Concessione AWS Resilience Hub accesso alle risorse nel tuo cluster Amazon EKS

AWS Resilience Hub consente di accedere alle risorse situate nei cluster Amazon EKS a condizione che siano state configurate le autorizzazioni richieste.

Per concedere le autorizzazioni richieste a AWS Resilience Hub per scoprire e valutare le risorse all'interno del cluster Amazon EKS

Configura un ruolo IAM per accedere al cluster Amazon EKS.

Se hai configurato l'applicazione utilizzando l'accesso basato sui ruoli, puoi saltare questo passaggio e passare al passaggio 2 e utilizzare il ruolo che hai usato per creare l'applicazione. Per ulteriori informazioni sull' AWS Resilience Hub utilizzo dei ruoli IAM, consulta. In che modo AWS Resilience Hub funziona con IAM

Se hai configurato la tua applicazione utilizzando le autorizzazioni utente IAM correnti, devi creare il ruolo AwsResilienceHubAssessmentEKSAccessRole IAM nello stesso account del cluster Amazon EKS. Questo ruolo IAM verrà quindi utilizzato durante l'accesso al cluster Amazon EKS.

Durante l'importazione e la valutazione dell'applicazione, AWS Resilience Hub utilizza un ruolo IAM per accedere alle risorse nel cluster Amazon EKS. Questo ruolo deve essere creato nello stesso account del cluster Amazon EKS e verrà mappato con un gruppo Kubernetes che include le autorizzazioni necessarie per valutare il cluster Amazon EKS. AWS Resilience Hub

Se il cluster Amazon EKS è nello stesso account dell'account AWS Resilience Hub chiamante, il ruolo deve essere creato utilizzando la seguente politica di fiducia IAM. In questa policy di fiducia IAM, caller_IAM_role viene utilizzata nell'account corrente per cui richiamare le API. AWS Resilience Hub

Nota
caller_IAM_roleÈ il ruolo associato al tuo account AWS utente.

Se il tuo cluster Amazon EKS si trova in un account incrociato (un account diverso dall'account AWS Resilience Hub chiamante), devi creare il ruolo AwsResilienceHubAssessmentEKSAccessRole IAM utilizzando la seguente politica di fiducia IAM:

Nota
Come prerequisito, per accedere al cluster Amazon EKS distribuito in un account diverso da quello dell' AWS Resilience Hub utente, devi configurare l'accesso a più account. Per ulteriori informazioni, consultare la pagina

Crea ClusterRole e ClusterRoleBinding (oRoleBinding) ruoli per l'applicazione. AWS Resilience Hub

Crea ClusterRole e ClusterRoleBinding concederà le autorizzazioni di sola lettura necessarie AWS Resilience Hub per analizzare e valutare le risorse che fanno parte di determinati namespace nel tuo cluster Amazon EKS.

AWS Resilience Hub ti consente di limitarne l'accesso ai namespace per la generazione di valutazioni della resilienza completando una delle seguenti operazioni:

Concedi all'applicazione l'accesso in lettura su tutti i namespace. AWS Resilience Hub

AWS Resilience Hub Per valutare la resilienza delle risorse in tutti i namespace all'interno di un cluster Amazon EKS, devi creare quanto segue e. ClusterRole ClusterRoleBinding

resilience-hub-eks-access-cluster-role(ClusterRole) — Definisce le autorizzazioni necessarie AWS Resilience Hub per valutare il tuo cluster Amazon EKS.
resilience-hub-eks-access-cluster-role-binding(ClusterRoleBinding) — Definisce un gruppo denominato resilience-hub-eks-access-group nel cluster Amazon EKS che concede ai suoi utenti le autorizzazioni necessarie per eseguire le valutazioni della resilienza in esso. AWS Resilience Hub

