IAM 角色引用多个 EKS OIDC

Question

每个阶段（dev、staging、prd）我有 3 个不同的 EKS 集群 而且我需要为集群中部署的每个应用程序设置多个 IAM 角色。

我们的想法是能够在该 IAM 角色的信任关系中引用多个 EKS OIDC，因此我最终会跨集群为每个应用程序使用 1 个 IAM 角色，而不是 3 个。

配置一个 IAM 角色 + 信任关系很简单，如下所示：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::xxxxx:oidc-provider/oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-1"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringLike": {
          "oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-1:sub": "system:serviceaccount:*:*"
        }
      }
    }
  ]
}

我要做的是在相同的信任关系中引用我的其他集群（xxxx-oidc-cluster-2 和 xxxx-oidc-cluster-3）。我深入研究了官方doc 来了解如何构建这样的 IAM JSON 策略，但找不到任何可以提供帮助的东西。我想也许我错过了什么。

Answer 1

最佳做法可能是将您的 IAM 角色限定为每个集群的每个应用程序一个，但如果您真的想这样做，则需要在您的假设角色策略（信任关系）中使用多个单独的语句。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::xxxxx:oidc-provider/oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-1"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-1:sub": "system:serviceaccount:*:*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::xxxxx:oidc-provider/oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-2"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "oidc.eks.eu-west-1.amazonaws.com/id/xxxx-oidc-cluster-2:sub": "system:serviceaccount:*:*""
        }
      }
    }
  ]
}