Kubernetes 服务账户为容器中的不同用户访问 AWS S3

Question

我有一个 EKS 部署，其服务帐户具有可访问 S3 的策略和角色。

这适用于容器中的 root 帐户。 容器可以毫无问题地执行aws s3 cp ...

问题是另一个用户不能。 它从 S3 服务获取AccessDenied ，这意味着它没有正确的凭据。

所以我的问题是：在这种情况下，如何向容器中的另一个用户（基于 linux）授予权限？

（我认为它不是 Eks 特有的，因为服务帐户对于 Kubernetes 来说是通用的。）

Answer 1

您可以在此处查看有关服务帐户的 IAM 角色如何在 k8s 中工作的参考。
简而言之，为了允许其他用户使用 IAM 角色，必须为该用户配置相同的环境变量，并且它需要能够访问AWS_WEB_IDENTITY_TOKEN_FILE变量中指定的路径。
一旦满足这两个先决条件，用户应该能够使用与 root 用户相同的身份。