建立 IAM OIDC 叢集的 提供者

您的叢集具有 OpenID Connect (OIDC) 發行者與其相關聯的 URL。若要針對服務帳戶使用 AWS Identity and Access Management (IAM) 角色，請使用 IAM OIDC 叢集的 提供者必須存在 OIDC 發行者 URL。

• 現有的 Amazon EKS 叢集。若要部署叢集，請參閱 Amazon EKS 入門。

• 在您的裝置 or AWS CloudShell 上安裝和設定的 AWS 命令列介面 (AWS CLI) 版本 1.27.160 2.12.3或更新版本。若要檢查您目前的版本，請使用 aws --version | cut -d / -f2 | cut -d ' ' -f1。套件管理員apt-get，例如 yum、 或 Homebrew for macOS 通常是最新版本 AWS CLI 後面的幾個版本。若要安裝最新版本，請參閱 AWS 命令列介面使用者指南中的使用 aws 設定安裝 和 快速組態。 https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-quickstart.html#cli-configure-quickstart-config安裝在 in AWS CLI 中的 AWS CloudShell 版本也可能是最新版本後面的幾個版本。若要更新它，請參閱 AWS CLI 使用者指南中的將 Word 安裝到您的主目錄。 AWS CloudShell

• kubectl 命令列工具安裝在您的裝置或 AWS CloudShell 上。版本可以與 相同，也可以比 更早或更晚的一個次要版本相同 Kubernetes 叢集的版本。例如，如果您的叢集版本為 1.29，則可以搭配使用 kubectl 1.28、1.29 或 1.30 版。若要安裝或升級 kubectl，請參閱 設定 kubectl 和 eksctl。

• 包含叢集組態的現有 kubectl config 檔案。若要建立 kubectl config 檔案，請參閱建立 kubeconfig 檔案，將 kubectl 連接至 EKS 叢集。

您可以建立 IAM OIDC 使用 eksctl或 的叢集提供者 AWS Management Console。

建立 OIDC 提供者 (eksctl)

1. 裝置 or AWS CloudShell 上安裝的eksctl命令列工具版本 0.194.0或更新版本。如需有關安裝或更新 eksctl 的指示，請參閱 eksctl 文件中的安裝一節。

2. 判斷 OIDC 叢集的發行者 ID。

   擷取叢集的 OIDC 發行者 ID，並將其儲存在變數中。Replace (取代) my-cluster 使用您自己的值。

   cluster_name=my-cluster

oidc_id=$(aws eks describe-cluster --name $cluster_name --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

echo $oidc_id

1. 判斷 IAM 是否 OIDC 具有叢集發行者 ID 的 提供者已存在於您的帳戶中。

   aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

   如果傳回輸出，則表示您已經有 IAM OIDC 叢集的 提供者，您可以略過下一個步驟。如果未傳回輸出，則必須建立 IAM OIDC 叢集的 提供者。

2. 建立 IAM OIDC 叢集的身分提供者，請使用下列命令。

   eksctl utils associate-iam-oidc-provider --cluster $cluster_name --approve

   注意

   如果您啟用 EKS VPC端點，則無法從該 EKS 內部存取 VPC OIDC服務端點。因此，例如在 OIDC eksctl中使用 建立 VPC 提供者等操作將無法運作，而且在嘗試請求 時會導致逾時 https://oidc.eks.region.amazonaws.com。以下是範例錯誤訊息：

** server cant find oidc.eks.region.amazonaws.com: NXDOMAIN

若要完成此步驟，您可以在 VPC 之外執行 命令，例如 in AWS CloudShell 或連接至網際網路的電腦上。或者，您可以在 VPC 中建立分割水平條件式解析器，例如 Route 53 Resolver，以使用 OIDC 發行者 URL 的不同解析器，而不是使用 VPC DNS進行解析。如需 中的條件式轉送範例 CoreDNS，請參閱 上的 Amazon EKS 功能請求 GitHub.

建立 OIDC 供應商AWS （主控台）

1. 開啟 Amazon EKS 主控台。

2. 在左側窗格中，選取 Clusters (叢集)，然後在 Clusters (叢集) 頁面上選取您的叢集名稱。

3. 在概觀索引標籤的詳細資訊區段中，記下 OpenID Connect 供應商 URL 的值。

4. 在 IAM 開啟 https://console.aws.amazon.com/iam/ 主控台。

5. 在左側導覽窗格中，選擇 Access management (存取管理) 下的 Identity Providers (身分提供者)。如果列出的提供者與叢集的 URL 相符，則表示您已有叢集的提供者。如果未列出符合叢集 URL 的提供者，則必須建立一個。

6. 若要建立供應商，請選擇 Add provider (新增供應商)。

7. 針對提供者類型，選取 OpenID Connect .

8. 對於提供者 URL，輸入 OIDC 叢集的提供者 URL。

9. 針對對象，輸入 sts.amazonaws.com。

10. （選用） 新增任何標籤，例如標籤，以識別適用於此提供者的叢集。

11. 選擇 Add provider (新增提供者)。

後續步驟：指派 IAM 角色至 Kubernetes 服務帳戶