使用 OIDC 的 Kubernetes 服务帐户角色

Question

我正在尝试将部署到 EKS 中同一工作节点的 2 个 pod 关联到不同服务帐户的功能。以下是步骤

• 每个服务帐户都与不同的角色相关联，一个可以访问 SQS，另一个则不能访问。
• 使用 eksutil 将 OIDC 提供程序与集群相关联，并使用 kubernetes 中的服务帐户创建了 iamserviceaccount，并使用附加的访问 SQS 的策略创建了角色（由 eksctl create iamserviceaccount 提供的具有 IAM 角色的服务帐户的隐式注释）。

但是当我尝试启动服务帐户绑定到具有 SQS 访问权限的角色的 Pod 时，我的 SQS 访问被拒绝，但是如果我将 SQS 权限添加到工作节点实例角色，它工作正常。

我是否遗漏了任何步骤，我的理解是否正确？

Answer 1

所以，要让 IRSA 工作，需要做一些事情：

1. 必须有一个与集群关联的 OIDC 提供程序，遵循 here 的指示。
2. IAM 角色必须与 OIDC 提供商建立信任关系，如 AWS CLI 示例 here 中所定义。
3. 服务帐户必须使用匹配的eks.amazonaws.com/role-arn 进行注释。
4. 根据API docs，Pod 必须在其spec 中使用serviceAccountName 指定适当的服务帐户。
5. 应用的 SDK 需要支持AssumeRoleWithWebIdentity API 调用。奇怪的是，aws-sdk-go-v2 SDK 目前根本不支持它（“旧”aws-sdk-go 支持）。

它与节点角色一起工作，因为没有满足上述要求之一，这意味着凭证链“落入”底层节点角色。