如何将相同的 RBAC 角色分配给两个不同的 IAM 角色以访问 EKS 中的集群？

Question

我想授予某个团队访问system:masters组。 我的团队（下面示例中的AWSReservedSSO_Admin_xxxxxxxxxx ）已经拥有它，并且当我只添加一个rolearn时它可以工作，但是当我将下面的配置映射与额外的rolearn一起应用时， AWSReservedSSO_Dev_xxxxxxxxxx角色下的用户在尝试访问集群时仍然会收到此错误： error: You must be logged in to the server (Unauthorized)

（注意：我们使用的是 AWS SSO，因此假定了 IAM 角色）：

---
apiVersion: v1
kind: ConfigMap
data:
  mapRoles: |
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/eks-node-group
      groups:
      - system:bootstrappers
      - system:nodes
      username: system:node:{{EC2PrivateDNSName}}
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Admin_xxxxxxxxxx
      groups:
      - system:masters
      username: admin
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Dev_xxxxxxxxxx
      groups:
        - system:masters
      username: admin
metadata:
  name: aws-auth
  namespace: kube-system

Answer 1

我不确定您是如何承担角色 ❓ 并且您的配置看起来不错，但原因可能是您将同一个用户映射到两个不同的角色。 AWS IAM 只允许用户一次只承担一个角色， 基本上，作为 AWS IAM 用户，您不能同时承担多个 IAM 角色。

您可以尝试使用不同的用户，看看它是否适合您。

---
apiVersion: v1
kind: ConfigMap
data:
  mapRoles: |
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/eks-node-group
      groups:
      - system:bootstrappers
      - system:nodes
      username: system:node:{{EC2PrivateDNSName}}
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Admin_xxxxxxxxxx
      groups:
      - system:masters
      username: admin
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Dev_xxxxxxxxxx
      groups:
        - system:masters
      username: admin2
metadata:
  name: aws-auth
  namespace: kube-system

您可能缺少的另一个方面是您的arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Dev_xxxxxxxxxx角色中的“信任关系”，该角色允许admin担任该角色。

✌️☮️

Answer 2

谢谢里科。 当您使用 SSO 登录时，您将承担 STS 中的角色。 您可以通过运行aws sts get-caller-identity来验证这一点。

您认为用户名错误是对的，但它并没有解决整个问题。

花了很长时间，但我的队友终于在本指南中找到了解决方案

问题是 IAM 角色的 ARN：

rolearn: arn:aws:iam::xxxxxxxxxxx:role/aws-reserved/sso.amazonaws.com/AWSReservedSSO_Dev_xxxxxxxxxx

这部分aws-reserved/sso.amazonaws.com/需要从名称中删除。 所以最后结合 Rico 建议的用户名修复：

---
apiVersion: v1
kind: ConfigMap
data:
  mapRoles: |
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/eks-node-group
      groups:
      - system:bootstrappers
      - system:nodes
      username: system:node:{{EC2PrivateDNSName}}
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/AWSReservedSSO_Admin_xxxxxxxxxx
      groups:
      - system:masters
      username: admin
    - rolearn: arn:aws:iam::xxxxxxxxxxx:role/AWSReservedSSO_Dev_xxxxxxxxxx
      groups:
        - system:masters
      username: admin2
metadata:
  name: aws-auth
  namespace: kube-system

问题终于解决了，承担该角色的 SSO 用户可以运行kubectl命令！