rustrial/k8s-aws-iam-controller

k8s-aws-iam-controller 镜像文档

镜像概述和主要用途

k8s-aws-iam-controller是一个Kubernetes控制器，专门用于管理AWS IAM Roles for ServiceAccounts（IRSA）的信任策略语句。该控制器旨在简化Kubernetes集群中服务账户与AWS IAM角色的权限绑定流程，通过自动化管理IRSA信任策略，确保Pod能够安全、合规地访问AWS服务资源。

核心功能和特性

• IRSA信任策略自动化管理：自动创建、更新和删除AWS IAM角色的信任策略语句，无需手动配置。
• Kubernetes资源集成：与Kubernetes ServiceAccount、Namespace等资源深度集成，基于集群内资源变化动态调整IAM策略。
• 动态策略更新：实时响应Kubernetes资源变更（如ServiceAccount创建/删除、标签修改），自动同步信任策略配置。
• 安全性增强：遵循最小权限原则，仅为必要的服务账户授予对应IAM角色权限，降低权限滥用风险。
• 兼容性：支持AWS EKS及其他在AWS上运行的Kubernetes集群，兼容标准IRSA流程。

使用场景和适用范围

• AWS EKS集群环境：在Amazon EKS（Elastic Kubernetes Service）中部署应用时，需为Pod分配IAM权限以访问S3、DynamoDB、SQS等AWS服务的场景。
• 多团队/多租户Kubernetes集群：需要按Namespace或ServiceAccount隔离IAM权限，实现精细化权限控制的场景。
• 动态权限调整需求：应用频繁变更或服务账户生命周期较短，需要自动同步IAM权限配置的场景。

详细使用方法和配置说明

前置条件

• 运行在AWS上的Kubernetes集群（如EKS），且已启用IRSA功能。
• 集群节点具有访问AWS IAM API的权限（可通过实例配置文件或IAM角色实现）。
• 已安装kubectl工具并配置集群访问权限。

部署方式

Docker Run 部署（单机测试用）

bash
docker run -d \
  --name k8s-aws-iam-controller \
  -e AWS_REGION=us-west-2 \
  -e CLUSTER_NAME=my-eks-cluster \
  -e KUBECONFIG=/etc/kubeconfig \
  -v /path/to/kubeconfig:/etc/kubeconfig \
  rustrial/k8s-aws-iam-controller:latest

Kubernetes 部署（生产环境推荐）

通过Kubernetes YAML清单部署（示例，具体配置请参考https://github.com/rustrial/k8s-aws-iam-controller%EF%BC%89%EF%BC%9A

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: k8s-aws-iam-controller
  namespace: kube-system
spec:
  replicas: 1
  selector:
    matchLabels:
      app: k8s-aws-iam-controller
  template:
    metadata:
      labels:
        app: k8s-aws-iam-controller
    spec:
      serviceAccountName: iam-controller-sa
      containers:
      - name: controller
        image: rustrial/k8s-aws-iam-controller:latest
        env:
        - name: AWS_REGION
          value: "us-west-2"
        - name: CLUSTER_NAME
          value: "my-eks-cluster"

环境变量配置

配置参数

控制器支持通过命令行参数调整行为（完整参数列表请参考GitHub仓库文档）：

bash
# 查看帮助信息
docker run --rm rustrial/k8s-aws-iam-controller:latest --help

使用示例

1. 创建ServiceAccount并关联IAM角色：

   在Kubernetes中创建ServiceAccount，并添加注解指定IAM角色ARN：

   yaml
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: my-service-account
     namespace: default
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::123456789012:role/my-iam-role
   

2. 控制器将自动检测该ServiceAccount，并更新对应IAM角色的信任策略，允许集群中的该服务账户扮演此IAM角色。

注意事项

• 确保控制器的服务账户具有足够权限管理IAM角色（如iam:UpdateAssumeRolePolicy、iam:GetRole等权限）。
• 生产环境中建议通过Helm Chart或Operator进行部署，以简化配置管理和版本升级。
• 定期更新镜像版本以获取安全补丁和功能更新。

更多详细配置和高级用法，请参考项目官方文档：https://github.com/rustrial/k8s-aws-iam-controller