kubectl 无法通过 AWS EKS 进行身份验证

Question 1

我需要将我的 IAM 用户添加到mapUsersConfigMap 的部分configmap/aws-auth，这些 AWS 文档。

您可以使用最初创建集群的相同 AWS 用户编辑 configmap。

$ kubectl edit -n kube-system configmap/aws-auth

apiVersion: v1
data:
mapRoles: |
    - rolearn: arn:aws:iam::555555555555:role/devel-worker-nodes-NodeInstanceRole-74RF4UBDUKL6
    username: system:node:{{EC2PrivateDNSName}}
    groups:
        - system:bootstrappers
        - system:nodes
mapUsers: |
    - userarn: arn:aws:iam::555555555555:user/admin
    username: admin
    groups:
        - system:masters
    - userarn: arn:aws:iam::111122223333:user/ops-user
    username: ops-user
    groups:
        - system:masters
mapAccounts: |
    - "111122223333"

Answer

我需要将我的 IAM 用户添加到mapUsersConfigMap 的部分configmap/aws-auth，这些 AWS 文档。

您可以使用最初创建集群的相同 AWS 用户编辑 configmap。

$ kubectl edit -n kube-system configmap/aws-auth

apiVersion: v1
data:
mapRoles: |
    - rolearn: arn:aws:iam::555555555555:role/devel-worker-nodes-NodeInstanceRole-74RF4UBDUKL6
    username: system:node:{{EC2PrivateDNSName}}
    groups:
        - system:bootstrappers
        - system:nodes
mapUsers: |
    - userarn: arn:aws:iam::555555555555:user/admin
    username: admin
    groups:
        - system:masters
    - userarn: arn:aws:iam::111122223333:user/ops-user
    username: ops-user
    groups:
        - system:masters
mapAccounts: |
    - "111122223333"

Question 2

不幸的是，AWS 还没有像 GKE 的“gcloud container clusters get-credentials”这样的命令来为您创建 kubectl config。因此，您需要手动创建 kubectl config 文件。

正如所提到的为 Amazon EKS 创建 kubeconfig文档中，你应该从集群中获得两件事：

检索集群的端点。将其用于<endpoint-url>kubeconfig 文件中。

aws eks describe-cluster --cluster-name <cluster-name>  --query cluster.endpoint

检索集群的 certificateAuthority.data。将其用于<base64-encoded-ca-cert>kubeconfig 文件中。
```
aws eks describe-cluster --cluster-name <cluster-name>  --query cluster.certificateAuthority.data
```

如果默认的 kubectl 文件夹不存在，请创建它。

mkdir -p ~/.kube

打开您最喜欢的文本编辑器并将以下 kubeconfig 代码块粘贴到其中。

apiVersion: v1
clusters:
- cluster:
    server: <endpoint-url>
    certificate-authority-data: <base64-encoded-ca-cert>
  name: kubernetes
contexts:
- context:
    cluster: kubernetes
    user: aws
  name: aws
current-context: aws
kind: Config
preferences: {}
users:
- name: aws
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1alpha1
      command: heptio-authenticator-aws
      args:
        - "token"
        - "-i"
        - "<cluster-name>"
        # - "-r"
        # - "<role-arn>"
      # env:
        # - name: AWS_PROFILE
        #   value: "<aws-profile>"

将替换<endpoint-url>为您的集群创建的端点 URL。将替换<base64-encoded-ca-cert>为您的集群创建的 certificateAuthority.data。将替换<cluster-name>为您的集群名称。

将文件保存到默认的 kubectl 文件夹，文件名中包含您的集群名称。例如，如果您的集群名称是 devel，则将文件保存到~/.kube/config-devel。

将该文件路径添加到您的KUBECONFIG环境变量中，以便kubectl知道在哪里查找您的集群配置。

export KUBECONFIG=$KUBECONFIG:~/.kube/config-devel

（可选）将配置添加到您的 shell 初始化文件中，以便在打开 shell 时对其进行配置。

对于 macOS 上的 Bash shell：

echo 'export KUBECONFIG=$KUBECONFIG:~/.kube/config-devel' >> ~/.bash_profile

对于 Linux 上的 Bash shell：

echo 'export KUBECONFIG=$KUBECONFIG:~/.kube/config-devel' >> ~/.bashrc

测试您的配置。

kubectl get svc

输出：

NAME             TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
svc/kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   1m

笔记
如果您收到错误"heptio-authenticator-aws": executable file not found in $PATH，则表示您的kubectlAmazon EKS 未配置。有关更多信息，请参阅为 Amazon EKS 配置 kubectl。

Answer