Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

# Concessione AWS Resilience Hub accesso alle risorse nel tuo cluster Amazon EKS
<a name="grant-permissions-to-eks-in-arh"></a>

AWS Resilience Hub consente di accedere alle risorse situate nei cluster Amazon EKS a condizione che siano state configurate le autorizzazioni richieste.

**Per concedere le autorizzazioni richieste a AWS Resilience Hub per scoprire e valutare le risorse all'interno del cluster Amazon EKS**

1. Configura un ruolo IAM per accedere al cluster Amazon EKS.

   Se hai configurato l'applicazione utilizzando l'accesso basato sui ruoli, puoi saltare questo passaggio e passare al passaggio 2 e utilizzare il ruolo che hai usato per creare l'applicazione. Per ulteriori informazioni sull' AWS Resilience Hub utilizzo dei ruoli IAM, consulta. [In che modo AWS Resilience Hub funziona con IAM](security_iam_service-with-iam.md)

   Se hai configurato la tua applicazione utilizzando le autorizzazioni utente IAM correnti, devi creare il ruolo `AwsResilienceHubAssessmentEKSAccessRole` IAM nello stesso account del cluster Amazon EKS. Questo ruolo IAM verrà quindi utilizzato durante l'accesso al cluster Amazon EKS.

   Durante l'importazione e la valutazione dell'applicazione, AWS Resilience Hub utilizza un ruolo IAM per accedere alle risorse nel cluster Amazon EKS. Questo ruolo deve essere creato nello stesso account del cluster Amazon EKS e verrà mappato con un gruppo Kubernetes che include le autorizzazioni necessarie per valutare il cluster Amazon EKS. AWS Resilience Hub 

   Se il cluster Amazon EKS è nello stesso account dell'account AWS Resilience Hub chiamante, il ruolo deve essere creato utilizzando la seguente politica di fiducia IAM. In questa policy di fiducia IAM, `caller_IAM_role` viene utilizzata nell'account corrente per cui richiamare le API. AWS Resilience Hub
**Nota**  
`caller_IAM_role`È il ruolo associato al tuo account AWS utente.

   Se il tuo cluster Amazon EKS si trova in un account incrociato (un account diverso dall'account AWS Resilience Hub chiamante), devi creare il ruolo `AwsResilienceHubAssessmentEKSAccessRole` IAM utilizzando la seguente politica di fiducia IAM:
**Nota**  
Come prerequisito, per accedere al cluster Amazon EKS distribuito in un account diverso da quello dell' AWS Resilience Hub utente, devi configurare l'accesso a più account. Per ulteriori informazioni, consultare la pagina 

1. Crea `ClusterRole` e `ClusterRoleBinding` (o`RoleBinding`) ruoli per l'applicazione. AWS Resilience Hub 

   Crea `ClusterRole` e `ClusterRoleBinding` concederà le autorizzazioni di sola lettura necessarie AWS Resilience Hub per analizzare e valutare le risorse che fanno parte di determinati namespace nel tuo cluster Amazon EKS.

   AWS Resilience Hub ti consente di limitarne l'accesso ai namespace per la generazione di valutazioni della resilienza completando una delle seguenti operazioni:

   1. Concedi all'applicazione l'accesso in lettura su tutti i namespace. AWS Resilience Hub 

       AWS Resilience Hub Per valutare la resilienza delle risorse in tutti i namespace all'interno di un cluster Amazon EKS, devi creare quanto segue e. `ClusterRole` `ClusterRoleBinding`
      + `resilience-hub-eks-access-cluster-role`(`ClusterRole`) — Definisce le autorizzazioni necessarie AWS Resilience Hub per valutare il tuo cluster Amazon EKS.
      +  `resilience-hub-eks-access-cluster-role-binding`(`ClusterRoleBinding`) — Definisce un gruppo denominato `resilience-hub-eks-access-group` nel cluster Amazon EKS che concede ai suoi utenti le autorizzazioni necessarie per eseguire le valutazioni della resilienza in esso. AWS Resilience Hub

      Il modello per concedere l'accesso in lettura su tutti i namespace dell'applicazione è il seguente: AWS Resilience Hub 

