Récupérer les informations IAM sur un module complémentaire Amazon EKS

Déterminez le nom du module complémentaire que vous voulez installer et la version Kubernetes de votre cluster. Pour plus d'informations sur les modules complémentaires, voir Modules complémentaires Amazon EKS.

Utilisez l’interface AWS CLI pour déterminer si le module complémentaire nécessite des autorisations IAM.

aws eks describe-addon-versions \
--addon-name <addon-name> \
--kubernetes-version <kubernetes-version>

Par exemple :

aws eks describe-addon-versions \
--addon-name aws-ebs-csi-driver \
--kubernetes-version 1.30

Veuillez examiner l’exemple de résultat suivant. Notez que requiresIamPermissions est true et qu’il s’agit de la version par défaut du module complémentaire. Vous devez spécifier la version du module complémentaire lorsque vous récupérez la politique IAM recommandée.

{
    "addons": [
        {
            "addonName": "aws-ebs-csi-driver",
            "type": "storage",
            "addonVersions": [
                {
                    "addonVersion": "v1.31.0-eksbuild.1",
                    "architecture": [
                        "amd64",
                        "arm64"
                    ],
                    "compatibilities": [
                        {
                            "clusterVersion": "1.30",
                            "platformVersions": [
                                "*"
                            ],
                            "defaultVersion": true
                        }
                    ],
                    "requiresConfiguration": false,
                    "requiresIamPermissions": true
                },
[...]

Si le module complémentaire nécessite des autorisations IAM, utilisez l’AWS CLI pour récupérer une stratégie IAM recommandée.

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name <addon-name> \
--addon-version <addon-version>

Par exemple :

aws eks describe-addon-configuration \
--query podIdentityConfiguration \
--addon-name aws-ebs-csi-driver \
--addon-version v1.31.0-eksbuild.1

Veuillez examiner l’exemple suivant. Notez le recommendedManagedPolicies.

[
    {
        "serviceAccount": "ebs-csi-controller-sa",
        "recommendedManagedPolicies": [
            "arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy"
        ]
    }
]

Créez un rôle IAM et associez-lui la stratégie gérée recommandée. Vous pouvez également examiner la stratégie gérée et réduire la portée des autorisations si nécessaire. Pour plus d’informations, consultez Création d'une association Pod Identity (AWS console).