使 AWS Group 能够访问 AWS EKS 集群

Question

这个问题本质上是将 IAM 组添加到 AWS EKS 中的 aws-auth 配置映射的副本。但是，这个问题没有一个公认的答案，我想提供更多的背景。

我知道aws-authConfigMap 对象不允许直接映射 AWS 组。解决方法是改为映射 AWS 角色。我试过了，但无法让它工作。映射 AWS 用户可以正常工作。

我将账户027755483893设置为可信实体的 AWS 角色arn:aws:iam::027755483893:role/development-readwrite，并附加了以下信任策略：

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::027755483893:root"
},
"Action": "sts:AssumeRole"
}
]
}

我设置了一个 AWS 组arn:aws:iam::027755483893:group/development-readwrite并附加了以下策略：

{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"sts:AssumeRole"
],
"Resource": [
"arn:aws:iam::027755483893:role/development-readwrite"
]
}
]
}

我按如下方式设置aws-auth配置映射：

apiVersion: v1
data:
mapRoles: |
# Other mappings omitted for clarity
- groups:
- system:masters
rolearn: arn:aws:iam::027755483893:role/development-readwrite
mapUsers: |
[]
kind: ConfigMap
metadata:
creationTimestamp: "2019-08-21T08:25:15Z"
name: aws-auth
namespace: kube-system
resourceVersion: "62031092"
selfLink: /api/v1/namespaces/kube-system/configmaps/aws-auth
uid: 33b33620-c3ed-11e9-83c0-029bc9dcca16

但是，组中的任何用户都无权访问群集。用户是否需要显式代入角色？我还缺少什么吗？

Answer 1

在这种情况下，用户确实需要显式代入角色。用户可以代入角色这一事实不足以让他们实际访问集群。

一种可以为您的用户简化它的方法是使用aws get token调用创建一个 kubeconfig。这允许您指定要为群集代入的角色role_arn。