      ```
      cat << EOF | kubectl apply -f -
      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRole
      metadata:
        name: resilience-hub-eks-access-cluster-role
      rules:
      - apiGroups:
          - ""
        resources:
          - pods
          - replicationcontrollers
          - nodes
        verbs:
          - get
          - list
      - apiGroups:
          - apps
        resources:
          - deployments
          - replicasets
        verbs:
          - get
          - list
      - apiGroups:
          - policy
        resources:
          - poddisruptionbudgets
        verbs:
          - get
          - list
      - apiGroups:
          - autoscaling.k8s.io
        resources:
          - verticalpodautoscalers
        verbs:
          - get
          - list
      - apiGroups:
          - autoscaling
        resources:
          - horizontalpodautoscalers
        verbs:
          - get
          - list
      - apiGroups:
          - karpenter.sh
        resources:
          - provisioners
          - nodepools
        verbs:
          - get
          - list
      - apiGroups:
          - karpenter.k8s.aws
        resources:
          - awsnodetemplates
          - ec2nodeclasses
        verbs:
          - get
          - list
      ---
      apiVersion: rbac.authorization.k8s.io/v1
      kind: ClusterRoleBinding
      metadata:
        name: resilience-hub-eks-access-cluster-role-binding
      subjects:
        - kind: Group
          name: resilience-hub-eks-access-group
          apiGroup: rbac.authorization.k8s.io
      roleRef:
        kind: ClusterRole
        name: resilience-hub-eks-access-cluster-role
        apiGroup: rbac.authorization.k8s.io
      ---
      EOF
      ```

   1. Concessione AWS Resilience Hub dell'accesso alla lettura di namespace specifici.

      È possibile limitare l'accesso alle risorse all'interno AWS Resilience Hub di un set specifico di namespace utilizzando. `RoleBinding` A tale scopo, è necessario creare i seguenti ruoli:
      + `ClusterRole`— Per accedere AWS Resilience Hub alle risorse in namespace specifici all'interno di un cluster Amazon EKS e valutarne la resilienza, devi creare i seguenti ruoli. `ClusterRole`
        + `resilience-hub-eks-access-cluster-role`— Specifica le autorizzazioni necessarie per valutare le risorse all'interno di namespace specifici.
        + `resilience-hub-eks-access-global-cluster-role`— Specifica le autorizzazioni necessarie per valutare le risorse con ambito di cluster, che non sono associate a uno spazio di nomi specifico, all'interno dei cluster Amazon EKS. AWS Resilience Hub richiede le autorizzazioni per accedere alle risorse con ambito di cluster (come i nodi) sul cluster Amazon EKS per valutare la resilienza dell'applicazione.

        Il modello per creare il ruolo è il seguente`ClusterRole`:

        ```
        cat << EOF | kubectl apply -f -
        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRole
        metadata:
          name: resilience-hub-eks-access-cluster-role
        rules:
          - apiGroups:
              - ""
            resources:
              - pods
              - replicationcontrollers
            verbs:
              - get
              - list
          - apiGroups:
              - apps
            resources:
              - deployments
              - replicasets
            verbs:
              - get
              - list
          - apiGroups:
              - policy
            resources:
              - poddisruptionbudgets
            verbs:
              - get
              - list
          - apiGroups:
              - autoscaling.k8s.io
            resources:
              - verticalpodautoscalers
            verbs:
              - get
              - list
          - apiGroups:
              - autoscaling
            resources:
              - horizontalpodautoscalers
            verbs:
              - get
              - list
        
        ---
        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRole
        metadata:
          name: resilience-hub-eks-access-global-cluster-role
        rules:
          - apiGroups:
              - ""
            resources:
              - nodes
            verbs:
              - get
              - list
          - apiGroups:
              - karpenter.sh
            resources:
              - provisioners
              - nodepools
            verbs:
              - get
              - list
          - apiGroups:
              - karpenter.k8s.aws
            resources:
              - awsnodetemplates
              - ec2nodeclasses
            verbs:
              - get
              - list
        
        ---
        EOF
        ```
      + `RoleBinding`ruolo: questo ruolo concede le autorizzazioni necessarie per accedere alle risorse all'interno AWS Resilience Hub di namespace specifici. Ovvero, è necessario creare un `RoleBinding` ruolo in ogni namespace per consentire AWS Resilience Hub l'accesso alle risorse all'interno del namespace specificato. 
**Nota**  
Se si utilizza `ClusterAutoscaler` per la scalabilità automatica, è inoltre necessario creare nel file. `RoleBinding` `kube-system` Questo è necessario per valutare il tuo`ClusterAutoscaler`, che fa parte del namespace. `kube-system`  
In questo modo, concederai AWS Resilience Hub le autorizzazioni necessarie per valutare le risorse all'interno del `kube-system` namespace mentre valuti il tuo cluster Amazon EKS.

