rustrial/aws-eks-iam-auth-controller

aws-eks-iam-auth-controller 镜像文档

镜像概述

aws-eks-iam-auth-controller是一个Kubernetes operator，旨在简化Amazon EKS集群中aws-auth ConfigMap的管理。该operator通过自定义资源（Custom Resources）自动整合IAM权限配置，减少手动操作aws-auth ConfigMap可能带来的错误，提升集群IAM权限管理的自动化和可靠性。

核心功能与特性

• 自定义资源整合：支持通过自定义资源（如IAMAuthMapping）定义IAM角色/用户与Kubernetes RBAC的映射关系，自动同步至aws-auth ConfigMap
• 动态更新：当自定义资源发生变更时，自动更新aws-auth ConfigMap，无需手动编辑
• 冲突检测：内置配置冲突检测机制，避免重复或无效的IAM映射配置
• 简化管理：将IAM权限配置从直接编辑ConfigMap的方式转变为声明式API管理，符合Kubernetes最佳实践

使用场景与适用范围

• Amazon EKS集群：适用于所有需要管理IAM身份与Kubernetes RBAC权限映射的EKS集群
• 多团队协作：支持多团队通过自定义资源独立管理各自的IAM权限映射，避免权限配置冲突
• 自动化部署流程：可集成到CI/CD流水线中，实现IAM权限配置的版本化和自动化部署
• 大规模集群管理：在包含大量IAM角色/用户的集群中，提供更清晰、可维护的权限管理方式

使用方法与配置说明

前提条件

• Kubernetes集群（EKS 1.19+）
• 已安装kubectl并配置集群访问权限
• 集群中已部署CustomResourceDefinition（CRD）

部署步骤

1. 安装CRD

bash
kubectl apply -f https://raw.githubusercontent.com/rustrial/aws-eks-iam-auth-controller/main/config/crd/bases/rustrial.github.io_iamauthmappings.yaml

2. 部署operator

通过kubectl部署operator：

bash
kubectl apply -f https://raw.githubusercontent.com/rustrial/aws-eks-iam-auth-controller/main/config/manager/manager.yaml

自定义资源示例

创建IAMAuthMapping自定义资源，定义IAM角色与Kubernetes用户的映射：

yaml
apiVersion: rustrial.github.io/v1alpha1
kind: IAMAuthMapping
metadata:
  name: example-mapping
spec:
  iamRoleArn: "arn:aws:iam::123456789012:role/eks-admin-role"
  username: "eks-admin"
  groups:
    - "system:masters"

应用上述配置后，operator会自动将该映射添加到aws-auth ConfigMap中。

配置参数

operator支持通过环境变量进行配置，常见参数如下：

验证部署

检查operator Pod状态：

bash
kubectl get pods -n aws-eks-iam-auth-controller

检查aws-auth ConfigMap是否已更新：

bash
kubectl get configmap aws-auth -n kube-system -o yaml

注意事项

• 确保operator具有足够的权限操作aws-auth ConfigMap（通常需要configmaps的get、update权限）
• 自定义资源的iamRoleArn必须是集群所在AWS账户下的有效IAM角色/用户ARN
• 避免手动编辑aws-auth ConfigMap，所有变更应通过自定义资源进行，以防被operator覆盖