Il modello per concedere l'accesso in lettura su tutti i namespace dell'applicazione è il seguente: AWS Resilience Hub



cat << EOF | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: resilience-hub-eks-access-cluster-role
rules:
- apiGroups:
    - ""
  resources:
    - pods
    - replicationcontrollers
    - nodes
  verbs:
    - get
    - list
- apiGroups:
    - apps
  resources:
    - deployments
    - replicasets
  verbs:
    - get
    - list
- apiGroups:
    - policy
  resources:
    - poddisruptionbudgets
  verbs:
    - get
    - list
- apiGroups:
    - autoscaling.k8s.io
  resources:
    - verticalpodautoscalers
  verbs:
    - get
    - list
- apiGroups:
    - autoscaling
  resources:
    - horizontalpodautoscalers
  verbs:
    - get
    - list
- apiGroups:
    - karpenter.sh
  resources:
    - provisioners
    - nodepools
  verbs:
    - get
    - list
- apiGroups:
    - karpenter.k8s.aws
  resources:
    - awsnodetemplates
    - ec2nodeclasses
  verbs:
    - get
    - list
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: resilience-hub-eks-access-cluster-role-binding
subjects:
  - kind: Group
    name: resilience-hub-eks-access-group
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: resilience-hub-eks-access-cluster-role
  apiGroup: rbac.authorization.k8s.io
---
EOF

Concessione AWS Resilience Hub dell'accesso alla lettura di namespace specifici.

È possibile limitare l'accesso alle risorse all'interno AWS Resilience Hub di un set specifico di namespace utilizzando. RoleBinding A tale scopo, è necessario creare i seguenti ruoli:

ClusterRole— Per accedere AWS Resilience Hub alle risorse in namespace specifici all'interno di un cluster Amazon EKS e valutarne la resilienza, devi creare i seguenti ruoli. ClusterRole

resilience-hub-eks-access-cluster-role— Specifica le autorizzazioni necessarie per valutare le risorse all'interno di namespace specifici.
resilience-hub-eks-access-global-cluster-role— Specifica le autorizzazioni necessarie per valutare le risorse con ambito di cluster, che non sono associate a uno spazio di nomi specifico, all'interno dei cluster Amazon EKS. AWS Resilience Hub richiede le autorizzazioni per accedere alle risorse con ambito di cluster (come i nodi) sul cluster Amazon EKS per valutare la resilienza dell'applicazione.

Il modello per creare il ruolo è il seguenteClusterRole:



cat << EOF | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: resilience-hub-eks-access-cluster-role
rules:
  - apiGroups:
      - ""
    resources:
      - pods
      - replicationcontrollers
    verbs:
      - get
      - list
  - apiGroups:
      - apps
    resources:
      - deployments
      - replicasets
    verbs:
      - get
      - list
  - apiGroups:
      - policy
    resources:
      - poddisruptionbudgets
    verbs:
      - get
      - list
  - apiGroups:
      - autoscaling.k8s.io
    resources:
      - verticalpodautoscalers
    verbs:
      - get
      - list
  - apiGroups:
      - autoscaling
    resources:
      - horizontalpodautoscalers
    verbs:
      - get
      - list

---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: resilience-hub-eks-access-global-cluster-role
rules:
  - apiGroups:
      - ""
    resources:
      - nodes
    verbs:
      - get
      - list
  - apiGroups:
      - karpenter.sh
    resources:
      - provisioners
      - nodepools
    verbs:
      - get
      - list
  - apiGroups:
      - karpenter.k8s.aws
    resources:
      - awsnodetemplates
      - ec2nodeclasses
    verbs:
      - get
      - list

---
EOF

RoleBindingruolo: questo ruolo concede le autorizzazioni necessarie per accedere alle risorse all'interno AWS Resilience Hub di namespace specifici. Ovvero, è necessario creare un RoleBinding ruolo in ogni namespace per consentire AWS Resilience Hub l'accesso alle risorse all'interno del namespace specificato.

Nota
Se si utilizza ClusterAutoscaler per la scalabilità automatica, è inoltre necessario creare nel file. RoleBinding kube-system Questo è necessario per valutare il tuoClusterAutoscaler, che fa parte del namespace. kube-system
In questo modo, concederai AWS Resilience Hub le autorizzazioni necessarie per valutare le risorse all'interno del kube-system namespace mentre valuti il tuo cluster Amazon EKS.

