我正在尝试使用服务帐户的 iam 角色来保护自动缩放器。但我似乎错过了一些东西。精度不高 我正在使用地形来创建集群。
我遵循了以下文档：
- https://aws.amazon.com/blogs/opensource/introducing-fine-grained-iam-roles-service-accounts/
- https://docs.aws.amazon.com/eks/latest/userguide/iam-roles-for-service-accounts.html
因此，我创建了一个不同于节点的角色，并将自动缩放程序的策略应用于此新角色。这部分是基本的，没有问题。
我还在 terraform 中激活了 openid 提供程序：
resource "aws_iam_openid_connect_provider" "example" {
client_id_list = ["sts.amazonaws.com"]
thumbprint_list = []
url = aws_eks_cluster.eks.identity.0.oidc.0.issuer
}
没有问题，群集正在创建自己没有问题。
否，我将注释添加到自动缩放的服务帐户：
---
apiVersion: v1
kind: ServiceAccount
metadata:
annotations:
eks.amazonaws.com/role-arn: arn:aws:iam::ID:role/terraform-eks-autoscaller
labels:
k8s-addon: cluster-autoscaler.addons.k8s.io
k8s-app: cluster-autoscaler
name: cluster-autoscaler
namespace: kube-system
我的问题是它似乎不起作用，并且 pod 仍在尝试使用新的 IAM 角色，但仍使用节点角色：
Failed to create AWS Manager: cannot autodiscover ASGs: AccessDenied: User: arn:aws:sts::ID:assumed-role/terraform-eks-node/i-ID is not authorized to perform: autoscaling:DescribeTags
有人知道我在这里错过了哪一步吗？
提前感谢您的帮助;)
所以答案很简单。您的 OIDC 提供程序配置缺少指纹。Iam 正常工作至关重要。 通常，如果您在 AWS 控制台中创建 OIDC 提供程序，则会自动填充指纹，但是当您通过 terraform 执行此操作时，情况并非如此。
我也被这个抓住了，所以我写了一个关于这个的博客，你可以在这里找到：https://medium.com/@marcincuber/amazon-eks-with-oidc-provider-iam-roles-for-kubernetes-services-accounts-59015d15cb0c
要解决您的问题，只需添加以下内容：
9E99A48A9960B14926BB7F3B02E22DA2B0AB7280
以上是哈希根 CA，在 10+ 年内不会更改，并且在所有区域中都相同。如何获得它，您可以阅读我上面添加的链接的博客。
此外，请确保使用与 kubernetes 版本匹配的最新自动缩放器版本。此外，请尝试使用 fsGroup： 65534 添加安全上下文。这是使 OIDC 在某些应用程序中正常工作的当前解决方法。
我也使用Terraform来创建集群，我检查了我有指纹，
但我对于这个错误：
Failed to regenerate ASG cache: cannot autodiscover ASGs: WebIdentityErr: failed to retrieve credentials
caused by: ValidationError: Request ARN is invalid
我通过手动重新输入指纹(大写(来解决它，它可以工作，我发现 terraform 模块默认值为小写，不确定是不是问题所在