Usa AWS Secrets e Configuration Provider CSI con Pod Identity per Amazon EKS

Installare l'agente Pod Identity

• Installa il componente aggiuntivo agente Pod Identity sul tuo cluster.

  default placeholder text Sostituiscili con i tuoi valori:

  eksctl create addon \
    --name eks-pod-identity-agent \
    --cluster clusterName \
    --region region 

1. Crea una policy di autorizzazioni che conceda l'autorizzazione ssm:GetParameters e ssm:DescribeParameters ai parametri a cui il pod deve accedere.

2. Crea un ruolo IAM che può essere assunto dal servizio principale Amazon EKS per Pod Identity:

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "Service": "pods.eks.amazonaws.com"
           },
           "Action": [
             "sts:AssumeRole",
             "sts:TagSession"
           ]
         }
       ]
     }
   

   Allega la policy IAM al ruolo.

   default placeholder text Sostituiscili con i tuoi valori:

   aws iam attach-role-policy \
     --role-name MY_ROLE \
     --policy-arn POLICY_ARN

3. Crea un'associazione Pod Identity. Per un esempio, consulta Crea un'associazione Pod Identity nella Guida per l'utente Amazon EKS

4. Crea il SecretProviderClass che specifica quali parametri o segreti montare nel pod:

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleSecretProviderClass-PodIdentity.yaml

   La differenza fondamentale in SecretProviderClass tra IRSA e Pod Identity è il parametro usePodIdentity facoltativo. Si tratta di un campo facoltativo che determina l'approccio di autenticazione. Quando non è specificato, per impostazione predefinita utilizzare i ruoli IAM per gli account di servizio (IRSA).

   • Per utilizzare EKS Pod Identity, utilizza uno qualsiasi di questi valori: "true", "True", "TRUE", "t", "T".

   • Per utilizzare in modo esplicito IRSA, imposta uno qualsiasi di questi valori: "false", "False", "FALSE", "f", or "F".

5. Distribuisci il pod che monta i parametri o i segreti in /mnt/secrets-store:

   kubectl apply -f kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/examples/ExampleDeployment-PodIdentity.yaml

6. Se utilizzi un cluster Amazon EKS privato, assicurati che il VPC in cui si trova il cluster abbia un AWS STS endpoint. Per informazioni sulla creazione di un endpoint, consulta Endpoint VPC di interfaccia nella Guida per l'utente AWS Identity and Access Management .

Per configurare Amazon EKS Pod Identity per l'accesso ai parametri in Parameter Store

1. Crea una policy di autorizzazioni che conceda l'autorizzazione ssm:GetParameters e ssm:DescribeParameters ai parametri a cui il pod deve accedere.

2. Crea un parametro inParameter Store, se non ne hai già uno. Per informazioni, consulta Creazione di parametri Parameter Store in Systems Manager.

Per visualizzare i messaggi di errore per il container

1. Ottieni un elenco di nomi di pod con il comando seguente. Se non si sta utilizzando lo spazio dei nomi predefinito, utilizzare -n namespace.

   kubectl get pods

2. Per descrivere il Pod, nel comando seguente, pod-id usa l'ID Pod dei Pod che hai trovato nel passaggio precedente. Se non si sta utilizzando lo spazio dei nomi predefinito, utilizzare -n NAMESPACE.

   kubectl describe pod/pod-id

Come visualizzare gli errori per l'ASCP

• Per trovare maggiori informazioni nei log del provider, nel comando seguente, PODID usa l'ID del Pod csi-secrets-store-provider-aws.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id