Como soluciono problemas de perfis do IAM no meu cluster do Amazon EKS?

Breve descrição

Se você não tiver as permissões corretas para acessar um cluster do Amazon EKS, poderá receber um dos seguintes erros:

• "Your current IAM principal doesn't have access to Kubernetes objects on this cluster"
• "You must be logged in to the server (Unauthorized)"
• "You must be logged in to the server (the server has asked for the client to provide credentials)"

Esses erros podem ocorrer por um dos seguintes motivos:

• Você ou seu cliente (AWS Command Line Interface (AWS CLI) ou aplicação) não se autenticaram com o cluster do EKS.
• Sua chave de acesso ou chave secreta da AWS não são válidas.
• Você tem um URL de endpoint de cluster incorreto.
• Você não configurou corretamente seu arquivo kubeconfig.

Para solucionar esse problema, conclua as seguintes tarefas.

Resolução

Observação: se você receber erros ao executar comandos da AWS CLI, consulte Solução de problemas da AWS CLI. Além disso, verifique se você está usando a versão mais recente da AWS CLI.

Revisar as credenciais e o arquivo de configuração

Revise suas credenciais da AWS para garantir que elas sejam válidas e tenham as permissões necessárias para acessar o cluster do Amazon EKS. Se você executar os comandos kubectl e receber um dos erros anteriores, então não configurou corretamente o kubectl.

Para verificar suas credenciais, execute o comando get-caller-identity da AWS CLI:

aws sts get-caller-identity

Se você usa um arquivo de configuração kubeconfig para seu cluster, revise as configurações do arquivo. Se as configurações não estiverem corretas, use o comando update-kubeconfig para atualizar o arquivo:

aws eks update-kubeconfig

Para mais informações, consulte Conecte o kubectl a um cluster do Amazon EKS criando um arquivo kubeconfig.

Revisar o método de autenticação do cluster do Amazon EKS

Clusters do Amazon EKS que usam o mapa de configuração

Para clusters do Amazon EKS que se autenticam com o mapa de configuração, configure a CLI para usar a mesma identidade do IAM para acessar o cluster e editar o mapa. Se não houver uma identidade que possa acessar o cluster do Amazon EKS, assuma o perfil de criador do cluster. Em seguida, edite o mapa de configuração. Para mais informações, consulte Como conceder acesso ao cluster a outros usuários e perfis do IAM após a criação de um cluster no Amazon EKS?

Se você não vê a identidade do IAM listada ou se configurou incorretamente a identidade do IAM, atualize as entidades principais do IAM do mapa de configuração. Para mais informações, consulte Adicione entidades principais do IAM ao cluster do Amazon EKS.

Clusters do Amazon EKS que usam autenticação de API

Para clusters do Amazon EKS que se autenticam com a API do Amazon EKS, você deve criar uma entrada de acesso para a identidade do IAM e fornecer as permissões corretas.

Para verificar se há uma entrada de acesso para a identidade do IAM, execute o comando list-access-entries:

aws eks list-access-entries --cluster-name Your_cluster_name

Observação: substitua Your_cluster_name pelo nome do seu cluster.

Se não houver uma entrada de acesso para a identidade do IAM, crie uma entrada de acesso. Além disso, certifique-se de que o cluster do Amazon EKS tenha as políticas de acesso corretas. Para mais informações, consulte Associar políticas de acesso a entradas de acesso.

Observação: O método de entrada de acesso não substitui o controle de autorização baseado em perfis (role-based authorization control, RBAC) no Amazon EKS. É possível usar as entradas de acesso do Amazon EKS com o RBAC em seu cluster para conceder configurações mais específicas. Para mais informações, consulte Uma análise aprofundada dos controles simplificados de gerenciamento de acesso do Amazon EKS.

Informações relacionadas

Introdução ao Amazon EMR no Amazon EKS

Roteamento de aplicações e tráfego HTTP com Application Load Balancers

Roteamento de tráfego TCP e UDP com Network Load Balancers

Solucionar problemas com clusters e nós do Amazon EKS