        Il modello per creare il `RoleBinding` ruolo è il seguente:

        ```
        cat << EOF | kubectl apply -f -
        apiVersion: rbac.authorization.k8s.io/v1
        kind: RoleBinding
        metadata:
          name: resilience-hub-eks-access-cluster-role-binding
          namespace: <namespace>
        subjects:
          - kind: Group
            name: resilience-hub-eks-access-group
            apiGroup: rbac.authorization.k8s.io
        roleRef:
          kind: ClusterRole
          name: resilience-hub-eks-access-cluster-role
          apiGroup: rbac.authorization.k8s.io
        
        ---
        EOF
        ```
      + `ClusterRoleBinding`ruolo: questo ruolo concede le autorizzazioni necessarie per accedere AWS Resilience Hub alle risorse con ambito di cluster.

        Il modello per creare il ruolo è il seguente`ClusterRoleBinding`:

        ```
        cat << EOF | kubectl apply -f - 
        ---
        apiVersion: rbac.authorization.k8s.io/v1
        kind: ClusterRoleBinding
        metadata:
          name: resilience-hub-eks-access-global-cluster-role-binding
        subjects:
          - kind: Group
            name: resilience-hub-eks-access-group
            apiGroup: rbac.authorization.k8s.io
        roleRef:
          kind: ClusterRole
          name: resilience-hub-eks-access-global-cluster-role
          apiGroup: rbac.authorization.k8s.io
        
        ---
        EOF
        ```

1. Aggiornalo `aws-auth ConfigMap` per mapparlo `resilience-hub-eks-access-group` con il ruolo IAM utilizzato per accedere al cluster Amazon EKS.

   Questo passaggio crea una mappatura tra il ruolo IAM utilizzato nella fase 1 e il gruppo Kubernetes creato nel passaggio 2. Questa mappatura concede le autorizzazioni ai ruoli IAM per accedere alle risorse all'interno del cluster Amazon EKS.
**Nota**  
`ROLE-NAME`si riferisce al ruolo IAM utilizzato per accedere al cluster Amazon EKS.  
Se l'applicazione è configurata per utilizzare l'accesso basato sui ruoli, il ruolo deve essere il ruolo di richiamo o il ruolo secondario dell'account a cui viene passato AWS Resilience Hub durante la creazione dell'applicazione.
Se l'applicazione è configurata per utilizzare l'utente IAM corrente per accedere alle risorse, deve essere il. `AwsResilienceHubAssessmentEKSAccessRole`
`ACCOUNT-ID`deve essere l'ID dell' AWS account del cluster Amazon EKS.

   Puoi crearlo `aws-auth` `ConfigMap` utilizzando uno dei seguenti modi:
   + Uso di `eksctl`

     Utilizzate il seguente comando per aggiornare `aws-auth``ConfigMap`:

     ```
     eksctl create iamidentitymapping \
      --cluster <cluster-name> \
      --region=<region-code> \
      --arn arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>\
      --group resilience-hub-eks-access-group \
      --username AwsResilienceHubAssessmentEKSAccessRole
     ```
   + Puoi modificare manualmente `aws-auth` `ConfigMap` aggiungendo i dettagli del ruolo IAM alla `mapRoles` sezione dei dati `ConfigMap` sottostanti. Usa il seguente comando per modificare il `aws-auth``ConfigMap`.

     `kubectl edit -n kube-system configmap/aws-auth`

     `mapRoles`la sezione è costituita dai seguenti parametri:
     + `rolearn`— L'[Amazon Resource Name (ARN) ](https://docs.aws.amazon.com/general/latest/gr/aws-arns-and-namespaces.html) del ruolo IAM da aggiungere. 
       + Sintassi ARN —. `arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>`
     + `username`— Il nome utente all'interno di Kubernetes da mappare al ruolo IAM (). `AwsResilienceHubAssessmentEKSAccessRole`
     + `groups`— I nomi dei gruppi devono corrispondere ai nomi dei gruppi creati nella ** Fase 2 (). ** `resilience-hub-eks-access-group`
**Nota**  
Se la `mapRoles` sezione non esiste, è necessario aggiungerla manualmente.

     Usa il modello seguente per aggiungere i dettagli del ruolo IAM alla `mapRoles` `ConfigMap` sezione dei dati sottostanti.

     ```
         - groups:
           - resilience-hub-eks-access-group
           rolearn: arn:aws:iam::<ACCOUNT-ID>:role/<ROLE-NAME>
           username: AwsResilienceHubAssessmentEKSAccessRole
     ```