AWS-IAM-Rollenliste

In den Tabellen auf dieser Seite werden alle Berechtigungen aufgeführt, die zum Erstellen der AWS IAM-Standardrollen verwendet werden. Informationen zum Erstellen dieser Richtlinien mit Standardberechtigungen finden Sie unter AWS-IAM-Rollen erstellen.

Rolle „GKE Multi-Cloud API-Dienst-Agent“

Die GKE Multi-Cloud API verwendet diese AWS IAM-Rolle, um Ressourcen mit AWS APIs zu verwalten. Diese Rolle wird von einem von Google verwalteten Dienstkonto verwendet, das als Dienst-Agent bezeichnet wird.

AWS-IAM-Rolle der Steuerungsebene

Ihre Clustersteuerungsebene verwendet diese Rolle zur Steuerung der Knotenpools.

AWS-IAM-Rolle für Knotenpool

Die Steuerungsebene verwendet diese Rolle zum Erstellen von Knotenpool-VMs.

Je nach den Anforderungen Ihrer Organisation können Sie benutzerdefinierte AWS IAM-Richtlinien für GKE on AWS erstellen, um Ihre Cluster zu verwalten. Diese Richtlinien ersetzen die Standardversionen. Anschließend wenden Sie diese Richtlinien auf AWS IAM-Rollen an und geben sie beim Erstellen eines Clusters an.

Weitere Informationen zum Zweck der einzelnen Rollen finden Sie unter AWS IAM-Rollen für GKE on AWS.

Wählen Sie zum Erstellen dieser Richtlinien die Ebene aus, auf die Sie Ihre Ressourcen einschränken möchten. Beispielsweise können Sie eine Richtlinie mit dem Amazon Resource Name (ARN) der VPC auf eine bestimmte AWS-VPC beschränken. Weitere Informationen finden Sie unter Zugriff auf AWS-Ressourcen mithilfe von Richtlinien steuern.

