods。您的集群无需使用 Webhook 来配置环境变量和令牌文件挂载。您可以手动配置 Pods 以包含这些环境变量。AWS 开发工具包支持的版本首先在凭证链提供商中查找这些环境变量。角色凭证用于满足这些标准的 Pods。
确认您的 Pods 可以使用您在附加到角色的 IAM policy 中分配的权限与 AWS 服务进行交互。

注意
当 Pod 使用来自与服务账户关联的 IAM 角色的 AWS 凭证时，该 Pod 容器中的 AWS CLI 或其他开发工具包仅使用该角色提供的凭证。如果您不限制对提供给 Amazon EKS 节点 IAM 角色的凭证的访问，Pod 仍然可以访问这些凭证。有关更多信息，请参阅限制对分配给工作节点的实例配置文件的访问。

如果您的 Pods 无法按预期与服务进行交互，请完成以下步骤以确认所有配置都正确。
1. 确认您的 Pods 使用支持通过 OpenID Connect Web 身份令牌文件分派 IAM 角色的 AWS 开发工具包版本。有关更多信息，请参阅将 IRSA 与 AWS SDK 结合使用。
2. 确认部署正在使用服务账户。
```
kubectl describe deployment my-app | grep "Service Account"
```
  示例输出如下。
```
Service Account:  my-service-account
```
3. 如果您的 Pods 仍然无法访问服务，请查看为 Kubernetes 服务账户分配 IAM 角色中描述的步骤，以确认您的角色和服务账户的配置都正确。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

为服务账户分配 IAM 角色

使用区域 AWS STS 端点

配置 Pods 以使用 Kubernetes 服务账户

先决条件

要配置 Pod 以使用服务账户

注意