Utiliser AWS les secrets et le fournisseur de configuration CSI avec Pod Identity pour Amazon EKS

Installer l’agent d’identité du pod

• Installez le module complémentaire Agent d’identité du pod sur votre cluster.

  Remplacez le default placeholder text par vos propres valeurs :

  eksctl create addon \
    --name eks-pod-identity-agent \
    --cluster clusterName \
    --region region 

1. Créez une politique d’autorisation qui accorde les autorisations ssm:GetParameters et ssm:DescribeParameters aux paramètres auxquels le pod a besoin pour accéder.

2. Créez un rôle IAM qui peut être assumé par le principal de service Amazon EKS pour l’identité du pod :

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Service": "pods.eks.amazonaws.com"
           },
           "Action": [
             "sts:AssumeRole",
             "sts:TagSession"
           ]
         }
       ]
     }
   

   Attachez la politique gérée IAM au rôle.

   Remplacez le default placeholder text par vos propres valeurs :

   aws iam attach-role-policy \
     --role-name MY_ROLE \
     --policy-arn POLICY_ARN

3. Créez une association d’identité du pod. Par exemple, consultez Créer une association d’identité du pod dans le Guide de l’utilisateur Amazon EKS.

4. Créez la SecretProviderClass qui spécifie les paramètres ou les secrets à monter dans le pod :

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleSecretProviderClass-PodIdentity.yaml

   La principale différence dans SecretProviderClass entre IRSA et l’identité du pod réside dans le paramètre facultatif usePodIdentity. Il s’agit d’un champ facultatif qui détermine l’approche d’authentification. Lorsqu’il n’est pas spécifié, les rôles IAM pour les comptes de service (IRSA) sont utilisés par défaut.

   • Pour utiliser l’identité du pod EKS, utilisez l’une des valeurs suivantes : "true", "True", "TRUE", "t", "T".

   • Pour utiliser IRSA de manière explicite, définissez l’une des valeurs suivantes : "false", "False", "FALSE", "f", or "F".

5. Déployez le pod qui monte les paramètres ou les secrets sous /mnt/secrets-store :

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleDeployment-PodIdentity.yaml

6. Si vous utilisez un cluster Amazon EKS privé, assurez-vous que le VPC dans lequel se trouve le cluster possède un AWS STS point de terminaison. Pour en savoir plus sur la création d’un point de terminaison, consultez Points de terminaison de VPC d’interface dans le Guide de l’utilisateur AWS Identity and Access Management .

Pour configurer l’identité du pod Amazon EKS afin d’accéder aux paramètres dans Parameter Store

1. Créez une politique d’autorisation qui accorde les autorisations ssm:GetParameters et ssm:DescribeParameters aux paramètres auxquels le pod a besoin pour accéder.

2. Créez un paramètre dans Parameter Store, si vous n’en avez pas déjà un. Pour plus d'informations, consultez Création de paramètres Parameter Store dans Systems Manager.

Pour afficher les messages d'erreur pour votre conteneur

1. Obtenez une liste de noms de pod à l’aide de la commande suivante. Si vous n'utilisez pas l'espace de noms par défaut, utilisez -n namespace.

   kubectl get pods

2. Pour décrire le Pod, dans la commande suivante, pod-id utilisez l'ID du Pod indiqué dans les Pods que vous avez trouvés à l'étape précédente. Si vous n'utilisez pas l'espace de noms par défaut, utilisez -n NAMESPACE.

   kubectl describe pod/pod-id

Pour voir les erreurs pour l'ASCP

• Pour obtenir plus d'informations dans les journaux du fournisseur, utilisez la commande suivante pour PODID utiliser l'ID du module csi-secrets-store-provider-aws.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id