获取 POD 上配置的 AWS 凭证

Question

语境：

1. 我们使用 AWS SM 来存储秘密

2. AWS 凭证是从 EC2 实例加载的，如下所示

   public AWSSecretsManager getDefaultSecretsManagerClient(String region) {
        return AWSSecretsManagerClientBuilder.standard()
                .withCredentials(new InstanceProfileCredentialsProvider(false)) // <== Loads credentials from EC2 instance
                .withRegion(region)
                .build();
    }
   

   当前的：我们计划迁移到 Amazon EKS。在运行容器时，AWS 凭证是从 EC2 实例而不是 POD 中选取的。有人可以指导我在此处使用哪个凭证提供程序，以便从 POD 而不是底层 EC2 实例中获取 AWS 凭证吗？

Answer 1

您可能会考虑使用服务账户的 IAM 角色 (IRSA) 将 IAM 角色与用于 POD 的 K8s 服务账户相关联。您还可以使用 CSI 秘密存储驱动程序的 secrets-store-csi-driver-provider-aws 插件从秘密管理器（也使用 IRSA）检索秘密作为挂载文件或 etcd 秘密。