Assegnare ruoli IAM agli account di servizio Kubernetes

Creare una policy IAM Puoi creare una policy personalizzata o copiare una policy AWS gestita che concede già alcune delle autorizzazioni necessarie e personalizzarla a seconda dei requisiti specifici desiderati. Per ulteriori informazioni, consulta Creating IAM policies nella Guida per l’utente di IAM.

Crea un file che includa le autorizzazioni per i servizi AWS a cui desideri che accedano i Pod. Per un elenco di tutte le azioni per tutti i servizi AWS, consultare Service Authorization Reference.

Puoi eseguire il comando seguente per creare un file policy di esempio che consenta l’accesso in sola lettura a un bucket Amazon S3. Facoltativamente, puoi archiviare le informazioni di configurazione o uno script di bootstrap in questo bucket; i container nel pod possono leggere il file dal bucket e caricarlo nell’applicazione. Se desideri creare questa policy di esempio, copia i seguenti contenuti sul dispositivo. Sostituisci my-pod-secrets-bucket con il nome del bucket ed esegui il comando.

cat >my-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}
EOF

Creare la policy IAM.

aws iam create-policy --policy-name my-policy --policy-document file://my-policy.json

Creare un account di servizio Kubernetes. Copia i seguenti contenuti sul dispositivo. Sostituisci my-service-account con il nome desiderato e default con un namespace diverso, se necessario. Se cambi default, il namespace deve già esistere.

cat >my-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  namespace: default
EOF
kubectl apply -f my-service-account.yaml

Impostare l’ID account AWS su una variabile di ambiente con il comando seguente.

account_id=$(aws sts get-caller-identity --query "Account" --output text)

Imposta il provider di identità OIDC del cluster su una variabile di ambiente con il comando seguente. Sostituisci my-cluster con il nome del cluster.

oidc_provider=$(aws eks describe-cluster --name my-cluster --region $AWS_REGION --query "cluster.identity.oidc.issuer" --output text | sed -e "s/^https:\/\///")

Impostare le variabili per il namespace e il nome dell’account del servizio. Sostituisci my-service-account con l’account di servizio Kubernetes che deve assumere il ruolo. Sostituire default con il namespace dell’account del servizio.

export namespace=default
export service_account=my-service-account

Per creare una policy di attendibilità del ruolo IAM, esegui il comando seguente. Se desideri consentire a tutti gli account di servizio all’interno di un namespace di utilizzare il ruolo, copia i seguenti contenuti sul dispositivo. Sostituire StringEquals con StringLike e sostituire $service_account con *. Puoi aggiungere più voci nelle condizioni StringEquals e StringLike riportate di seguito per utilizzare più account di servizio o namespace con il ruolo. Per consentire ai ruoli di un account AWS diverso rispetto all’account in cui si trova il cluster di assumere il ruolo, consulta Eseguire l’autenticazione a un altro account con IRSA per ulteriori informazioni.

cat >trust-relationship.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::$account_id:oidc-provider/$oidc_provider"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "$oidc_provider:aud": "sts.amazonaws.com",
          "$oidc_provider:sub": "system:serviceaccount:$namespace:$service_account"
        }
      }
    }
  ]
}
EOF

Crea il ruolo. Sostituisci my-role con un nome per il ruolo IAM e my-role-description con una descrizione del ruolo.

aws iam create-role --role-name my-role --assume-role-policy-document file://trust-relationship.json --description "my-role-description"

Allegare una policy IAM al ruolo. Sostituisci my-role con il nome del ruolo IAM e my-policy con il nome di una policy esistente creata.

aws iam attach-role-policy --role-name my-role --policy-arn=arn:aws:iam::$account_id:policy/my-policy

Annota l’account del servizio con il nome della risorsa Amazon (ARN) del ruolo IAM che desideri che l’account del servizio assuma. Sostituisci my-role con il nome del ruolo IAM esistente. Supponiamo di aver consentito a un ruolo di un diverso account AWS, rispetto all’account utilizzato dal cluster, di assumere il ruolo in una fase precedente. Quindi, assicurarsi di specificare l’account AWS e il ruolo dall’altro account. Per ulteriori informazioni, consulta Eseguire l’autenticazione a un altro account con IRSA.

kubectl annotate serviceaccount -n $namespace $service_account eks.amazonaws.com/role-arn=arn:aws:iam::$account_id:role/my-role

(Facoltativo) Configurare l’endpoint AWS Security Token Service per un account di servizio. AWS consiglia di utilizzare un endpoint AWS STS regionale anziché l’endpoint globale. Ciò riduce la latenza, fornisce una ridondanza integrata e aumenta la validità del token di sessione.

Confermare che la policy di attendibilità del ruolo IAM sia configurata correttamente.

aws iam get-role --role-name my-role --query Role.AssumeRolePolicyDocument

Di seguito viene riportato un output di esempio.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:default:my-service-account",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}

Conferma che la policy che hai associato al tuo ruolo in un passaggio precedente sia associata al ruolo.

aws iam list-attached-role-policies --role-name my-role --query "AttachedPolicies[].PolicyArn" --output text

Di seguito viene riportato un output di esempio.

               arn:aws:iam::111122223333:policy/my-policy

Imposta una variabile per memorizzare il nome della risorsa Amazon (ARN) della policy che desideri utilizzare. Sostituisci my-policy con il nome della policy per la quale si desidera confermare le autorizzazioni.

export policy_arn=arn:aws:iam::111122223333:policy/my-policy

Visualizza la versione predefinita della policy.

aws iam get-policy --policy-arn $policy_arn

Di seguito viene riportato un output di esempio.

{
    "Policy": {
        "PolicyName": "my-policy",
        "PolicyId": "EXAMPLEBIOWGLDEXAMPLE",
        "Arn": "arn:aws:iam::111122223333:policy/my-policy",
        "Path": "/",
        "DefaultVersionId": "v1",
        [...]
    }
}

Visualizza il contenuto della policy per assicurarti che includa tutte le autorizzazioni di cui il pod ha bisogno. Se necessario, sostituire 1 nel comando seguente con la versione restituita nell’output della fase precedente.

aws iam get-policy-version --policy-arn $policy_arn --version-id v1

Di seguito viene riportato un output di esempio.

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:GetObject",
            "Resource": "arn:aws:s3:::my-pod-secrets-bucket"
        }
    ]
}

Se hai creato la policy di esempio in un passaggio precedente, il risultato è lo stesso. Se hai creato una policy diversa, allora il contenuto dell’esempio è diverso.

Confermare che l’account di servizio Kubernetes sia annotato con il ruolo.

kubectl describe serviceaccount my-service-account -n default

Di seguito viene riportato un output di esempio.

Name:                my-service-account
Namespace:           default
Annotations:         eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/my-role
Image pull secrets:  <none>
Mountable secrets:   my-service-account-token-qqjfl
Tokens:              my-service-account-token-qqjfl
[...]