本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
Amazon Elastic Kubernetes Service 的動作、資源與條件索引鍵
Amazon 彈性 Kubernetes 服務 (服務前綴：eks) 提供下列服務特定資源、動作和條件內容金鑰，可用於許可政策。IAM
參考資料：
-
了解如何設定此服務。
-
檢視此服務可用的API作業清單。
-
了解如何使用權限原則來保護此服務及其IAM資源的安全。
主題
Amazon Elastic Kubernetes Service 定義的動作
您可以在IAM策略陳述式的Action元素中指定下列動作。使用政策來授予在 AWS中執行操作的許可。當您在策略中使用動作時，通常會允許或拒絕存取具有相同名稱的API作業或CLI命令。不過，在某些情況下，單一動作可控制對多個操作的存取。或者，某些操作需要多種不同的動作。
「動作」資料表的資源類型欄會指出每個動作是否支援資源層級的許可。如果此欄沒有值，您必須在政策陳述式的 Resource 元素中指定政策適用的所有資源 ("*")。如果資料行包含資源類型，則您可以使用該動作在陳述式中指定該類型ARN的類型。如果動作具有一或多個必要資源，呼叫者必須具有對這些資源使用動作的許可。表格中的必要資源會以星號 (*) 表示。如果您使用策略中的Resource元素限制資源存取，IAM則必須針對每個所需資源類型包含ARN或模式。某些動作支援多種資源類型。如果資源類型是選用 (未顯示為必要)，則您可以選擇使用其中一種選用資源類型。
「動作」資料表的條件索引鍵欄包含您可以在政策陳述式的 Condition 元素中指定的索引鍵。如需有關與服務資源相關聯之條件索引鍵的詳細資訊，請參閱「資源類型」資料表的條件索引鍵欄。
注意
資源條件索引鍵會列在資源類型資料表中。您可以在「動作」資料表的資源類型 (*必填) 欄中找到適用於動作的資源類型連結。「資源類型」資料表中的資源類型包括條件索引鍵欄，其中包含套用至「動作」資料表中動作的資源條件索引鍵。
如需下表各欄的詳細資訊，請參閱動作資料表。
| 動作 | 描述 | 存取層級 | 資源類型 (*必填項目) | 條件索引鍵 | 相依動作 |
|---|---|---|---|---|---|
| AccessKubernetesApi [僅限許可] | 授與透過主控台檢視 Kubernetes 物件的權限 AWS EKS | 讀取 | |||
| AssociateAccessPolicy | 授予將 Amazon EKS 存取政策與 Amazon 存取項目相關聯的EKS權限 | 寫入 | |||
| AssociateEncryptionConfig | 准許將加密組態與叢集關聯 | 寫入 | |||
| AssociateIdentityProviderConfig | 准許將身分提供者組態與叢集關聯 | 寫入 | |||
| CreateAccessEntry | 授予建立 Amazon EKS 存取項目的權限 | 寫入 | |||
| CreateAddon | 授予建立 Amazon EKS 附加元件的權限 | 寫入 | |||
| CreateCluster | 授予建立 Amazon EKS 叢集的權限 | 寫入 |
eks:bootstrapClusterCreatorAdminPermissions |
||
| CreateEksAnywhereSubscription | 授予建立EKS隨處訂閱的權限 | 寫入 | |||
| CreateFargateProfile | 授予創建 AWS Fargate 配置文件的權限 | 寫入 | |||
| CreateNodegroup | 授予創建 Amazon EKS 節點組的權限 | 寫入 | |||
| CreatePodIdentityAssociation | 授與建立EKS網繭身分識別關聯的權限 | 寫入 | |||
| DeleteAccessEntry | 授予刪除 Amazon EKS 訪問條目的權限 | 寫入 | |||
| DeleteAddon | 授予刪除 Amazon EKS 附加元件的權限 | 寫入 | |||
| DeleteCluster | 授予刪除 Amazon EKS 叢集的權限 | 寫入 | |||
| DeleteEksAnywhereSubscription | 授予描述 EKS Anywhere 訂閱的權限 | 寫入 | |||
| DeleteFargateProfile | 授予刪除 AWS Fargate 設定檔的權限 | 寫入 | |||
| DeleteNodegroup | 授予刪除 Amazon EKS 節點組的權限 | 寫入 | |||
| DeletePodIdentityAssociation | 授與刪除EKS網繭身分識別關聯的權限 | 寫入 | |||
| DeregisterCluster | 准許取消註冊外部叢集 | 寫入 | |||
| DescribeAccessEntry | 授予描述 Amazon EKS 訪問條目的權限 | 讀取 | |||
| DescribeAddon | 授予擷取有關 Amazon EKS 附加元件之描述性資訊的權限 | 讀取 | |||
| DescribeAddonConfiguration | 授予列出有關 Amazon EKS 附加元件之組態選項的權限 | 讀取 | |||
| DescribeAddonVersions | 授予擷取 Amazon EKS 附加元件支援之附加元件之描述性版本資訊的權限 | 讀取 | |||
| DescribeCluster | 授予擷取有關 Amazon EKS 叢集之描述性資訊的權限 | 讀取 | |||
