Saiba como a Identidade de Pods do EKS concede aos pods acesso aos serviços da AWS

Privilégio mínimo: você pode definir o escopo das permissões do IAM para uma conta de serviço, e somente os pods que usarem essa conta de serviço terão acesso a essas permissões. Esse recurso também elimina a necessidade de soluções de terceiros, como o kiam ou o kube2iam.

Isolamento de credenciais: quando o acesso ao serviço de metadados de instância (IMDS) do Amazon EC2 estiver restrito, um contêiner de pods só poderá recuperar as credenciais do perfil do IAM que estiver associado à conta de serviço que o contêiner usa. Um contêiner nunca tem acesso a credenciais usadas por outros contêineres em outros pods. Se o IMDS não estiver restrito, os contêineres do pod também terão acesso ao perfil do IAM do nó do Amazon EKS, e os contêineres poderão obter acesso às credenciais dos perfis do IAM de outros pods no mesmo nó. Para obter mais informações, consulte Restringir o acesso ao perfil da instância atribuído ao nó de processamento.

Auditabilidade: o log de acesso e de eventos está disponível no AWS CloudTrail para ajudar a facilitar a auditoria retrospectiva.

Operações independentes: em muitas organizações, criar provedores de identidade OIDC é responsabilidade de equipes diferentes da administração dos clusters do Kubernetes. O EKS Pod Identity tem uma separação clara dos deveres em que toda a configuração das associações ao EKS Pod Identity é feita no Amazon EKS e toda a configuração das permissões do IAM é feita no IAM.

Reutilização: o EKS Pod Identity usa uma única entidade principal do IAM em vez das entidades principais separadas para cada cluster que os perfis do IAM para contas de serviço utilizam. Seu administrador do IAM adiciona a seguinte entidade principal à política de confiança de qualquer perfil para torná-la utilizável pelo EKS Pod Identities.

            "Principal": {
                "Service": "pods.eks.amazonaws.com"
            }

Escalabilidade: cada conjunto de credenciais temporárias é assumido pelo serviço de autenticação no EKS na Identidade de Pods do EKS, em vez de cada AWS SDK que você executa em cada pod. Em seguida, o Amazon EKS Pod Identity Agent executado em cada nó emite as credenciais para os SDKs. Assim, a carga é reduzida para uma vez para cada nó e não é duplicada em cada pod. Para obter mais detalhes do processo, consulte Como a Identidade de Pods do EKS funciona.

São suportadas até 5 mil associações de Identidades de Pods do EKS por cluster para mapear perfis do IAM para contas de serviço do Kubernetes.

Associação de perfil do IAM: cada conta de serviço do Kubernetes em um cluster pode ser associada a um perfil do IAM da mesma conta da AWS que o cluster. Para alterar o perfil, edite a associação de Identidades de Pods do EKS. Para acesso entre contas, delegue o acesso ao perfil usando perfis do IAM. Para obter mais informações, consulte Delegar acesso entre contas da AWS usando perfis do IAM no Guia do usuário do IAM.

Agente da Identidade de Pods do EKS: o agente da Identidade de Pods é necessário para usar a Identidade de Pods do EKS. O agente é executado como um DaemonSet do Kubernetes em nós de cluster, fornecendo credenciais somente para pods no mesmo nó. Ele usa a hostNetwork do nó, ocupando a porta 80 e a 2703 no endereço local do link (169.254.170.23 para IPv4, [fd00:ec2::23] para IPv6). Se o IPv6 estiver desabilitado em seu cluster, desabilite o IPv6 para o agente da Identidade de Pods. Para saber mais, consulte Desabilitar o IPv6 no agente da Identidade de Pods do EKS.

Consistência eventual: as associações de Identidades de Pods do EKS acabam sendo consistentes, com possíveis atrasos de vários segundos após as chamadas de API. Evite criar ou atualizar associações em caminhos de código críticos e de alta disponibilidade. Em vez disso, execute essas ações em rotinas de inicialização ou configuração separadas e menos frequentes. Para saber mais, consulte Security Groups Per Pod no Guia de práticas recomendadas do EKS.

Considerações sobre proxy e grupos de segurança: para pods que usam um proxy, adicione 169.254.170.23 (IPv4) e [fd00:ec2::23] (IPv6) às variáveis de ambiente no_proxy/NO_PROXY para evitar falhas nas solicitações ao agente da Identidade de Pods do EKS. Se estiver usando grupos de segurança para pods com a CNI da AWS VPC, defina a sinalização ENABLE_POD_ENI como “true” e a sinalização POD_SECURITY_GROUP_ENFORCING_MODE como “standard”. Para saber mais, consulte Atribuir grupos de segurança a pods individuais.

Versões de cluster do Amazon EKS listadas no tópico Versões de cluster do EKS Pod Identity anterior.

Nós de processamento no cluster que são instâncias do Linux do Amazon EC2.

AWS Outposts.

Amazon EKS Anywhere

Clusters do Kubernetes que você cria e executa no Amazon EC2. Os componentes do EKS Pod Identity estão disponíveis somente no Amazon EKS.

Pods executados em qualquer lugar, exceto instâncias do Linux do Amazon EC2. Não há suporte para pods Linux e Windows executados em AWS Fargate (Fargate). Não há suporte a pods executados em instâncias do Windows do Amazon EC2.