Attribution de rôles IAM aux comptes de service Kubernetes

Créez une politique IAM. Vous pouvez créer votre propre politique ou copier une politique gérée par AWS, qui accorde certaines des autorisations dont vous avez besoin et la personnalise en fonction de vos besoins spécifiques. Pour plus d’informations, consultez Création de politiques IAM dans le Guide de l’utilisateur IAM.

Créez un fichier contenant les autorisations relatives aux services AWS auxquels vous souhaitez que vos pods accèdent. Pour obtenir la liste complète des actions de tous les services AWS, consultez la Référence des autorisations de service.

Vous pouvez exécuter la commande suivante pour créer un exemple de fichier de politique autorisant l'accès en lecture seule à un compartiment Amazon S3. Vous pouvez, si vous le souhaitez, stocker des informations de configuration ou un script d’amorçage dans ce compartiment et les conteneurs de votre pod pourront lire le fichier dans le compartiment et le charger dans votre application. Si vous souhaitez créer cet exemple de politique, copiez le contenu suivant sur votre appareil. Remplacez my-pod-secrets-bucket par le nom de votre compartiment et exécutez la commande.

cat >my-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}
EOF

Créez la politique IAM.

aws iam create-policy --policy-name my-policy --policy-document file://my-policy.json

Créez un compte de service Kubernetes. Copiez les contenus suivants sur votre appareil. Remplacez my-service-account par le nom de votre choix et default par un espace de noms différent, si nécessaire. Si vous changez default, l'espace de noms doit déjà exister.

cat >my-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: default
EOF
kubectl apply -f my-service-account.yaml

Définissez votre ID de compte AWS sur une variable d'environnement avec la commande suivante.

account_id=$(aws sts get-caller-identity --query "Account" --output text)

Définissez le fournisseur d’identité OIDC de votre cluster dans une variable d’environnement à l’aide de la commande suivante. Remplacez my-cluster par le nom de votre cluster.

oidc_provider=$(aws eks describe-cluster --name my-cluster --region $AWS_REGION --query "cluster.identity.oidc.issuer" --output text | sed -e "s/^https:\/\///")

Définissez des variables pour l'espace de noms et le nom du compte de service. Remplacez my-service-account par le compte de service Kubernetes devant assumer le rôle. Remplacez default par l'espace de noms du compte de service.

export namespace=default
export service_account=my-service-account

Exécutez la commande suivante pour créer un fichier de stratégie d'approbation pour le rôle IAM. Si vous souhaitez autoriser tous les comptes de service d'un espace de noms à utiliser le rôle, copiez le contenu suivant sur votre appareil. Remplacez StringEquals par StringLike et remplacez $service_account par *. Vous pouvez ajouter plusieurs entrées dans les conditions StringEquals ou StringLike pour autoriser plusieurs comptes de service ou espaces de noms à endosser le rôle. Pour permettre à des rôles provenant d’un autre compte AWS que celui de votre cluster d’assumer ce rôle, consultez Authentifiez-vous sur un autre compte avec IRSA pour plus d’informations.

cat >trust-relationship.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::$account_id:oidc-provider/$oidc_provider"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "$oidc_provider:aud": "sts.amazonaws.com",
          "$oidc_provider:sub": "system:serviceaccount:$namespace:$service_account"
        }
      }
    }
  ]
}
EOF

Créez le rôle. Remplacez my-role par le nom de votre rôle IAM et my-role-description par la description de votre rôle.

aws iam create-role --role-name my-role --assume-role-policy-document file://trust-relationship.json --description "my-role-description"

Liez une politique IAM à votre rôle. Remplacez my-role par le nom de votre rôle IAM et my-policy par le nom d’une politique existante que vous avez créée.

aws iam attach-role-policy --role-name my-role --policy-arn=arn:aws:iam::$account_id:policy/my-policy

Annotez votre compte de service avec l'Amazon Resource Name (ARN) du rôle IAM que vous souhaitez que le compte de service endosse. Remplacez my-role par le nom de votre rôle IAM existant. Supposons que vous avez autorisé, à l’étape précédente, un rôle provenant d’un autre compte AWS que celui de votre cluster à assumer ce rôle. Alors assurez-vous de spécifier le compte AWS et le rôle provenant de l’autre compte. Pour de plus amples informations, consultez Authentifiez-vous sur un autre compte avec IRSA.

kubectl annotate serviceaccount -n $namespace $service_account eks.amazonaws.com/role-arn=arn:aws:iam::$account_id:role/my-role

(Facultatif) Configurez le point de terminaison du service de jetons de sécurité AWS pour un compte de service. AWS recommande d’utiliser un point de terminaison AWS STS régional au lieu du point de terminaison international. Cela réduit la latence, fournit une redondance intégrée et augmente la validité des jetons de session.

Vérifiez que la stratégie d’approbation du rôle IAM est correctement configurée.

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

L'exemple qui suit illustre un résultat.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:default:my-service-account",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

Vérifiez que la stratégie que vous avez associée à votre rôle lors d'une étape précédente est associée au rôle.

aws iam list-attached-role-policies --role-name my-role --query "AttachedPolicies[].PolicyArn" --output text

L'exemple qui suit illustre un résultat.

               arn:aws:iam::111122223333:policy/my-policy

Définissez une variable pour stocker l'Amazon Resource Name (ARN) de la stratégie que vous souhaitez utiliser. Remplacez my-policy par le nom de la stratégie pour laquelle vous voulez confirmer les autorisations.

export policy_arn=arn:aws:iam::111122223333:policy/my-policy

Affichez la version par défaut de la stratégie.

aws iam get-policy --policy-arn $policy_arn

L'exemple qui suit illustre un résultat.

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws:iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

Consultez le contenu de la stratégie pour vous assurer qu’elle inclut toutes les autorisations nécessaires pour votre pod. Si nécessaire, remplacez la valeur 1 dans la commande ci-dessous par la version indiquée dans le résultat précédent.

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

L'exemple qui suit illustre un résultat.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}

Si vous avez créé l'exemple de stratégie lors d'une étape précédente, le résultat est le même. Si vous avez créé une stratégie différente, alors le contenu example (exemple) est différent.

Confirmez que le compte de service Kubernetes est annoté avec le rôle.

kubectl describe serviceaccount my-service-account -n default

L'exemple qui suit illustre un résultat.

Name:                my-service-account
Namespace:           default
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role
Image pull secrets:  <none>
Mountable secrets:   my-service-account-token-qqjfl
Tokens:              my-service-account-token-qqjfl
[...]