Verwenden Sie AWS Secrets and Configuration Provider CSI mit Pod Identity für Amazon EKS

Installieren des Pod-Identity-Agents

• Installieren Sie das Add-on „Pod-Identity-Agent“ in Ihrem Cluster.

  Ersetzen Sie die default placeholder text durch Ihre eigenen Werte:

  eksctl create addon \
    --name eks-pod-identity-agent \
    --cluster clusterName \
    --region region 

1. Erstellen Sie eine Berechtigungsrichtlinie, die den Parametern, auf die der Pod zugreifen muss, die Berechtigungen ssm:GetParameters und ssm:DescribeParameters gewährt.

2. Erstellen Sie eine IAM-Rolle, die vom Amazon-EKS-Service-Prinzipalen für Pod Identity übernommen werden kann:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Service": "pods.eks.amazonaws.com"
           },
           "Action": [
             "sts:AssumeRole",
             "sts:TagSession"
           ]
         }
       ]
     }
   

   Fügen Sie die IAM-Richtlinie an die Rolle an.

   Ersetze die default placeholder text durch deine eigenen Werte:

   aws iam attach-role-policy \
     --role-name MY_ROLE \
     --policy-arn POLICY_ARN

3. Erstellen Sie eine Pod-Identity-Zuordnung. Ein Beispiel finden Sie unter Erstellen einer Pod-Identity-Zuordnung im Benutzerhandbuch für Amazon EKS

4. Erstellen Sie die SecretProviderClass, die angibt, welche Parameter oder Secrets im Pod gemountet werden sollen:

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleSecretProviderClass-PodIdentity.yaml

   Der Hauptunterschied in SecretProviderClass zwischen IRSA und Pod Identity ist der optionale Parameter usePodIdentity. Es ist ein optionales Feld, das den Authentifizierungsansatz bestimmt. Wenn nicht angegeben, wird standardmäßig IAM Roles for Service Accounts (IRSA) verwendet.

   • Verwenden Sie einen der folgenden Werte, um EKS Pod Identity zu verwenden: "true", "True", "TRUE", "t", "T".

   • Wenn Sie explizit IRSA nutzen möchten, verwenden Sie einen der folgenden Werte: "false", "False", "FALSE", "f", or "F".

5. Stellen Sie den Pod, der die Parameter oder Secrets mountet, unter /mnt/secrets-store bereit:

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleDeployment-PodIdentity.yaml

6. Wenn Sie einen privaten Amazon EKS-Cluster verwenden, stellen Sie sicher, dass die VPC, in der sich der Cluster befindet, über einen AWS STS Endpunkt verfügt. Weitere Informationen zum Erstellen eines Endpunktes finden Sie unter Schnittstellen-VPC-Endpunkte im Benutzerhandbuch für AWS Identity and Access Management .

Richten Sie Amazon EKS Pod Identity für den Zugriff auf Parameter in Parameter Store wie folgt ein:

1. Erstellen Sie eine Berechtigungsrichtlinie, die den Parametern, auf die der Pod zugreifen muss, die Berechtigungen ssm:GetParameters und ssm:DescribeParameters gewährt.

2. Erstellen Sie einen Parameter in Parameter Store, sofern noch nicht geschehen. Weitere Informationen finden Sie unter Parameter Store-Parameter im Systems Manager erstellen.

Fehlermeldungen für Ihren Container anzeigen

1. Rufen Sie mit dem folgenden Befehl eine Liste der Pod-Namen ab. Wenn Sie nicht den Standard-Namespace verwenden, verwenden Sie -n namespace.

   kubectl get pods

2. pod-idVerwenden Sie zur Beschreibung des Pods im folgenden Befehl die Pod-ID der Pods, die Sie im vorherigen Schritt gefunden haben. Wenn Sie nicht den Standard-Namespace verwenden, verwenden Sie -n NAMESPACE.

   kubectl describe pod/pod-id

Fehler für den ASCP anzeigen

• Um weitere Informationen in den Anbieterprotokollen zu finden, PODID verwenden Sie im folgenden Befehl die ID des Pods csi-secrets-store-provider-aws.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id