| DescribeEksAnywhereSubscription | 授予描述 EKS Anywhere 訂閱的權限 | 讀取 | |||
| DescribeFargateProfile | 授予擷取與叢集關聯 AWS 之 Fargate 設定檔之描述性資訊的權限 | 讀取 | |||
| DescribeIdentityProviderConfig | 准許擷取與叢集相關聯之 Idp 組態的描述性資訊 | 讀取 | |||
| DescribeInsight | 准許擷取指定叢集的受偵測洞察結果的描述性資訊 | 讀取 | |||
| DescribeNodegroup | 授予擷取有關 Amazon EKS 節點群組之描述性資訊的權限 | 讀取 | |||
| DescribePodIdentityAssociation | 授與描述EKS網繭身分識別關聯的權限 | 讀取 | |||
| DescribeUpdate | 授與權限以檢索指定的亞馬Amazon 群組/節點EKS群組/附加元件的指定更新 (位於指定或預設區域) | 讀取 | |||
| DisassociateAccessPolicy | 授予取消 Amazon EKS 訪問政策與 Amazon 訪問條目的關聯的權限 EKS | 寫入 | |||
| DisassociateIdentityProviderConfig | 准許刪除相關聯的 Idp 組態 | 寫入 | |||
| ListAccessEntries | 授予列出所有 Amazon EKS 訪問條目的權限 | 清單 | |||
| ListAccessPolicies | 授予列出 Amazon EKS 訪問政策的權限 | 清單 | |||
| ListAddons | 授予列出指定叢集 AWS 帳戶 (在指定或預設區域) 中 Amazon EKS 附加元件的權限 | 清單 | |||
| ListAssociatedAccessPolicies | 授予列出相關存取政策和 Amazon 存EKS取項目的權限 | 清單 | |||
| ListClusters | 授予列出 (在指定或預設區域 AWS 帳戶 ) 中 Amazon EKS 叢集的權限 | 清單 | |||
| ListEksAnywhereSubscriptions | 授予列出EKS任何地方訂閱的權限 | 清單 | |||
| ListFargateProfiles | 授予列出與指定叢集關聯的 AWS 帳戶 (在指定或預設區域中) 中的 AWS Fargate 設定檔的權限 | 清單 | |||
| ListIdentityProviderConfigs | 授予在與指定叢集關聯的 AWS 帳戶 (指定或預設區域) 中列出 Idp 組態的權限 | 清單 | |||
| ListInsights | 准權列出所有關於指定叢集的受偵測洞察結果 | 清單 | |||
| ListNodegroups | 授予列出連接到指定叢集的 AWS 帳戶 (在指定或預設區域) 中的 Amazon EKS 節點群組的權限 | 清單 | |||
| ListPodIdentityAssociations | 授與列出EKS網繭身分識別關聯的權限 | 清單 | |||
| ListTagsForResource | 准許列出特定資源的標籤 | 讀取 | |||
| ListUpdates | 授與列出指定Amazon 群EKS集/節點群組/附加元件更新的權限 (在指定或預設區域) | 清單 | |||
| RegisterCluster | 准許註冊外部叢集 | 寫入 | |||
| TagResource | 准許標記指定資源 | 標記 | |||
| UntagResource | 准許取消標記指定資源 | 標記 | |||
| UpdateAccessEntry | 授予更新 Amazon EKS 訪問條目的權限 | 寫入 | |||
| UpdateAddon | 授予更新 Amazon EKS 附加元件組態的權限，例如 VPC-CNI 版本 | 寫入 | |||
| UpdateClusterConfig | 授予更新 Amazon EKS 叢集組態的權限 (例如：API伺服器端點存取) | 寫入 | |||
| UpdateClusterVersion | 授予更新 Amazon 叢集 Kubernetes 版本的權限 EKS | 寫入 | |||
| UpdateEksAnywhereSubscription | 授予更新 EKS Anywhere 訂閱的權限 | 寫入 | |||
| UpdateNodegroupConfig | 授予更新 Amazon EKS 節點群組組態的權限 (例如：最小/最大/所需容量或標籤) | 寫入 | |||
| UpdateNodegroupVersion | 授予更新 Amazon 節點群組 Kubernetes 版本的權限 EKS | 寫入 | |||
| UpdatePodIdentityAssociation | 授與更新EKS網繭身分識別關聯的權限 | 寫入 |
Amazon Elastic Kubernetes Service 定義的資源類型
下列資源類型由此服務定義，可用於IAM權限原則陳述式的Resource元素中。動作資料表中的每個動作都會指明可使用該動作指定的資源類型。資源類型也能定義您可以在政策中包含哪些條件索引鍵。這些索引鍵都會顯示在「資源類型」資料表的最後一欄。如需下表各欄的詳細資訊，請參閱資源類型資料表。
| 資源類型 | ARN | 條件索引鍵 |
|---|---|---|
| cluster |
arn:${Partition}:eks:${Region}:${Account}:cluster/${ClusterName}
|
|
