Hizmet Hesapları için IAM Rolleri (IRSA)

EKS üzerinde çalışan bir pod'un bir AWS API'sini çağırması gerektiğinde — örneğin S3'ten okuma veya DynamoDB'ye yazma işlemi yapmak için — AWS kimlik bilgilerine ihtiyaç duyar. Naif yaklaşım, bir IAM kullanıcısı oluşturup erişim anahtarlarını ortam değişkenleri olarak doğrudan kod içine yazmaktır. Bu yaklaşım güvenli değildir ve en az ayrıcalık ilkesiyle çelişir; çünkü aynı düğümdeki tüm pod'lar aynı kimlik bilgilerini paylaşır. IAM Roles for Service Accounts (IRSA), ayrıntılı izinlere sahip IAM rollerini doğrudan Kubernetes hizmet hesaplarına bağlayarak bu sorunu çözer.

IRSA, OpenID Connect (OIDC) federasyonu aracılığıyla çalışır. EKS, kümeniz için bir OIDC sağlayıcısı oluşturur. Bir pod, IAM rolü ARN'siyle açıklama eklenmiş bir hizmet hesabına başvurduğunda EKS, imzalı bir projeksiyonlu hizmet hesabı belirtecini pod'a ekler. Pod içindeki AWS SDK, bu belirteci AWS STS'nin AssumeRoleWithWebIdentity API'sini kullanarak geçici AWS kimlik bilgileriyle değiş tokuş eder — uzun süre geçerli anahtarlara gerek kalmaz.

IRSA'yı kullanmadan önce EKS OIDC verenini AWS hesabınızda güvenilir bir kimlik sağlayıcısı olarak ilişkilendirmeniz gerekir. Bu işlem, AWS STS'nin tanıyacağı bir IAM OIDC sağlayıcısı kaynağı oluşturur. eksctl komutu bu işlemi otomatik olarak gerçekleştirir. Oluşturulduktan sonra bunu IAM konsolunda Kimlik Sağlayıcıları bölümünden doğrulayabilirsiniz.

IRSA için kullanılan IAM rolü, OIDC sağlayıcısının bu rolü üstlenmesine izin veren ve belirli bir Kubernetes ad alanı ile hizmet hesabıyla sınırlanmış bir güven ilkesi içermelidir. Koşul, OIDC belirtecindeki ve system:serviceaccount:NAMESPACE:SERVICE_ACCOUNT_NAME olarak ayarlanan sub bildirimini kullanır. Bu sayede rolü yalnızca söz konusu hizmet hesabını kullanan pod'lar üstlenebilir — kümedeki herhangi bir pod değil.

Hedef ad alanında bir Kubernetes ServiceAccount oluşturun ve IAM rolü ARN'siyle bu hesaba açıklama ekleyin. Bir pod bu hizmet hesabına başvurduğunda EKS, OIDC belirtecini ve iki ortam değişkenini (AWS_WEB_IDENTITY_TOKEN_FILE ve AWS_ROLE_ARN) otomatik olarak ekler. AWS SDK bunları otomatik olarak algılar ve geçici kimlik bilgileri almak için STS'yi çağırır — uygulamanızda kod değişikliği yapmanız gerekmez.

Pod veya dağıtım belirtiminizde serviceAccountName değerini açıklama eklenmiş hizmet hesabına ayarlayın. EKS pod'u zamanladığında OIDC belirtecini otomatik olarak /var/run/secrets/eks.amazonaws.com/serviceaccount/token konumuna bağlar ve gerekli ortam değişkenlerini ayarlar. Pod içindeki tüm AWS SDK çağrıları, açık bir kimlik bilgisi yapılandırmasına gerek olmadan eşlenen IAM rolü kimlik bilgilerini şeffaf biçimde kullanır.

Düğüm IAM rolü kullanıldığında, bir düğümdeki her pod aynı izinleri devralır — güvenliği ihlal edilmiş bir pod, düğümün erişmesine izin verilen tüm AWS hizmetlerine erişebilir. IRSA ile her pod, hizmet hesabı aracılığıyla yalnızca ihtiyaç duyduğu rolü üstlenir. Bu yaklaşım, pod düzeyinde en az ayrıcalık ilkesini uygular ve herhangi bir güvenlik olayının etkisini sınırlar. AWS, tüm yeni EKS dağıtımları için düğüm düzeyindeki roller yerine IRSA'yı önerir.

eksctl, create iamserviceaccount kullanarak OIDC ilişkilendirmesini, IAM rolünü, güven ilkesini ve Kubernetes ServiceAccount açıklamasını tek bir komutla oluşturabilir. Bu, güven ilkesi JSON'unu elle yazmadan IRSA'yı kurmanın en kolay yoludur. Ad alanını, hizmet hesabı adını ve eklenecek IAM ilkesi ARN'sini belirtirsiniz; geri kalanını eksctl halleder.

Birçok EKS eklentisinin ve denetleyicisinin çalışması için IRSA gerekir: Cluster Autoscaler, EC2 Auto Scaling API'sini çağırma iznine; AWS Load Balancer Controller, ELB kaynaklarını oluşturma ve yönetme iznine; external-dns, Route 53'e yazma erişimine; EBS CSI driver ise EBS birimlerini oluşturma ve iliştirme iznine ihtiyaç duyar. Bu sistem bileşenleri için her zaman IRSA kullanın — izinleri hiçbir zaman düğüm IAM rolü düzeyinde vermeyin.

IRSA belirteçleri kısa ömürlüdür ve süreleri dolmadan önce Kubernetes belirteç projeksiyonu denetleyicisi tarafından otomatik olarak döndürülür. Varsayılan belirteç hedef kitlesi sts.amazonaws.com olup geçerlilik süresi 24 saattir; ancak denetleyici, ömürlerinin %80'ine ulaşıldığında bunları yeniler. IRSA aracılığıyla alınan AWS STS kimlik bilgileri de geçicidir (genellikle 1 saat). Bu otomatik döndürme, uzun süre geçerli IAM erişim anahtarlarının neden olduğu kimlik bilgisi döndürme yükünü ortadan kaldırır.

Bir pod IRSA aracılığıyla bir IAM rolünü her üstlendiğinde, AWS CloudTrail bir AssumeRoleWithWebIdentity olayı kaydeder. Olay; üstlenilen rol ARN'sini, OIDC belirteci konusunu (system:serviceaccount:NAMESPACE:SERVICE_ACCOUNT) ve kaynak IP adresini içerir. Bu, hangi pod'ların hangi AWS hizmetlerine ne zaman eriştiğine ilişkin eksiksiz bir denetim izi sağlar — düzenlemeye tabi ortamlarda uyumluluk ve olay incelemesi için kritik bir özelliktir.

Bu derste ele alınan AWS Solutions Architect (SAA-C03) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: IRSA, Kubernetes hizmet hesabı belirteçlerini geçici AWS kimlik bilgileriyle değiştirmek için OIDC federasyonunu kullanır; IAM rolü güven ilkeleri, erişimi belirli bir ad alanı ve hizmet hesabıyla sınırlar ve IRSA, düğüm düzeyindeki IAM rollerine kıyasla çok daha güçlü pod başına en az ayrıcalık sağlar. Sırada AWS kaynaklarınızı gözlemlemek için CloudWatch Metrics, Namespaces ve Dimensions konularını inceleyeceğiz.