Безопасный запуск сервера kiam
Кто-нибудь может объяснить пример использования kiam на kubernetes для управления контролем доступа на уровне сервиса к ресурсам aws?
Согласно документам:
Сервер является единственным процессом, который должен вызывать sts:AssumeRole и может быть помещен в изолированный набор экземпляров EC2, которые не запускают другие пользовательские рабочие нагрузки.
Я хотел бы знать, чтобы запустить его серверную часть вдали от узлов, на которых размещены ваши службы.
0 ответов
Ответ: Архитектура KIAM хорошо объясняется здесь:https://www.bluematador.com/blog/iam-access-in-kubernetes-kube2iam-vs-kiam
В основном вы хотите использовать главные узлы в своем кластере с разрешениями IAM::STS на них, чтобы установить серверную часть kiam, а затем позволить вашим рабочим узлам подключаться к главным узлам для получения учетных данных.
ОТКАЗ ОТ ОТВЕТСТВЕННОСТИ: Я немного покопался в k2iam и kiam, не доводя их до тестового стенда, и был недоволен тем, что узнал. Оказывается, они нам больше не нужны, начиная с K8s 1.13 в EKS, то есть с 4 сентября, поскольку для PODS для доступа к IAM STS была добавлена встроенная поддержка от AWS.
https://docs.aws.amazon.com/en_pv/eks/latest/userguide/iam-roles-for-service-accounts.html