Il modello per creare il RoleBinding ruolo è il seguente:
```
cat << EOF | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: resilience-hub-eks-access-cluster-role-binding
  namespace: <namespace>
subjects:
  - kind: Group
    name: resilience-hub-eks-access-group
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: resilience-hub-eks-access-cluster-role
  apiGroup: rbac.authorization.k8s.io

---
EOF
 
```

ClusterRoleBindingruolo: questo ruolo concede le autorizzazioni necessarie per accedere AWS Resilience Hub alle risorse con ambito di cluster.

Il modello per creare il ruolo è il seguenteClusterRoleBinding:



cat << EOF | kubectl apply -f - 
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: resilience-hub-eks-access-global-cluster-role-binding
subjects:
  - kind: Group
    name: resilience-hub-eks-access-group
    apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: resilience-hub-eks-access-global-cluster-role
  apiGroup: rbac.authorization.k8s.io

---
EOF

Aggiornalo aws-auth ConfigMap per mapparlo resilience-hub-eks-access-group con il ruolo IAM utilizzato per accedere al cluster Amazon EKS.

Questo passaggio crea una mappatura tra il ruolo IAM utilizzato nella fase 1 e il gruppo Kubernetes creato nel passaggio 2. Questa mappatura concede le autorizzazioni ai ruoli IAM per accedere alle risorse all'interno del cluster Amazon EKS.
Nota
- ROLE-NAMEsi riferisce al ruolo IAM utilizzato per accedere al cluster Amazon EKS.
  
  Se l'applicazione è configurata per utilizzare l'accesso basato sui ruoli, il ruolo deve essere il ruolo di richiamo o il ruolo secondario dell'account a cui viene passato AWS Resilience Hub durante la creazione dell'applicazione.
  
  Se l'applicazione è configurata per utilizzare l'utente IAM corrente per accedere alle risorse, deve essere il. AwsResilienceHubAssessmentEKSAccessRole
- ACCOUNT-IDdeve essere l'ID dell' AWS account del cluster Amazon EKS.
Puoi crearlo aws-auth ConfigMap utilizzando uno dei seguenti modi:
- Uso di eksctl
  
  Utilizzate il seguente comando per aggiornare aws-authConfigMap:
```
eksctl create iamidentitymapping \
 --cluster <cluster-name> \
 --region=<region-code> \
 --arn arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>\
 --group resilience-hub-eks-access-group \
 --username AwsResilienceHubAssessmentEKSAccessRole                  
```
- Puoi modificare manualmente aws-auth ConfigMap aggiungendo i dettagli del ruolo IAM alla mapRoles sezione dei dati ConfigMap sottostanti. Usa il seguente comando per modificare il aws-authConfigMap.
  
  kubectl edit -n kube-system configmap/aws-auth
  
  mapRolesla sezione è costituita dai seguenti parametri:
  - rolearn— L'Amazon Resource Name (ARN) del ruolo IAM da aggiungere.
    
    Sintassi ARN —. arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>
  - username— Il nome utente all'interno di Kubernetes da mappare al ruolo IAM (). AwsResilienceHubAssessmentEKSAccessRole
  - groups— I nomi dei gruppi devono corrispondere ai nomi dei gruppi creati nella Fase 2 (). resilience-hub-eks-access-group
  Nota
  Se la mapRoles sezione non esiste, è necessario aggiungerla manualmente.
  
  Usa il modello seguente per aggiungere i dettagli del ruolo IAM alla mapRoles ConfigMap sezione dei dati sottostanti.
```
    - groups:
      - resilience-hub-eks-access-group
      rolearn: arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>
      username: AwsResilienceHubAssessmentEKSAccessRole
```

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Abilitare AWS Resilience Hub l'accesso al tuo cluster Amazon EKS

Abilitazione AWS Resilience Hub alla pubblicazione su Amazon SNS di argomenti

Concessione AWS Resilience Hub accesso alle risorse nel tuo cluster Amazon EKS

Per concedere le autorizzazioni richieste a AWS Resilience Hub per scoprire e valutare le risorse all'interno del cluster Amazon EKS

Nota

Nota

Nota

Nota

Nota