Amazon Elastic Kubernetes Service 的操作、资源和条件键

Amazon Elastic Kubernetes Service（服务前缀eks:）提供以下特定于服务的操作、资源、操作和条件密钥，供在 IAM 权限策略中使用。

参考：

了解如何配置该服务。
查看适用于该服务的 API 操作列表。
了解如何使用 IAM 权限策略保护该服务及其资源。
查看此服务的编程服务授权参考。

主题

由亚马逊 Elastic Kubernetes Service 定义的 API 操作
Amazon Elastic Kubernetes Service 定义的操作
Permission-only 亚马逊 Elastic Kubernetes Service 的操作
Amazon Elastic Kubernetes Service 定义的资源类型
Amazon Elastic Kubernetes Service 的条件键

由亚马逊 Elastic Kubernetes Service 定义的 API 操作

下表将 API 操作映射到它们授权的 IAM 操作。仅列出具有给定 API 和操作的静态值的条件键；有关每个操作支持的完整条件键集，请参阅操作表。

操作	IAM 操作	条件键	可能的值	访问级别
ActivateCertificateAuthority	Eks：ActivateCertificateAuthority			写入
AssociateAccessPolicy	Eks：AssociateAccessPolicy			写入
AssociateEncryptionConfig	Eks：AssociateEncryptionConfig			写入
AssociateIdentityProviderConfig	Eks：AssociateIdentityProviderConfig			写入
AssociateIdentityProviderConfig	Eks：TagResource			标记、写作
CancelUpdate	Eks：CancelUpdate			写入
CreateAccessEntry	Eks：CreateAccessEntry			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ec2.amazonaws.com	写入
CreateAddon	Eks：CreateAddon			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	emazonaws.com	写入
CreateCapability	Eks：CreateCapability			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	emazonaws.com	写入
CreateCertificateAuthority	Eks：CreateCertificateAuthority			写入
CreateCluster	Eks：CreateAccessEntry			写入
	Eks：CreateCluster			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	ec2.amazonaws.com，emazonaws.com	写入
CreateEksAnywhereSubscription	Eks：CreateEksAnywhereSubscription			写入
CreateEksAnywhereSubscription	Eks：TagResource			标记、写作
CreateFargateProfile	Eks：CreateFargateProfile			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	emazonaws.com	写入
CreateNodegroup	Eks：CreateNodegroup			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	emazonaws.com	写入
CreatePodIdentityAssociation	Eks：CreatePodIdentityAssociation			写入
	Eks：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	pods.eks.amazonaws.com	写入
DeleteAccessEntry	Eks：DeleteAccessEntry			写入
DeleteAddon	Eks：DeleteAddon			写入
DeleteCapability	Eks：DeleteCapability			写入
DeleteCertificateAuthority	Eks：DeleteCertificateAuthority			写入
DeleteCluster	Eks：DeleteCluster			写入
DeleteEksAnywhereSubscription	Eks：DeleteEksAnywhereSubscription			写入
DeleteFargateProfile	Eks：DeleteFargateProfile			写入
DeleteNodegroup	Eks：DeleteNodegroup			写入
DeletePodIdentityAssociation	Eks：DeletePodIdentityAssociation			写入
DeregisterCluster	Eks：DeregisterCluster			写入
DescribeAccessEntry	Eks：DescribeAccessEntry			读取
DescribeAddon	Eks：DescribeAddon			读取
DescribeAddonConfiguration	Eks：DescribeAddonConfiguration			读取
DescribeAddonVersions	Eks：DescribeAddonVersions			读取
DescribeCapability	Eks：DescribeCapability			读取
DescribeCertificateAuthority	Eks：DescribeCertificateAuthority			读取
DescribeCluster	Eks：DescribeCluster			读取
DescribeClusterVersions	Eks：DescribeClusterVersions			读取
DescribeEksAnywhereSubscription	Eks：DescribeEksAnywhereSubscription			读取
DescribeFargateProfile	Eks：DescribeFargateProfile			读取
DescribeIdentityProviderConfig	Eks：DescribeIdentityProviderConfig			读取
DescribeInsight	Eks：DescribeInsight			读取
DescribeInsightsRefresh	Eks：DescribeInsightsRefresh			读取
DescribeNodegroup	Eks：DescribeNodegroup			读取
DescribePodIdentityAssociation	Eks：DescribePodIdentityAssociation			读取
DescribeUpdate	Eks：DescribeUpdate			读取
DisassociateAccessPolicy	Eks：DisassociateAccessPolicy			写入
DisassociateIdentityProviderConfig	Eks：DisassociateIdentityProviderConfig			写入
ListAccessEntries	Eks：ListAccessEntries			列表
ListAccessPolicies	Eks：ListAccessPolicies			列表
ListAddons	Eks：ListAddons			列表
ListAssociatedAccessPolicies	谢克斯：ListAssociatedAccessPolicies			列表
ListCapabilities	谢克斯：ListCapabilities			列表
ListCertificateAuthorities	谢克斯：ListCertificateAuthorities			列表
ListClusters	谢克斯：ListClusters			列表
ListEksAnywhereSubscriptions	谢克斯：ListEksAnywhereSubscriptions			列表
ListFargateProfiles	谢克斯：ListFargateProfiles			列表
ListIdentityProviderConfigs	谢克斯：ListIdentityProviderConfigs			列表
ListInsights	谢克斯：ListInsights			列表
ListNodegroups	谢克斯：ListNodegroups			列表
ListPodIdentityAssociations	谢克斯：ListPodIdentityAssociations			列表
ListTagsForResource	谢克斯：ListTagsForResource			读取
ListUpdates	谢克斯：ListUpdates			列表
RegisterCluster	谢克斯：RegisterCluster			写入
	谢克斯：TagResource			标记、写作
	我是：PassRole	我是：PassedToService	emazonaws.com	写入
StartInsightsRefresh	谢克斯：StartInsightsRefresh			写入
TagResource	谢克斯：TagResource			标记、写作
UntagResource	谢克斯：UntagResource			标记、写作
UpdateAccessEntry	谢克斯：UpdateAccessEntry			写入
UpdateAddon	谢克斯：UpdateAddon			写入
UpdateAddon	我是：PassRole	我是：PassedToService	emazonaws.com	写入
UpdateCapability	谢克斯：UpdateCapability			写入
UpdateCapability	我是：PassRole	我是：PassedToService	emazonaws.com	写入
UpdateClusterConfig	谢克斯：CreateAccessEntry			写入
	谢克斯：UpdateClusterConfig			写入
	我是：PassRole	我是：PassedToService	ec2.amazonaws.com，emazonaws.com	写入
UpdateClusterVersion	谢克斯：UpdateClusterVersion			写入
UpdateEksAnywhereSubscription	谢克斯：UpdateEksAnywhereSubscription			写入
UpdateNodegroupConfig	谢克斯：UpdateNodegroupConfig			写入
UpdateNodegroupVersion	谢克斯：UpdateNodegroupVersion			写入
UpdatePodIdentityAssociation	谢克斯：UpdatePodIdentityAssociation			写入
UpdatePodIdentityAssociation	我是：PassRole	我是：PassedToService	pods.eks.amazonaws.com	写入

Amazon Elastic Kubernetes Service 定义的操作

您可以在 IAM 策略语句的 Action 元素中指定以下操作。可以使用策略授予在 AWS中执行操作的权限。您在策略中使用一项操作时，通常使用相同的名称允许或拒绝对 API 操作或 CLI 命令的访问。但在某些情况下，单一动作可控制对多项操作的访问。还有某些操作需要多种不同的动作。

操作	说明	资源类型（* 为必需）	条件键	访问级别
ActivateCertificateAuthority	授予为 Amazon EKS 集群激活证书颁发机构的权限	集群*	aws: ResourceTag /$ {} TagKey	写入
AssociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目关联的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 访问范围 EKS: 集群名称 EKS: Kubernetes 群组 eks: 命名空间例如：Policyarn EKS: principalARN eks: 用户名	写入
AssociateEncryptionConfig	授予权限以将加密配置关联到集群	集群*	aws: ResourceTag /$ {} TagKey eks: 加密 ConfigProviderKeyArns	写入
AssociateIdentityProviderConfig	授予权限以将身份提供商配置关联到集群	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys EKS: clientID EKS: 发行者网址	写入
CancelUpdate	授予取消正在进行的 Amazon EKS 集群的 Kubernetes 版本更新的权限	集群*	aws: ResourceTag /$ {} TagKey	写入
CreateAccessEntry	授予创建 Amazon EKS 访问条目的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 例如:access EntryType EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	写入
CreateAddon	授予权限以创建 Amazon EKS 附加组件	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateAddon	授予权限以创建 Amazon EKS 附加组件	pod 身份协会	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateCapability	授予为 Amazon EKS 集群创建功能的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateCertificateAuthority	授予为 Amazon EKS 集群创建证书颁发机构的权限	集群*	aws: ResourceTag /$ {} TagKey	写入
CreateCluster	授予权限以创建 Amazon EKS 集群		aws: RequestTag /$ {} TagKey aws：TagKeys EKS: 身份验证模式例如:block StorageEnabled 例如:bootstrap ClusterCreatorAdminPermissions 例如:bootstrap SelfManagedAddons eks: 计算 ConfigEnabled eks: 控制 PlaneEgressMode eks: 控制 PlaneScalingTier EKS: 删除保护例如:弹性 LoadBalancingEnabled eks: 加密 ConfigProviderKeyArns eks: 端点 PrivateAccess eks: 端点 PublicAccess eks: kube ApiServerConfig eks: kube ControllerManagerConfig EKS: Kubernetes 版本 eks: kube SchedulerConfig eks: 日志类型/$ {type} EKS: 支持类型 eks: zonal ShiftEnabled	写入
CreateEksAnywhereSubscription	授予创建 EKS Anywhere 订阅的权限		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
CreateFargateProfile	授予创建 AWS Fargate 个人资料的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreateNodegroup	授予权限以创建 Amazon EKS 节点组	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
CreatePodIdentityAssociation	授予创建 EKS 容器组身份关联的权限	集群*	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys	写入
DeleteAccessEntry	授予删除 Amazon EKS 访问条目的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	写入
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	插件*	aws: ResourceTag /$ {} TagKey	写入
DeleteAddon	授予权限以删除 Amazon EKS 附加组件	pod 身份协会	aws: ResourceTag /$ {} TagKey	写入
DeleteCapability	授予从 Amazon EKS 集群中删除权能的权限	能力*	aws: ResourceTag /$ {} TagKey	写入
DeleteCertificateAuthority	授予从 Amazon EKS 集群中删除证书颁发机构的权限	集群*	aws: ResourceTag /$ {} TagKey	写入
DeleteCluster	授予权限以删除 Amazon EKS 集群	集群*	aws: ResourceTag /$ {} TagKey	写入
DeleteEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	eks-anywhere 订阅*	aws: ResourceTag /$ {} TagKey	写入
DeleteFargateProfile	授予删除 AWS Fargate 个人资料的权限	fargate 个人资料*	aws: ResourceTag /$ {} TagKey	写入
DeleteNodegroup	授予权限以删除 Amazon EKS 节点组	节点组*	aws: ResourceTag /$ {} TagKey	写入
DeletePodIdentityAssociation	授予删除 EKS 容器组身份关联的权限	podidentityAsociation*	aws: ResourceTag /$ {} TagKey	写入
DeregisterCluster	授予取消注册外部集群的权限	集群*	aws: ResourceTag /$ {} TagKey	写入
DescribeAccessEntry	授予描述 Amazon EKS 访问条目的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	读取
DescribeAddon	授予权限以检索有关 Amazon EKS 附加组件的描述性信息	插件*	aws: ResourceTag /$ {} TagKey	读取
DescribeAddonConfiguration	授予列出有关 Amazon EKS 附加组件的配置选项的权限			读取
DescribeAddonVersions	授予权限以检索有关 Amazon EKS 支持的插件的描述性版本信息 Add-ons			读取
DescribeCapability	授予描述 Amazon EKS 集群功能的权限	能力*	aws: ResourceTag /$ {} TagKey	读取
DescribeCertificateAuthority	授予检索有关 Amazon EKS 集群证书颁发机构的描述性信息的权限	集群*	aws: ResourceTag /$ {} TagKey	读取
DescribeCluster	授予权限以检索有关 Amazon EKS 集群的描述性信息	集群*	aws: ResourceTag /$ {} TagKey	读取
DescribeClusterVersions	授予权限以检索有关 Amazon EKS 集群支持的 Kubernetes 版本的描述性信息			读取
DescribeEksAnywhereSubscription	授予描述 EKS Anywhere 订阅的权限	eks-anywhere 订阅*	aws: ResourceTag /$ {} TagKey	读取
DescribeFargateProfile	授予检索与集群关联的 Far AWS gate 配置文件的描述性信息的权限	fargate 个人资料*	aws: ResourceTag /$ {} TagKey	读取
DescribeIdentityProviderConfig	授予权限以检索与集群关联的 Idp config 的相关描述性信息	身份提供者配置*	aws: ResourceTag /$ {} TagKey	读取
DescribeInsight	授予检索指定集群中检测到的见解的描述性信息的权限	集群*	aws: ResourceTag /$ {} TagKey	读取
DescribeInsightsRefresh	授予权限以检索最新的按需集群见解刷新操作的状态	集群*	aws: ResourceTag /$ {} TagKey	读取
DescribeNodegroup	授予权限以检索有关 Amazon EKS 节点组的描述性信息	节点组*	aws: ResourceTag /$ {} TagKey	读取
DescribePodIdentityAssociation	授予描述 EKS 容器组身份关联的权限	podidentityAsociation*	aws: ResourceTag /$ {} TagKey	读取
DescribeUpdate	授予权限以检索给定 Amazon EKS cluster/nodegroup /附加组件（在指定或默认区域）的给定更新	插件	aws: ResourceTag /$ {} TagKey	读取
		能力	aws: ResourceTag /$ {} TagKey
		集群*	aws: ResourceTag /$ {} TagKey
		节点组	aws: ResourceTag /$ {} TagKey
DisassociateAccessPolicy	授予将 Amazon EKS 访问策略与 Amazon EKS 访问条目取消关联的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 访问范围 EKS: 集群名称 EKS: Kubernetes 群组 eks: 命名空间例如：Policyarn EKS: principalARN eks: 用户名	写入
DisassociateIdentityProviderConfig	授予权限以删除关联的 Idp config	身份提供者配置*	aws: ResourceTag /$ {} TagKey	写入
ListAccessEntries	授予列出所有 Amazon EKS 访问条目的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListAccessPolicies	授予列出 Amazon EKS 访问策略的权限			列表
ListAddons	授予在您的 AWS 账户（指定或默认区域）列出给定集群的 Amazon EKS 插件的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListAssociatedAccessPolicies	授予列出关联访问策略与 Amazon EKS 访问条目的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	列表
ListCapabilities	授予列出 Amazon EKS 集群功能的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListCertificateAuthorities	授予列出 Amazon EKS 集群证书颁发机构的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListClusters	授予列出您的 AWS 账户（指定或默认区域）中的 Amazon EKS 集群的权限			列表
ListDashboardData	授予权限以列出控制面板数据。Amazon EKS 控制面板聚合有关跨多个账户和区域的集群资源的信息。控制面板包含有关 EC2 实例和 EKS 集群版本的信息	仪表板*	aws: ResourceTag /$ {} TagKey	读取
ListDashboardResources	授予权限以列出控制面板资源。Amazon EKS 控制面板聚合有关跨多个账户和区域的集群资源的信息。控制面板包含有关 EC2 实例和 EKS 集群版本的信息	仪表板*	aws: ResourceTag /$ {} TagKey	读取
ListEksAnywhereSubscriptions	授予列出 EKS Anywhere 订阅的权限			列表
ListFargateProfiles	授予列出您 AWS 账户（在指定或默认区域）中与给定集群关联的 AWS Fargate 配置文件的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListIdentityProviderConfigs	授予列出您 AWS 账户（在指定或默认区域）中与给定集群关联的 Idp 配置的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListInsights	授予列出指定集群的所有检测见解的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListNodegroups	授予权限以列出您的 AWS 账户（在指定或默认区域）连接到给定集群的 Amazon EKS 节点组	集群*	aws: ResourceTag /$ {} TagKey	列表
ListPodIdentityAssociations	授予列出 EKS 容器组身份关联的权限	集群*	aws: ResourceTag /$ {} TagKey	列表
ListTagsForResource	授予列出指定资源的标签的权限	插件	aws: ResourceTag /$ {} TagKey	读取
		能力	aws: ResourceTag /$ {} TagKey
		集群	aws: ResourceTag /$ {} TagKey
		控制面板	aws: ResourceTag /$ {} TagKey
		eks-anywhere-订阅	aws: ResourceTag /$ {} TagKey
		fargate 个人资料	aws: ResourceTag /$ {} TagKey
		身份提供者配置	aws: ResourceTag /$ {} TagKey
		节点组	aws: ResourceTag /$ {} TagKey
ListUpdates	授予列出给定 Amazon EKS cluster/nodegroup /附加组件（在指定或默认区域）更新的权限	插件	aws: ResourceTag /$ {} TagKey	列表
		能力	aws: ResourceTag /$ {} TagKey
		集群*	aws: ResourceTag /$ {} TagKey
		节点组	aws: ResourceTag /$ {} TagKey
RegisterCluster	授予注册外部集群的权限		aws: RequestTag /$ {} TagKey aws：TagKeys	写入
StartInsightsRefresh	授予权限以启动按需集群见解刷新操作，以便在标准刷新计划之外获取最新分析	集群*	aws: ResourceTag /$ {} TagKey	写入
TagResource	授予标记指定资源的权限	访问入口	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	标记、写作
		插件	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		能力	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		集群	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		控制面板	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		eks-anywhere-订阅	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		fargate 个人资料	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		身份提供者配置	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		节点组	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
		pod 身份协会	aws: RequestTag /$ {} TagKey aws: ResourceTag /$ {} TagKey aws：TagKeys
UntagResource	授予取消标记指定资源的权限	访问入口	aws: ResourceTag /$ {} TagKey aws：TagKeys 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	标记、写作
		插件	aws: ResourceTag /$ {} TagKey aws：TagKeys
		能力	aws: ResourceTag /$ {} TagKey aws：TagKeys
		集群	aws: ResourceTag /$ {} TagKey aws：TagKeys
		控制面板	aws: ResourceTag /$ {} TagKey aws：TagKeys
		eks-anywhere-订阅	aws: ResourceTag /$ {} TagKey aws：TagKeys
		fargate 个人资料	aws: ResourceTag /$ {} TagKey aws：TagKeys
		身份提供者配置	aws: ResourceTag /$ {} TagKey aws：TagKeys
		节点组	aws: ResourceTag /$ {} TagKey aws：TagKeys
		pod 身份协会	aws: ResourceTag /$ {} TagKey aws：TagKeys
UpdateAccessEntry	授予更新 Amazon EKS 访问条目的权限	访问权限*	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名	写入
UpdateAddon	授予更新 Amazon EKS 附加组件配置的权限，例如 VPC-CNI 版本	插件*	aws: ResourceTag /$ {} TagKey	写入
UpdateAddon	授予更新 Amazon EKS 附加组件配置的权限，例如 VPC-CNI 版本	pod 身份协会	aws: ResourceTag /$ {} TagKey	写入
UpdateCapability	授予更新 Amazon EKS 集群功能的权限	能力*	aws: ResourceTag /$ {} TagKey	写入
UpdateClusterConfig	授予权限以更新 Amazon EKS 集群配置（例如，API 服务器终端节点访问）	集群*	aws: ResourceTag /$ {} TagKey EKS: 身份验证模式例如:block StorageEnabled eks: 计算 ConfigEnabled eks: 控制 PlaneEgressMode eks: 控制 PlaneScalingTier EKS: 删除保护 eks: 弹性 LoadBalancingEnabled eks: 端点 PrivateAccess eks: 端点 PublicAccess eks: kube ApiServerConfig eks: kube ControllerManagerConfig eks: kube SchedulerConfig eks: 日志类型/$ {type} EKS: 支持类型 eks: zonal ShiftEnabled	写入
UpdateClusterVersion	授予权限以更新 Amazon EKS 集群的 Kubernetes 版本	集群*	aws: ResourceTag /$ {} TagKey EKS: Kubernetes 版本	写入
UpdateEksAnywhereSubscription	授予更新 EKS Anywhere 订阅的权限	eks-anywhere 订阅*	aws: ResourceTag /$ {} TagKey	写入
UpdateNodegroupConfig	授予更新 Amazon EKS 节点组配置的权限（例如： min/max/所需容量或标签）	节点组*	aws: ResourceTag /$ {} TagKey	写入
UpdateNodegroupVersion	授予权限以更新 Amazon EKS 节点组的 Kubernetes 版本	节点组*	aws: ResourceTag /$ {} TagKey	写入
UpdatePodIdentityAssociation	授予更新 EKS 容器组身份关联的权限	podidentityAsociation*	aws: ResourceTag /$ {} TagKey	写入

Permission-only 亚马逊 Elastic Kubernetes Service 的操作

以下操作由 Amazon Elastic Kubernetes Service 定义，但不能通过任何 API 操作直接调用。它们只能在 IAM 策略声明中用于授予或拒绝权限。

操作	说明	资源类型（* 为必需）	条件键	访问级别
AccessKubernetesApi	授予通过 EKS 控制台查看 Kubernetes 对象的权限 AWS	集群*	aws: ResourceTag /$ {} TagKey	读取
MutateViaKubernetesApi	授予通过控制台修改 Kubernetes 对象的权限 AWS	集群*	aws: ResourceTag /$ {} TagKey	写入

Amazon Elastic Kubernetes Service 定义的资源类型

以下资源类型是由该服务定义的，可以在 IAM 权限策略语句的 Resource 元素中使用这些资源类型。

资源类型	ARN	条件键
访问入口	arn：$ {Partition}: eks: $ {Region}: $ {Account}: access-entry/$ {} /$ {} /$ {} /$ {} /$ {ClusterName} /$ {} /$ {IamIdentityType} /$ {UUID} IamIdentityAccountID IamIdentityName	aws: ResourceTag /$ {} TagKey 例如:access EntryType EKS: 集群名称 EKS: Kubernetes 群组 EKS: principalARN eks: 用户名
访问策略	arn: $ {Partition}: eks:: aws: cluster-access-policy/$ {} AccessPolicyName
插件	arn: $ {Partition}: eks: $ {Region}: $ {Account}: addon/$ {} /$ {ClusterName} /$ {UUID} AddonName	aws: ResourceTag /$ {} TagKey
能力	arn：$ {Partition}: eks: $ {Region}: $ {Account}: capability/$ {} /$ {} /$ {} /$ {ClusterName} /$ {} /$ {UUIDCapabilityType} CapabilityName	aws: ResourceTag /$ {} TagKey
集群	arn: $ {Partition}: eks: $ {Region}: $ {Account}: cluster/$ {} ClusterName	aws: ResourceTag /$ {} TagKey
仪表板	arn: $ {Partition}: eks: $ {Region}: $ {Account}: dashboard/$ {} DashboardName	aws: ResourceTag /$ {} TagKey
eks-anywhere-订阅	arn: $ {Partition}: eks: $ {Region}: $ {Account}: eks-anywhere-subscription/$ {UUID}	aws: ResourceTag /$ {} TagKey
fargate 个人资料	arn：$ {Partition}: eks: $ {Region}: $ {Account}: fargateprofile/$ {} /$ {} /$ {} /$ {UUIDClusterName} FargateProfileName	aws: ResourceTag /$ {} TagKey
身份提供者配置	arn：$ {Partition}: eks: $ {Region}: $ {Account}: identityproviderconfig/$ {} /$ {} /$ {} /$ {} /$ {} /$ {UUIDClusterName} IdentityProviderType IdentityProviderConfigName	aws: ResourceTag /$ {} TagKey
节点组	arn：$ {Partition}: eks: $ {Region}: $ {Account}: nodegroup/$ {} /$ {} /$ {} /$ {ClusterNameUUID} NodegroupName	aws: ResourceTag /$ {} TagKey
pod 身份协会	arn: $ {Partition}: eks: $ {Region}: $ {Account}: podidentityassociation/$ {} /$ {UUID} ClusterName	aws: ResourceTag /$ {} TagKey

Amazon Elastic Kubernetes Service 的条件键

Amazon Elastic Kubernetes Service 定义以下可以在 IAM policy 的 Condition 元素中使用的条件键。

条件键	描述	类型
aws: RequestTag /$ {} TagKey	按用户向 EKS 服务发出的请求中包含的键筛选访问	字符串
aws: ResourceTag /$ {} TagKey	按标签键值对筛选访问	字符串
aws：TagKeys	按用户向 EKS 服务发出的请求中包含的所有标签键名称的列表筛选访问	ArrayOfString
例如:access EntryType	按用户向 EKS 服务发出的访问条目请求中所包含的访问条目类型筛选访问权限	字符串
EKS: 访问范围	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 accessScope 筛选访问权限	字符串
EKS: 身份验证模式	按创建/更新集群请求中所包含的身份验证模式筛选访问权限	字符串
例如:block StorageEnabled	按创建/更新集群请求中的块存储启用参数筛选访问权限	布尔型
例如:bootstrap ClusterCreatorAdminPermissions	按创建集群请求中ClusterCreatorAdminPermissions 存在的引导程序筛选访问权限	布尔型
例如:bootstrap SelfManagedAddons	按创建集群请求中SelfManagedAddons 存在的引导程序筛选访问权限	布尔型
EKS: clientID	筛选用户向 EKS 服务提出的IdentityProviderConfig 关联请求中存在的 ClientId 的访问权限	字符串
EKS: 集群名称	按用户向 EKS 服务发出的访问条目请求中所包含的 clusterName 筛选访问权限	字符串
eks: 计算 ConfigEnabled	按创建/更新集群请求中的已启用计算配置的参数筛选访问权限	布尔型
eks: 控制 PlaneEgressMode	按创建/更新集群请求中指定的控制平面出口模式筛选访问权限	字符串
eks: 控制 PlaneScalingTier	在创建/更新集群请求中按控制平面扩展层筛选访问权限	字符串
EKS: 删除保护	按创建/更新集群请求中的删除保护设置筛选访问权限	布尔型
eks: 弹性 LoadBalancingEnabled	按创建/更新集群请求中的已启用弹性负载均衡的参数筛选访问权限	布尔型
eks: 加密 ConfigProviderKeyArns	在创建集群/关联加密配置请求中按照 KMS 密钥 ARN 筛选访问权限	ArrayOfARN
eks: 端点 PrivateAccess	按创建/更新集群请求中的终端节点私有访问权限设置筛选访问权限	布尔型
eks: 端点 PublicAccess	按创建/更新集群请求中的终端节点公共访问设置筛选访问权限	布尔型
EKS: 发行者网址	按用户向 EKS 服务IdentityProviderConfig 提出的关联请求中存在的 issuerUrl 筛选访问权限	字符串
eks: kube ApiServerConfig	根据创建/更新集群请求中是否存在 kube-api-server 配置来筛选访问权限	布尔型
eks: kube ControllerManagerConfig	根据创建/更新集群请求中是否存在 kube-controller-manager 配置来筛选访问权限	布尔型
eks: kube SchedulerConfig	根据创建/更新集群请求中是否存在 kube-scheduler 配置来筛选访问权限	布尔型
EKS: Kubernetes 群组	按用户向 EKS 服务发出的访问条目请求中所包含的 kubernetesGroups 筛选访问权限	ArrayOfString
EKS: Kubernetes 版本	在创建集群/更新集群版本请求中按照 Kubernetes 版本筛选访问权限	字符串
eks: 日志类型/$ {type}	按已启用的集群日志记录和创建/更新集群请求中的类型参数筛选访问权限	布尔型
eks: 命名空间	按用户向 EKS 服务发出的关联/取消关联访问策略请求中包含的 namespaces 筛选访问权限	ArrayOfString
例如：Policyarn	按用户向 EKS 服务发出的访问条目请求中所包含的 policyArn 筛选访问权限	进行筛选
EKS: principalARN	按用户向 EKS 服务发出的访问条目请求中所包含的 principalArn 筛选访问权限	进行筛选
EKS: 支持类型	按创建/更新集群请求中所包含的 supportType 筛选访问权限	字符串
eks: 用户名	按用户向 EKS 服务发出的访问条目请求中所包含的 Kubernetes 用户名筛选访问权限	字符串
eks: zonal ShiftEnabled	按创建/更新集群请求中的启用区域偏移设置筛选访问权限	布尔型

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

亚马逊 Elastic File System（弹性文件系统）

Amazon Elastic MapReduce （弹性地图减少）