EKS 文档说
“当您创建 Amazon EKS 集群时，IAM 实体（用户或角色）在集群的 RBAC 配置中被自动授予 system:master 权限”。
但是在创建 EKS 集群之后，如果您检查 aws-auth 配置映射，它没有到 system:masters 组的 ARN 映射。但我可以通过 kubectl 访问集群。因此，如果 aws-auth（heptio 配置映射）没有将我的 ARN（我是创建 EKS 集群的人）映射到 system:masters 组，那么 heptio aws 身份验证器如何对我进行身份验证？
【问题讨论】：
heptio，是否通过创建新的服务帐户、角色、角色绑定等来为每个服务启用具有权限的 RBAC，并且很高兴听到是否有一个对所有人解决方案。
标签： kubernetes amazon-eks
我知道答案了。基本上在 heptio 服务器端组件上，system:master 的静态映射在 /etc/kubernetes/aws-iam-authenticator/ (https://github.com/kubernetes-sigs/aws-iam-authenticator#3-configure-your-api-server-to-talk-to-the-server) 下完成，它安装在 heptio 身份验证器 pod 中。由于您在 EKS 中无权访问它，因此您看不到它。但是，如果您确实使用预签名请求调用 /authenticate 自己，您应该从 heptio 身份验证器获得 TokenReviewStatus 响应，显示 ARN（创建集群）到 system:master 组的映射！
【讨论】：
当您创建集群时，您还安装了aws-iam-authenticator，
既然你创建了集群，我相信你有~/.aws/credentials。
如果您检查aws-auth 文件，您会看到其中包含aws-iam-authenticator。
您还有~/.kube/config 文件，您可以在其中看到iam-authenticator 将您的AWS-PROFILE 映射为ConfigMap。
所以当你运行kubectl command它时，它会读取 kube 配置文件来对你的集群进行身份验证。
【讨论】：