jessestuart/kube2iam

概述

为Kubernetes集群内运行的容器根据注解提供AWS IAM凭证，支持amd64、armv7、arm64多架构构建，基于https://github.com/jtblin/kube2iam%E7%9A%84kube2iam%E9%A1%B9%E7%9B%AE%E3%80%82

核心功能

1. 基于Pod注解动态分配AWS IAM角色
2. 支持amd64、armv7、arm64三种架构
3. 每日夜间自动构建更新镜像

使用场景

• 多团队共享Kubernetes集群时，为不同Pod分配隔离的AWS资源访问权限
• 需要根据Pod业务需求灵活配置IAM权限的场景

配置说明

参考上游项目https://github.com/jtblin/kube2iam%E7%9A%84%E4%BD%BF%E7%94%A8%E7%BB%86%E8%8A%82%EF%BC%8C%E9%9C%80%E5%9C%A8Pod%E7%9A%84%60annotations%60%E4%B8%AD%E6%B7%BB%E5%8A%A0%60iam.amazonaws.com/role%60%E5%AD%97%E6%AE%B5%E6%8C%87%E5%AE%9AIAM%E8%A7%92%E8%89%B2ARN%E3%80%82

部署示例（Kubernetes DaemonSet）

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: kube2iam
  namespace: kube-system
spec:
  selector:
    matchLabels:
      name: kube2iam
  template:
    metadata:
      labels:
        name: kube2iam
    spec:
      hostNetwork: true
      containers:
        - name: kube2iam
          image: jessestuart/kube2iam:latest
          args:
            - "--app-port=8181"
            - "--iptables=true"
            - "--host-ip=$(HOST_IP)"
            - "--node=$(NODE_NAME)"
          env:
            - name: HOST_IP
              valueFrom:
                fieldRef:
                  fieldPath: status.podIP
            - name: NODE_NAME
              valueFrom:
                fieldRef:
                  fieldPath: spec.nodeName
          ports:
            - containerPort: 8181
              hostPort: 8181
              name: http
          securityContext:
            privileged: true