IAM-Richtlinien für GKE Multi-Cloud-Dienst-Agents

Ressourcentyp	ARN	Berechtigung erforderlich	Zweck	Referenz
Sicherheitsgruppe	arn:aws:ec2:*:*:security-group/sg-*	ec2:DescribeSecurityGroups (Erstellen, aktualisieren, löschen) ec2:CreateSecurityGroup (Erstellen) ec2:CreateTags (Erstellen) ec2:RevokeSecurityGroupEgress (Erstellen) ec2:DeleteSecurityGroup (Löschen)	Sicherheitsgruppe "Steuerungsebene"
Sicherheitsgruppe			Sicherheitsgruppe "Knotenpool"
Sicherheitsgruppenregel	arn:aws:ec2:*:*:security-group-rule/sgr-*	ec2:AuthorizeSecurityGroupEgress (Erstellen) ec2:RevokeSecurityGroupEgress (Löschen) ec2:CreateTags (Erstellen)	Sicherheitsgruppenregel für ausgehenden Traffic auf Steuerungsebene
Sicherheitsgruppenregel		ec2:AuthorizeSecurityGroupIngress (Erstellen) ec2:RevokeSecurityGroupIngress (Löschen) ec2:CreateTags (Erstellen)	Sicherheitsgruppenregel für eingehenden Traffic auf Steuerungsebene
Sicherheitsgruppenregel		ec2:AuthorizeSecurityGroupEgress (Erstellen) ec2:RevokeSecurityGroupEgress (Löschen) ec2:CreateTags (Erstellen)	Sicherheitsgruppenregel für ausgehenden Traffic auf Steuerungsebene
Sicherheitsgruppenregel		ec2:AuthorizeSecurityGroupIngress (Erstellen) ec2:RevokeSecurityGroupIngress (Löschen) ec2:CreateTags (Erstellen)	Sicherheitsgruppenregel für eingehenden Traffic auf Steuerungsebene
Netzwerk-Load-Balancer	arn:aws:elasticloadbalancing:*:*:loadbalancer/net/gke-*	elasticloadbalancing:DescribeLoadBalancers (Erstellen, Löschen) elasticloadbalancing:CreateLoadBalancer (Erstellen) ec2:CreateSecurityGroup (Erstellen) ec2:DescribeAccountAttributes (Erstellen) ec2:DescribeInternetGateways (Erstellen) ec2:DescribeSecurityGroups (Erstellen) ec2:DescribeSubnets (Erstellen) ec2:DescribeVpcs (Erstellen) iam:CreateServiceLinkedRole (Erstellen) elasticloadbalancing:DeleteLoadBalancer (Löschen)	Kubernetes API-Server-Load-Balancer	Elastic Load Balancing API-Berechtigungen
Zielgruppe	arn:aws:elasticloadbalancing:*:*:targetgroup/gke-*	elasticloadbalancing:DescribeTargetGroups (Erstellen, aktualisieren, löschen) elasticloadbalancing:DescribeTargetHealth (Erstellen, aktualisieren) elasticloadbalancing:CreateTargetGroup (Erstellen) elasticloadbalancing:ModifyTargetGroupAttributes (Erstellen) ec2:DescribeInternetGateways (Erstellen) ec2:DescribeVpcs (Erstellen) elasticloadbalancing:DeleteTargetGroup (Löschen)	Zielgruppe für https	Elastic Load Balancing API-Berechtigungen
Zielgruppe			Zielgruppe für https für Konnectivity-Agent
Listener	arn:aws:elasticloadbalancing:*:*:listener/net/gke-*	elasticloadbalancing:CreateListener (Erstellen) elasticloadbalancing:DeleteListener (Löschen) elasticloadbalancing:DescribeListeners (Löschen) elasticloadbalancing:DeleteListener (Löschen)	Listener für https
Listener			Listener für https für Konnectivity-Agent
Volume	arn:aws:ec2:*:*:volume/vol-*	ec2:CreateVolume (Erstellen) ec2:CreateTags (Erstellen) ec2:DeleteVolume (Löschen)	etcd-Volumes
Netzwerkschnittstelle	arn:aws:ec2:*:*:network-interface/eni-*	ec2:DescribeNetworkInterfacesAktualisieren ec2:CreateNetworkInterface (Erstellen) ec2:CreateTags (Erstellen) ec2:ModifyNetworkInterfaceAttribute (Aktualisieren) ec2:DeleteNetworkInterface (Löschen)	etcd-NICs
Vorlage starten	arn:aws:ec2:*:*:launch-template/lt-*	ec2:CreateLaunchTemplate (Erstellen, Aktualisieren) ec2:CreateTags (Erstellen, Aktualisieren) ec2:DeleteLaunchTemplate (Löschen)	Vorlage für Instanzen der Steuerungsebene starten
Vorlage starten			Startvorlage für Knotenpoolinstanzen
Autoscaling-Gruppe	arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*	autoscaling:DescribeAutoScalingGroups (Erstellen, aktualisieren, löschen) autoscaling:CreateAutoScalingGroup (Erstellen) autoscaling:CreateOrUpdateTags (Aktualisieren) autoscaling:UpdateAutoScalingGroup (Aktualisieren, Löschen) autoscaling:TerminateInstanceInAutoScalingGroup (Aktualisieren) autoscaling:DeleteTags Aktualisieren, (Löschen) autoscaling:DeleteAutoScalingGroup (Löschen) iam:CreateServiceLinkedRole (Erstellen) ec2:RunInstances (Erstellen) iam:PassRole （Erstellen)	Autoscaling-Gruppen für Steuerungsebeneninstanzen	Erforderliche API-Berechtigungen für Amazon EC2 Auto Scaling
Autoscaling-Gruppe	arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*		Autoscaling-Gruppen für Knotenpoolinstanzen	Erforderliche Berechtigungen zum Erstellen einer mit einem Dienst verknüpften Rolle
EC2-Schlüsselpaare		ec2:DescribeKeyPairs (Erstellen)	Achten Sie darauf, dass das EC2-Schlüsselpaar vorhanden ist, das zur Anmeldung bei Clustermaschinen verwendet wird.
Subnetze		ec2:DescribeSubnets (Erstellen)		Zugriff auf zusätzliche Subnetze in Ihrer VPC
VPC		ec2:DescribeVpcs (Erstellen)		Informationen zu Ihrer AWS-VPC
Ausgabe der EC2-Konsole		ec2:GetConsoleOutput (Erstellen/aktualisieren)	Konsolenlogs auf Fehler prüfen
KMS-Schlüssel		For more information on KMS key policies for GKE on AWS Creating KMS keys with specific permissions

