Как дать роль роли - "arn: aws: sts :: 913xxxxx71: предполагаемая роль" - PullRequest
0 голосов
/ 04 июня 2019

Я следую этим инструкциям, чтобы отправить наши журналы кластера EKS в CloudWatch:

https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/Container-Insights-setup-logs.html

Так как это не работало, я выполнил предложенную команду для завершения журналовдля одного из модулей:

kubectl logs fluentd-cloudwatch-fc7vx -n amazon-cloudwatch

Я вижу эту ошибку:

error_class = Aws :: CloudWatchLogs :: Errors :: AccessDeniedException error = "Пользователь: arn:aws: sts :: 913xxxxx71: предполагаемая роль / eksctl-prod-nodegroup-standard-wo-NodeInstanceRole-1ESBFXHSI966X / i-0937e3xxxx07ea6 не авторизован для выполнения: logs: DescribeLogGroups на ресурсе: arn: aws: logs: us-west-2: 913617820371: log-group :: log-stream: "

У меня есть роль с правами доступа, но как я могу предоставить эту роль пользователю arn:aws:sts::913xxxxx71:assumed-role/eksctl-prod-nodegroup-standard-wo-NodeInstanceRole-1ESBFXHSI966X/i-0937e3xxxx07ea6?

Ответы [ 2 ]

1 голос
/ 04 июня 2019

Для этого вам нужно взять на себя роль.Это можно сделать несколькими различными способами:

  1. Вы можете настроить профиль AWS и использовать его для выполнения команд в качестве другой роли.
  2. Вы можете использоватьинструмент наподобие awsudo

Одно предостережение - та роль, которую вы предполагаете, должна иметь настройку доверительных отношений, чтобы другие могли ее принять.Пример этой установки доверительных отношений приведен в ссылке для (1) выше.

При этом вам, вероятно, не следует делать ничего подобного в вашем случае использования.

Если ваша другая роль находится в состоянии, в котором ее необходимо обновить, чтобы допустить допущение, вам будет намного проще и безопаснее просто обновить роль eksctl-prod-nodegroup-standard-wo-NodeInstanceRole-1ESBFXHSI966X напрямую с необходимыми разрешениями.

В идеале вы можете связать роль с той же политикой, которая прикреплена к другой роли, с желаемыми разрешениями.

0 голосов
/ 11 июня 2019

Необходимо выполнить шаг, чтобы прикрепить политику CloudWatchAgentServerPolicy к роли рабочего узла кластера, описанной здесь: https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/Container-Insights-prerequisites.html

Добро пожаловать на сайт PullRequest, где вы можете задавать вопросы и получать ответы от других членов сообщества.
...