Migrieren vorhandener aws-auth ConfigMap-Einträge zu Zugriffseinträgen - Amazon EKS
Voraussetzungeneksctl

Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Migrieren vorhandener aws-auth ConfigMap-Einträge zu Zugriffseinträgen

Wenn Sie Einträge zu aws-auth ConfigMap für Ihren Cluster hinzugefügt haben, empfiehlt es sich, Zugriffseinträge für die vorhandenen Einträge in aws-auth ConfigMap zu erstellen. Nach der Erstellung der Zugriffseinträge können Sie die Einträge aus ConfigMap entfernen. Einträgen in aws-auth ConfigMap können keine Zugriffsrichtlinien zugeordnet werden. Wenn Sie Ihren IAM-Prinzipalen Zugriffsrichtlinien zuordnen möchten, müssen Sie Zugriffseinträge erstellen.

Wichtig

  • Wenn sich ein Cluster im API_AND_CONFIGMAP-Authentifizierungsmodus befindet und sowohl in den aws-auth ConfigMap- als auch in den Zugriffseinträgen eine Zuordnung für dieselbe IAM-Rolle vorhanden ist, verwendet die Rolle die Zuordnung des Zugriffseintrags zur Authentifizierung. Zugriffseinträge haben Vorrang vor ConfigMap-Einträgen für denselben IAM-Prinzipal.

  • Bevor Sie vorhandene aws-auth ConfigMap-Einträge entfernen, die von Amazon EKS für eine verwaltete Knotengruppe oder ein Fargate-Profil in Ihrem Cluster erstellt wurden, überprüfen Sie, ob die richtigen Zugriffseinträge für diese spezifischen Ressourcen in Ihrem Amazon-EKS-Cluster vorhanden sind. Wenn Sie Einträge entfernen, die Amazon EKS in ConfigMap erstellt hat, ohne die entsprechenden Zugriffseinträge zu haben, funktioniert Ihr Cluster nicht ordnungsgemäß.

Voraussetzungen

eksctl

  1. Sehen Sie sich die vorhandenen Einträge in aws-auth ConfigMap an. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

    eksctl get iamidentitymapping --cluster my-cluster

    Eine Beispielausgabe sieht wie folgt aus.

    ARN                                                                                             USERNAME                                GROUPS                                                  ACCOUNT
arn:aws: iam::111122223333:role/EKS-my-cluster-Admins                                            Admins                                  system:masters
arn:aws: iam::111122223333:role/EKS-my-cluster-my-namespace-Viewers                              my-namespace-Viewers                    Viewers
arn:aws: iam::111122223333:role/EKS-my-cluster-self-managed-ng-1                                 system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes
arn:aws: iam::111122223333:user/my-user                                                          my-user
arn:aws: iam::111122223333:role/EKS-my-cluster-fargateprofile1                                   system:node:{{SessionName}}             system:bootstrappers,system:nodes,system:node-proxier
arn:aws: iam::111122223333:role/EKS-my-cluster-managed-ng                                        system:node:{{EC2PrivateDNSName}}       system:bootstrappers,system:nodes

  2. Zugriffseinträge erstellen für alle von Ihnen erstellten ConfigMap-Einträge aus der vorherigen Ausgabe. Achten Sie beim Erstellen der Zugriffseinträge darauf, für ARN, USERNAME, GROUPS und ACCOUNT die gleichen Werte anzugeben, die in der Ausgabe zurückgegeben wurden. Im Falle der Beispielausgabe würden Sie Zugriffseinträge für alle Einträge außer den letzten beiden Einträgen erstellen, da diese von Amazon EKS für ein Fargate-Profil bzw. für eine verwaltete Knotengruppe erstellt wurden.

  3. Löschen Sie die Einträge aus ConfigMap für alle von Ihnen erstellten Zugriffseinträge. Wenn Sie den Eintrag nicht aus ConfigMap löschen, wird der ConfigMap-Eintrag durch die Einstellungen für den Zugriffseintrag für den IAM-Prinzipal-ARN außer Kraft gesetzt. 111122223333Ersetzen Sie es durch Ihre AWS Konto-ID und EKS-my-cluster-my-namespace-Viewers durch den Namen der Rolle im Eintrag in IhremConfigMap. Wenn der Eintrag, den Sie entfernen möchten, für einen IAM-Benutzer und nicht für eine IAM-Rolle bestimmt ist, role ersetzen Sie ihn durch user und EKS-my-cluster-my-namespace-Viewers durch den Benutzernamen.

    eksctl delete iamidentitymapping --arn arn:aws: iam::111122223333:role/EKS-my-cluster-my-namespace-Viewers --cluster my-cluster