只有创建者用户可以从Kubectl管理AWS kubernetes集群(EKS)？

Question

我们有两个集群，命名为：

1. MyCluster（由我创建）
2. 其他群集（不是我创建的）

其中“我”是我自己的AWS IAM用户。

>>> aws eks update-kubeconfig --name MyCluster –profile MyUser
>>> kubectl get svc
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   172.20.0.1   <none>        443/TCP   59d

>>> aws eks update-kubeconfig --name OtherCluster --profile MyUser
>>> kubectl get svc
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
error: the server doesn't have a resource type "svc"

…
users
- name: OtherCluster
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1alpha1
      args:
      - token
      - -i
      - OtherCluster
      command: aws-iam-authenticator
      env:
      - name: AWS_PROFILE
        value: OTHER_USER_PROFILE
…

# ~/.kube/config is currently pointing to OtherCluster

>>> kubectl get svc 
NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   172.20.0.1   <none>        443/TCP   1d

当我管理集群时，模拟另一个人显然不理想。我更愿意授权我自己的用户通过Kubectl管理集群。是否有任何方法可以将管理群集的权限授予原始创建者以外的用户？这似乎过于严格

Answer 1

创建Amazon EKS集群时，创建集群的IAM实体（用户或角色）作为管理员被添加到Kubernetes RBAC授权表中。最初，只有IAM用户可以使用Kubectl调用Kubernetes API服务器。

要授予其他AWS用户与集群交互的能力，您必须在Kubernetes中编辑aws-authConfigMap，为您的ConfigMap添加一个新的mapusers条目。这个EKS医生涵盖了所有的过程。

要添加IAM用户：将用户详细信息添加到ConfigMap的mapUsers部分中的Data下。如果文件中不存在此节，则添加此节。每个条目都支持以下参数：

null

apiVersion: v1
data:
  mapRoles: |
    - rolearn: arn:aws:iam::555555555555:role/devel-worker-nodes-NodeInstanceRole-74RF4UBDUKL6
      username: system:node:{{EC2PrivateDNSName}}
      groups:
        - system:bootstrappers
        - system:nodes
  mapUsers: |
    - userarn: arn:aws:iam::555555555555:user/my-new-admin-user
      username: my-new-admin-user
      groups:
        - system:masters