| nodegroup |
arn:${Partition}:eks:${Region}:${Account}:nodegroup/${ClusterName}/${NodegroupName}/${UUID}
|
|
| addon |
arn:${Partition}:eks:${Region}:${Account}:addon/${ClusterName}/${AddonName}/${UUID}
|
|
| fargateprofile |
arn:${Partition}:eks:${Region}:${Account}:fargateprofile/${ClusterName}/${FargateProfileName}/${UUID}
|
|
| identityproviderconfig |
arn:${Partition}:eks:${Region}:${Account}:identityproviderconfig/${ClusterName}/${IdentityProviderType}/${IdentityProviderConfigName}/${UUID}
|
|
|
eks-anywhere-subscription |
arn:${Partition}:eks:${Region}:${Account}:eks-anywhere-subscription/${UUID}
|
|
| podidentityassociation |
arn:${Partition}:eks:${Region}:${Account}:podidentityassociation/${ClusterName}/${UUID}
|
|
| access-entry |
arn:${Partition}:eks:${Region}:${Account}:access-entry/${ClusterName}/${IamIdentityType}/${IamIdentityAccountID}/${IamIdentityName}/${UUID}
|
|
| access-policy |
arn:${Partition}:eks::aws:cluster-access-policy/${AccessPolicyName}
|
Amazon Elastic Kubernetes Service 的條件索引鍵
Amazon Elastic Kubernetes Service 定義了下列可用於政策Condition元素的條件金鑰。IAM您可以使用這些索引鍵來縮小套用政策陳述式的條件。如需下表各欄的詳細資訊，請參閱條件索引鍵資料表。
若要檢視所有服務都可使用的全域條件索引鍵，請參閱可用全域條件索引鍵。
| 條件索引鍵 | 描述 | Type |
|---|---|---|
| aws:RequestTag/${TagKey} | 依使用者對EKS服務所提出的要求中存在的金鑰篩選存取 | 字串 |
| aws:ResourceTag/${TagKey} | 依標籤鍵值組來篩選存取 | 字串 |
| aws:TagKeys | 依據使用者對EKS服務提出的要求中存在的所有標籤金鑰名稱清單篩選存取 | ArrayOfString |
| eks:accessEntryType | 依使用者對EKS服務發出的存取項目要求中存在的存取項目類型篩選存取 | 字串 |
| eks:accessScope | 依據使用者對服務發 accessScope 出的關聯/取消關聯存取原則要求中的存取篩選存取 EKS | 字串 |
| eks:authenticationMode | 依建立/更新叢集要求中的 authenticationMode 目前篩選存取 | 字串 |
| eks:bootstrapClusterCreatorAdminPermissions | 按創建集群請求中的存在過濾訪問 bootstrapClusterCreator AdminPermissions | Bool |
| eks:bootstrapSelfManagedAddons | 過濾存在於創建群集請求中的 bootstrapSelfManaged插件訪問 | Bool |
| eks:clientId | 根據使用者對EKS服務發 clientId 出的 associateIdentityProvider Config 要求中的存在篩選存取 | 字串 |
| eks:clusterName | 根據使用者對EKS服務發 clusterName 出的存取項目要求中的存在篩選存取 | 字串 |
| eks:issuerUrl | 根據使用者對EKS服務發 issuerUrl 出的 associateIdentityProvider Config 要求中的存在篩選存取 | 字串 |
| eks:kubernetesGroups | 根據使用者對EKS服務發 kubernetesGroups 出的存取項目要求中的存在篩選存取 | ArrayOfString |
| eks:namespaces | 依據使用者對服務發出的關聯/取消關聯存取原則要求中存在的命名空間篩選存取 EKS | ArrayOfString |
| eks:policyArn | 根據使用者對EKS服務發 policyArn 出的存取項目要求中的存在篩選存取 | ARN |
| eks:principalArn | 根據使用者對EKS服務發 principalArn 出的存取項目要求中的存在篩選存取 | ARN |
| eks:supportType | 依建立/更新叢集要求中的 supportType 目前篩選存取 | 字串 |
| eks:username | 依據使用者對服務發出的存取項目要求中存在的 Kubernetes 使用者名稱篩選存取 EKS | 字串 |
