Utilisez le stockage de volumes Kubernetes avec Amazon EBS

Copiez et collez le code suivant dans un nouveau fichier kms-key-for-encryption-on-ebs.json. Remplacez custom-key-arn par l’ARN de la clé KMS personnalisée.

{
      "Version": "2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Créez la politique. Vous pouvez remplacer KMS_Key_For_Encryption_On_EBS_Policy par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez 111122223333 par votre ID de compte.

aws iam attach-role-policy \
      --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole

Dans la section Trusted entity type (Type d'entité de confiance), sélectionnez Web identity (Identité web).

Pour Fournisseur d'identité, choisissez l'URL du fournisseur OpenID Connect pour votre cluster (comme indiqué sous Présentation dans Amazon EKS).

Pour Audience, choisissez sts.amazonaws.com.

Choisissez Suivant.

Dans la zone Filter policies (Politiques de filtre), saisissez AmazonEBSCSIDriverPolicy.

Cochez la case à gauche du AmazonEBSCSIDriverPolicy renvoyé dans la recherche.

Choisissez Suivant.

Dans le champ Nom du rôle, saisissez un nom unique pour votre rôle, tel que AmazonEKS_EBS_CSI_DriverRole.

Sous Ajouter des balises (Facultatif), ajoutez des métadonnées au rôle en attachant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dans IAM, consultez la rubrique Balisage des ressources IAM dans le Guide de l'utilisateur IAM.

Sélectionnez Créer un rôle.

Dans le volet de navigation de gauche, choisissez Politiques.

Sur la page Politiques, choisissez Créer une politique.

Sur la page Créer une politique, choisissez l'onglet JSON.

Copiez et collez le code suivant dans l’éditeur, en remplaçant custom-key-arn par l’ARN de la clé KMS personnalisée.

{
      "Version": "2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Choisissez Suivant : Balises.

Sur la page Ajouter des balises (facultatif), choisissez Suivant : Vérifier.

Dans Nom, saisissez un nom unique pour votre politique (par exemple, KMS_Key_For_Encryption_On_EBS_Policy).

Choisissez Créer une politique.

Dans le volet de navigation de gauche, choisissez Rôles.

Cliquez sur AmazonEKS_EBS_CSI_DriverRole dans la console pour l’ouvrir et le modifier.

Dans la liste déroulante Ajouter des autorisations, choisissez Associer des politiques.

Dans le champ Politiques de filtrage, saisissez KMS_Key_For_Encryption_On_EBS_Policy.

Cochez la case à gauche du KMS_Key_For_Encryption_On_EBS_Policy renvoyé dans la recherche.

Choisissez Attach Policies (Attacher des politiques).

Copiez le contenu suivant dans un fichier nommé aws-ebs-csi-driver-trust-policy.json. Remplacez 111122223333 par votre ID de compte. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE et le region-code par les valeurs renvoyées à l’étape précédente.

{
      "Version": "2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
            }
          }
        }
      ]
    }

Créez le rôle. Vous pouvez remplacer AmazonEKS_EBS_CSI_DriverRole par un autre nom. Si vous le remplacez, assurez-vous de le remplacer dans les étapes suivantes.

aws iam create-role \
      --role-name AmazonEKS_EBS_CSI_DriverRole \
      --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"

Copiez et collez le code suivant dans un nouveau fichier kms-key-for-encryption-on-ebs.json. Remplacez custom-key-arn par l’ARN de la clé KMS personnalisée.

{
      "Version": "2012-10-17",		 	 	 
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Créez la politique. Vous pouvez remplacer KMS_Key_For_Encryption_On_EBS_Policy par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez 111122223333 par votre ID de compte.

aws iam attach-role-policy \
      --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole