針對 EKS 附加元件的 Pod 身分識別進行疑難排解 - Amazon EKS

協助改進此頁面

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

若要為本使用者指南貢獻內容，請點選每個頁面右側面板中的在 GitHub 上編輯此頁面連結。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

針對 EKS 附加元件的 Pod 身分識別進行疑難排解

若您的附加元件在嘗試呼叫 AWS API、SDK 或 CLI 操作時遇到錯誤，請確認以下事項：

  • Pod 身分識別代理程式已安裝到您的叢集中。

  • 該附加元件具有有效的 Pod 身分識別關聯。

    • 利用 AWS CLI 擷取該附加元件所使用的服務帳戶名稱的關聯。

      aws eks list-pod-identity-associations --cluster-name <cluster-name>

  • IAM 角色具有 Pod 身分識別所需的信任政策。

    • 利用 AWS CLI 擷取附加元件的信任政策。

      aws iam get-role --role-name <role-name> --query Role.AssumeRolePolicyDocument

  • IAM 角色具有該附加元件所需的必要許可。

    • 利用 AWS CloudTrail 來檢閱 AccessDenied 或 UnauthorizedOperation 事件。

  • Pod 身分識別關聯中的服務帳戶名稱與附加元件所使用的服務帳戶名稱相符。

  • 檢查名為 pod-identity-webhook 的 MutatingWebhookConfiguration 組態

    • Webhook 的 admissionReviewVersions 需要是 v1beta1，並且與 v1 不相容。