Size: a a a

2020 July 21

ZB

Zakhar Bessarab in AWS_RU
inqfen
Это какой из? Там auth для нод есть
источник

i

inqfen in AWS_RU
L K
IAM снова упал ? CloudFormation не может создать IAM ресурсы в 2 регионах, в IN_PROGRESS висит 20 минут

aws status ничего не говорит
eu-west-2 и us-east-1 все норм
источник

i

inqfen in AWS_RU
Так там у меня только iam роль нод
источник

i

inqfen in AWS_RU
И первого-то юзера нет
источник

i

inqfen in AWS_RU
Но он работает
источник

ZB

Zakhar Bessarab in AWS_RU
O-o
а у него не накинута случаем роль от ноды?
по идее если бы его или его ролей тут не было - он бы никак не получал доступ к кластеру т.к. маппинга нет, даже с AdministratorAccess
источник

i

inqfen in AWS_RU
data:
 mapRoles: |
   - rolearn: arn:aws:iam::number:role/mss-cluster-workers
     username: system:node:{{EC2PrivateDNSName}}
     groups:
       - system:bootstrappers
       - system:nodes
kind: ConfigMap
metadata:
 annotations:
   kubectl.kubernetes.io/last-applied-configuration: |
     {"apiVersion":"v1","data":{"mapRoles":"- rolearn: arn:aws:iam::number:role/mss-cluster-workers\n  username: system:node:{{EC2PrivateDNSName}}\n  groups:\n    - system:bootstrappers\n    - system:nodes\n"},"kind":"ConfigMap","metadata":{"annotations":{},"name":"aws-auth","namespace":"kube-system"}}
 creationTimestamp: null
 name: aws-auth
 selfLink: /api/v1/namespaces/kube-system/configmaps/aws-auth
источник

i

inqfen in AWS_RU
Zakhar Bessarab
O-o
а у него не накинута случаем роль от ноды?
по идее если бы его или его ролей тут не было - он бы никак не получал доступ к кластеру т.к. маппинга нет, даже с AdministratorAccess
Неа, оба только в группе администраторов встроенной и все
источник

i

inqfen in AWS_RU
Но, от первого кластер и создавался
источник

i

inqfen in AWS_RU
Может он где-то под капотом мапится в админы автоматом
источник

ZB

Zakhar Bessarab in AWS_RU
inqfen
Но, от первого кластер и создавался
возможно у него остался сохранен kubeconfig auth без iam?
источник

i

inqfen in AWS_RU
Zakhar Bessarab
возможно у него остался сохранен kubeconfig auth без iam?
Я через tf, без кубконфига работает
источник

i

inqfen in AWS_RU
Точнее он каждый раз генерится
источник

i

inqfen in AWS_RU
Да и удалял кубконфиг уже не раз и через aws eks update-kubeconfig получал
источник

i

inqfen in AWS_RU
Так что точно с iam
источник

DZ

Dmytro Zavalkin in AWS_RU
inqfen
Как так-то, права же одинаковые
там же у них мутная схема - того юзера что создал EKS кластер будет пускать в кубапи даже если похерить права в кубовом rbac
источник

DZ

Dmytro Zavalkin in AWS_RU
видимо защита от дурака - чтобы редактируя конфигмапу коряво не потерять доступ, но в итоге получается неочевидно (но в доке об этом написано)
источник

ZB

Zakhar Bessarab in AWS_RU
Dmytro Zavalkin
видимо защита от дурака - чтобы редактируя конфигмапу коряво не потерять доступ, но в итоге получается неочевидно (но в доке об этом написано)
а можете ссылкой бросить?
предупредить выстрелы в ногу себе же на будущее :)
источник

i

inqfen in AWS_RU
Dmytro Zavalkin
там же у них мутная схема - того юзера что создал EKS кластер будет пускать в кубапи даже если похерить права в кубовом rbac
О, спасибо, а я сижу втыкаю как так-то
источник

i

inqfen in AWS_RU
Ага, было бы неплохо, я вроде тоже по EKS все там прочитал но этого не заметил
источник