サービスアカウント

Pod 内のコンテナから各リソースへのアクセス制御の際に用いられる。

サービスアカウントの IAMロール

IAM ロールをサービスアカウントと関連付けて、サービスアカウントを使用するように Pod を設定する。

要するに、Pod 単位で IAM ロールを割り当てることができる!!!

手順

大まかな流れ

クラスター用の IAM OIDC プロバイダーを作成
IAM ロールを引き受けるためのサービスアカウントの設定
サービスアカウントを使用するように Pod を設定する

1. クラスター用の IAM OIDC プロバイダーを作成

クラスターには、OIDC 発行者 URL が関連付けられています。
サービスアカウントで IAM ロールを使用するには、クラスターの OIDC 発行者 URL に対して IAM OIDC プロバイダーが存在している必要があります。

EKS クラスターのコンソール画面より

IAM ID プロバイダの画面より

IAM OIDC プロバイダーが作成されていない場合は、以下のドキュメントを参考に作成します。

私の場合は、withOIDC: trueを指定しましたので IAM OIDC プロバイダーは既に作成されているようです。

cluster-fargate.yaml

apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: cluster-fargate
  region: ap-northeast-1
  version: "1.27"

iam:
  withOIDC: true

fargateProfiles:
  - name: fp-default
    selectors:
      - namespace: default
      - namespace: kube-system

2. IAM ロールを引き受けるためのサービスアカウントの設定

IAM ロールを引き受けるようにサービスアカウントを設定します。
任意の Pod はサービスアカウントを使用するように設定すると、IAM ロールにアクセス許可がある AWS のサービスにアクセスすることができるようになります。

IAM ポリシー

まず、Pod が S3 にアクセスできるようにするための、IAM ポリシーを作成します。S3 全てに対してのアクション許可としてあります。

iam-policy-test.json

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "s3:*",
            "Resource": "*"
        }
    ]
}

aws iam create-policy --policy-name iam-policy-test --policy-document file://iam-policy-test.json

{
    "Policy": {
        "PolicyName": "iam-policy",
        "PolicyId": "ANPAT5BUXK4UJ23HFCNAJ",
        "Arn": "arn:aws:iam::123456789012:policy/iam-policy-test",
        "Path": "/",
        "DefaultVersionId": "v1",
        "AttachmentCount": 0,
        "PermissionsBoundaryUsageCount": 0,
        "IsAttachable": true,
        "CreateDate": "2023-11-25T09:39:58+00:00",
        "UpdateDate": "2023-11-25T09:39:58+00:00"
    }
}

IAM ロールを作成し、サービスアカウントに関連付け

eksctl create iamserviceaccount --name service-account-test --namespace default --cluster cluster-fargate --role-name iam-role-test \
    --attach-policy-arn arn:aws:iam::111122223333:policy/iam-policy-test --approve

IAM ロールの作成を確認

aws iam get-role --role-name iam-role-test --query Role.AssumeRolePolicyDocument

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::123456789012:oidc-provider/oidc.eks.ap-northeast-1.amazonaws.com/id/E42985489456BC67E825EFF4E0699XXX"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.ap-northeast-1.amazonaws.com/id/E42985489456BC67E825EFF4E0699XXX:sub": "system:serviceaccount:default:service-account-test",
                    "oidc.eks.ap-northeast-1.amazonaws.com/id/E42985489456BC67E825EFF4E0699XXX:aud": "sts.amazonaws.com"
                }
            }
        }
    ]
}