IAM-Richtlinie für die Rolle der Steuerungsebene

Zweck	Berechtigung erforderlich	Referenz
Cluster Autoscaler	autoscaling:DescribeAutoScalingGroups (Erstellen, aktualisieren) autoscaling:DescribeAutoScalingInstances (Erstellen, aktualisieren) autoscaling:DescribeLaunchConfigurations (Erstellen, aktualisieren) autoscaling:DescribeTags (Erstellen, Aktualisieren) ec2:DescribeInstanceTypes (Erstellen, Aktualisieren) ec2:DescribeLaunchTemplateVersions (Erstellen, Aktualisieren) autoscaling:SetDesiredCapacity autoscaling:TerminateInstanceInAutoScalingGroup	https://github.com/kubernetes/autoscaler/blob/master/cluster-autoscaler/cloudprovider/aws/README.md
cloud-provider-aws	autoscaling:DescribeAutoScalingGroups autoscaling:DescribeLaunchConfigurations autoscaling:DescribeTags (Erstellen) ec2:DescribeInstances (Erstellen) ec2:DescribeRegions ec2:DescribeRouteTables ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVolumes ec2:CreateSecurityGroup ec2:CreateTags ec2:CreateVolume ec2:ModifyInstanceAttribute ec2:ModifyVolume ec2:AttachVolume (Erstellen) ec2:AuthorizeSecurityGroupIngress ec2:CreateRoute ec2:DeleteRoute ec2:DeleteSecurityGroup ec2:DeleteVolume ec2:DetachVolume ec2:RevokeSecurityGroupIngress ec2:DescribeVpcs elasticloadbalancing:AddTags elasticloadbalancing:AttachLoadBalancerToSubnets elasticloadbalancing:ApplySecurityGroupsToLoadBalancer elasticloadbalancing:CreateLoadBalancer elasticloadbalancing:CreateLoadBalancerPolicy elasticloadbalancing:CreateLoadBalancerListeners elasticloadbalancing:ConfigureHealthCheck elasticloadbalancing:DeleteLoadBalancer elasticloadbalancing:DeleteLoadBalancerListeners elasticloadbalancing:DescribeLoadBalancers elasticloadbalancing:DescribeLoadBalancerAttributes elasticloadbalancing:DetachLoadBalancerFromSubnets elasticloadbalancing:DeregisterInstancesFromLoadBalancer elasticloadbalancing:ModifyLoadBalancerAttributes elasticloadbalancing:RegisterInstancesWithLoadBalancer elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer elasticloadbalancing:AddTags elasticloadbalancing:CreateListener elasticloadbalancing:CreateTargetGroup elasticloadbalancing:DeleteListener elasticloadbalancing:DeleteTargetGroup elasticloadbalancing:DescribeListeners elasticloadbalancing:DescribeLoadBalancerPolicies elasticloadbalancing:DescribeTargetGroups elasticloadbalancing:DescribeTargetHealth elasticloadbalancing:ModifyListener elasticloadbalancing:ModifyTargetGroup elasticloadbalancing:RegisterTargets elasticloadbalancing:DeregisterTargets elasticloadbalancing:SetLoadBalancerPoliciesOfListener iam:CreateServiceLinkedRole kms:DescribeKey	https://github.com/kubernetes/cloud-provider-aws/blob/master/docs/prerequisites.md
Load-Balancer erstellen	elasticloadbalancing:CreateLoadBalancer ec2:DescribeAccountAttributes ec2:DescribeInternetGateways ec2:DescribeSecurityGroups ec2:DescribeSubnets ec2:DescribeVpcs	https://docs.aws.amazon.com/elasticloadbalancing/latest/userguide/elb-api-permissions.html
aws-ebs-cser-driver	ec2:DescribeVolumesModifications ec2:DeleteTags ec2:DescribeAvailabilityZones	https://github.com/kubernetes-sigs/aws-ebs-csi-driver/tree/master/docs#set-up-driver-permission
gke-aws-controller-manager	ec2:DescribeDhcpOptions ec2:DescribeInstances ec2:DescribeVpcs
elasticloadbalancing:ModifyTargetGroupAttributes
ec2:DescribeSnapshots ec2:CreateSnapshot ec2:DeleteSnapshot	CSI-Snapshotter	Externer Snapshotter in Kubernetes
GKE on AWS-Knoten-Agent NIC an etcd anhängen	ec2:AttachNetworkInterface (Erstellen/aktualisieren)
Proxy-Konfiguration aus Secrets Manager lesen	secretsmanager:GetSecretValue (Erstellen/aktualisieren)
Mit KMS-Schlüsseln interagieren	kms:Encrypt (Erstellen, aktualisieren) kms:Decrypt (Erstellen, aktualisieren) kms:CreateGrant (Erstellen, aktualisieren)

IAM-Richtlinie für die Rolle des Knotenpools

Zweck	Berechtigung erforderlich	Referenz
Proxy-Konfiguration aus Secrets Manager lesen	secretsmanager:GetSecretValue (Erstellen/aktualisieren)
KMS-Schlüssel zum Entschlüsseln der Konfiguration von Knotenpools	kms:Decrypt (Erstellen/aktualisieren)	AWS KMS-Schlüssel erstellen