Amazon EKS Pod Identity Webhook

镜像概述和主要用途

Amazon EKS Pod Identity Webhook 是一个 Kubernetes 动态准入 Webhook，专为 Amazon EKS（Amazon Elastic Kubernetes Service）集群设计，用于为 Pod 提供 AWS IAM（Identity and Access Management）访问权限。它通过拦截 Pod 创建请求，动态注入 IAM 凭证相关配置（如环境变量、卷挂载），使 Pod 能够基于关联的 Kubernetes Service Account 安全地获取 AWS 服务访问权限，替代传统的静态 Access Key 凭证管理方式。

核心功能和特性

核心功能

• AWS IAM 集成：与 AWS IAM 服务深度集成，支持通过 IAM 角色为 Pod 分配细粒度权限。
• Service Account 绑定：基于 Kubernetes Service Account 与 AWS IAM 角色的关联关系（IAM Roles for Service Accounts, IRSA），动态为 Pod 注入权限凭证。
• 动态凭证注入：在 Pod 创建时自动注入 IAM 凭证获取所需的环境变量（如 AWS_REGION、AWS_DEFAULT_REGION）和卷挂载（包含临时凭证文件）。

特性

• 自动化证书管理：支持自动生成和轮换 Webhook 所需的 TLS 证书，确保通信安全。
• EKS 兼容性：兼容主流 EKS 集群版本（通常支持 EKS 1.14+），与 EKS 管理工具（如 eksctl）无缝协作。
• 最小权限原则：遵循 IAM 最小权限原则，仅为 Pod 分配其所需的 AWS 服务访问权限。

使用场景和适用范围

适用场景

• EKS 集群 Pod 访问 AWS 服务：当 EKS 集群中的 Pod 需要访问 AWS 托管服务（如 S3、DynamoDB、SQS、EC2 等）时，通过该 Webhook 动态获取 IAM 权限。
• 安全权限管理：替代硬编码 AWS Access Key 的不安全实践，通过 IAM 角色实现权限的集中管控和自动轮换。
• 多环境隔离：针对不同 Namespace 或 Service Account 分配差异化 IAM 角色，满足多团队权限隔离需求。

适用范围

• Amazon EKS 集群（推荐版本 1.14+）。
• 运行在 Kubernetes 集群中需访问 AWS 服务的 Pod。

使用方法和配置说明

前提条件

• 已创建 EKS 集群（版本 ≥1.14）。
• 已安装 kubectl 并配置集群访问权限。
• 已安装 AWS CLI 或 eksctl（用于配置 IAM 角色与 Service Account 绑定）。

部署步骤

1. 获取部署资源清单
   部署资源（含 Deployment、Service、MutatingWebhookConfiguration 等）可参考 GitHub 仓库示例。

2. 配置 IAM 角色与 Service Account 绑定
   通过 AWS CLI 或 eksctl 创建 IAM 角色，并将其与目标 Service Account 绑定（IRSA 配置）。例如：

   eksctl create iamserviceaccount \
     --name my-service-account \
     --namespace default \
     --cluster my-eks-cluster \
     --attach-policy-arn arn:aws:iam::123456789012:policy/my-iam-policy \
     --approve
   

3. 部署 Webhook 到 EKS 集群
   应用部署清单：

   kubectl apply -f [***]
   

4. 验证部署
   检查 Webhook Pod 运行状态：

   kubectl get pods -n kube-system | grep pod-identity-webhook
   

配置参数说明

Webhook 容器支持通过命令行参数配置核心功能，常用参数如下：

环境变量说明

容器支持通过环境变量覆盖部分配置（优先级低于命令行参数）：

Docker 部署方案示例

Kubernetes Deployment 示例

以下为简化的 Deployment 配置（完整配置见 GitHub 示例）：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: amazon-eks-pod-identity-webhook
  namespace: kube-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: amazon-eks-pod-identity-webhook
  template:
    metadata:
      labels:
        app: amazon-eks-pod-identity-webhook
    spec:
      containers:
      - name: webhook
        image: amazon/amazon-eks-pod-identity-webhook:v0.1.0
        args:
        - --cluster-id=my-eks-cluster-id
        - --region=us-west-2
        - --cert-dir=/var/run/secrets/tls
        - --webhook-port=443
        ports:
        - containerPort: 443
        volumeMounts:
        - name: tls-cert
          mountPath: /var/run/secrets/tls
          readOnly: true
      volumes:
      - name: tls-cert
        secret:
          secretName: pod-identity-webhook-tls

Docker Run 示例（非推荐，仅作参考）

若需本地测试，可通过 docker run 启动容器（需手动挂载证书和配置）：

docker run -d \
  --name eks-pod-identity-webhook \
  -p 443:443 \
  -v /local/cert-dir:/var/run/secrets/tls \
  amazon/amazon-eks-pod-identity-webhook:v0.1.0 \
  --cluster-id=my-eks-cluster-id \
  --region=us-west-2 \
  --cert-dir=/var/run/secrets/tls

源代码与问题反馈

• 源代码：GitHub 仓库
• 问题反馈：通过 GitHub Issues 提交 bug 报告或功能建议。