Kube2iam не нужен с EKS и / или является его частью? - PullRequest
Новая
       181

Kube2iam не нужен с EKS и / или является его частью?

1 голос
/ 26 мая 2020

В Руководстве пользователя Amazon EKS есть страница , посвященная созданию контроллеров входа ALB с помощью одноименного стороннего инструмента AWS Контроллер входа ALB для Kubernetes .

Как в руководстве пользователя EKS, так и в документации к контроллеру есть свои пошаговые инструкции по настройке контроллера.

Пошаговое руководство , предоставляемое контроллером , предполагает, что вы либо жестко закодируете свой секретный ключ AWS в манифесте Deployment, либо установите еще один сторонний инструмент под названием Kube2iam .

Пошаговое руководство в руководстве пользователя AWS EKS содержит точно такой же манифест Deployment, но вам совсем не нужно его изменять. Вместо этого вы создаете и роль IAM (шаг 5), и учетную запись службы Kubernetes (шаг 4) для контроллера, а затем связываете их вместе, аннотируя учетную запись службы с помощью ARN для роли IAM. Prima fa cie, похоже, это то, для чего предназначен Kube2iam.

Это приводит меня к одному из трех выводов, которые я оцениваю в грубом порядке правдоподобия:

  1. EKS содержит функциональность Kube2iam в качестве одной из своих функций (возможно, путем включения Kube2iam в его кодовую базу), поэтому установка Kube2iam излишняя.
  2. eksctl устанавливает Kube2iam за кулисами как часть associate-iam-oidc-provider.
  3. Документация к контроллеру была написана для более ранней версии Kubernetes, и теперь эта функциональность встроена в стандартную плоскость управления.

Кто-нибудь знает, что это такое? Почему для прохождения AWS я не нужен для установки Kube2iam?

1 Ответ

1 голос
/ 26 мая 2020

Кто-нибудь случайно знает, что это? Почему для прохождения AWS я не нужен для установки Kube2iam?

Да, я могу авторитетно ответить на этот вопрос. В 09/2019 мы запустили в EKS под названием Роли IAM для учетных записей служб . Это делает kube2iam и другие решения устаревшими, поскольку теперь мы изначально поддерживаем контроль доступа с минимальными привилегиями на уровне модуля.

Кроме того, да, следует обновить пошаговое руководство ALB I C.

...