amazon-web-services - 如何从 EC2 实例配置文件管理 EKS？

Question

我们的系统有 EKS Kubernetes 集群。我们通过 ssh 进入的 EC2 实例“堡垒主机”管理它们，配置我们的凭据，并使用 kubectl 来管理集群。
我们不想继续在 EC2 主机上手动配置我们的凭证。
因此，我尝试将 EC2 实例配置文件与具有管理集群的适当权限的 EC2 主机相关联。但是，它不起作用。
EC2 实例具有与包含此策略(完整 EKS 权限)的角色关联的 IAM 实例配置文件

{
    "Sid": "2",
    "Effect": "Allow",
    "Action": [
        "eks:*"
    ],
    "Resource": "*"
}

因此，当我运行以下命令时，我希望能够列出 EKS 上的事件服务:

[ec2-user@ip-10-0-0-72 ~]$ aws eks update-kubeconfig --name my_eks_cluster_name
[ec2-user@ip-10-0-0-72 ~]$ kubectl get svc
error: the server doesn't have a resource type "svc"

该错误意味着我没有权限。我通过在主机上配置一些 AWS 凭证来证明这一点:

[ec2-user@ip-10-0-0-72 ~]$ export AWS_ACCESS_KEY_ID=...
[ec2-user@ip-10-0-0-72 ~]$ export AWS_SECRET_ACCESS_KEY=...
[ec2-user@ip-10-0-0-72 ~]$ export AWS_SESSION_TOKEN=...

现在，我尝试列出 svc:

[ec2-user@ip-10-0-0-72 ~]$ kubectl get svc
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   172.20.0.1   <none>        443/TCP   85d

有用
为什么 IAM 实例角色不足以让我通过 kubectl 管理我的 EKS 集群？

Answer 1

感谢 @jordanm 指出 EKS 使用配置映射来处理授权。
我能够编辑配置映射，添加一个条目来映射 EC2 实例配置文件的 IAM 角色，arn:aws:iam::111111111111:role/eks_management_host_jw_jw , 到 kubernetes system:masters组(管理员)

# Please edit the object below. Lines beginning with a '#' will be ignored,
# and an empty file will abort the edit. If an error occurs while saving this file will be
# reopened with the relevant failures.
#
apiVersion: v1
data:
  mapRoles: |
    - groups:
      - system:bootstrappers
      - system:nodes
      rolearn: arn:aws:iam::111111111111:role/eks_node_jw_jw
      username: system:node:{{EC2PrivateDNSName}}
    - groups:  # <-- I added this
      - system:masters
      rolearn: arn:aws:iam::111111111111:role/eks_management_host_jw_jw
      username: system:admin
kind: ConfigMap
metadata:
  # ...