如何使k8s Pod由Jenkins生成使用服务帐户IAM角色来访问AWS资源

如何解决如何使k8s Pod由Jenkins生成使用服务帐户IAM角色来访问AWS资源

遵循此link，我可以创建一个Pod，其服务帐户的角色可以访问AWS资源；因此pod可以访问它们。

然后，受EKS-Jenkins-Workshop的启发，我对本研讨会进行了一些更改。我想部署Jenkins Pipeline，此Jenkins Pipeline可以创建一个Pod，其帐户服务的角色可以访问AWS资源，但是问题是此Pod中的cdk代码无法访问AWS资源。（我编写了cdk代码以访问AWS资源，请参阅（您的第一个AWS CDK应用程序）[https://docs.aws.amazon.com/cdk/latest/guide/hello_world.html]）

这是我的Jenkinsfile

pipeline {
  agent {
    kubernetes {
      yaml """
apiVersion: v1
kind: Pod
metadata:
  name: jenkins-agent
  Namespace: default
spec:
  serviceAccountName: jenkins
  containers:
  - name: node-yuvein
    image: node
    command:
    - cat
    tty: true
"""
    }
  }

  stages {
    stage('Build') {
      steps {
        container('node-yuvein') {
          dir('hello-cdk'){
            sh "pwd"
            sh 'npm --version'
            sh 'node -v'
            sh 'npm install -g typescript'
            sh 'npm install -g aws-cdk'
            sh 'npm install @aws-cdk/aws-s3'
            sh 'npm run build'
            sh 'cdk deploy'
          }
        }
      }
    } 
  }
}

运行管道时，出现此错误：

User: arn:aws:sts::450261875116:assumed-role/eksctl-eksworkshop-eksctl3-nodegr-NodeInstanceRole-1TCVDYSM1QKSO/i-0a4df3778517df0c6 is not authorized to perform: cloudformation:DescribeStacks on resource: arn:aws:cloudformation:us-west-2:450261875116:stack/HelloCdkStack/*

我是K8，Jenkins和cdk的初学者。希望可以有人帮帮我。非常感谢。

进一步调试：

在Jenkins控制台中，我可以得到serviceAccountName: "jenkins"，而我在EKS中的服务帐户的名称为jenkins。
豆荚也获得正确的ENV：

+ echo $AWS_ROLE_ARN
arn:aws:iam::450261875116:role/eksctl-eksworkshop-eksctl3-addon-iamservicea-Role1-YYYFXFS0J4M2

+ echo $AWS_WEB_IDENTITY_TOKEN_FILE
/var/run/secrets/eks.amazonaws.com/serviceaccount/token

我安装的node.js和npm是最新版本。

+ npm --version
6.14.8

+ node -v
v14.13.0

+ aws sts get-caller-identity
{
    "UserId": "AROAWRVNS7GWO5C7QJGRF:botocore-session-1601436882","Account": "450261875116","Arn": "arn:aws:sts::450261875116:assumed-role/eksctl-eksworkshop-eksctl3-addon-iamservicea-Role1-YYYFXFS0J4M2/botocore-session-1601436882"
}

当我运行此命令时，它将显示我的服务帐户角色。但是我仍然收到原始错误。

解决方法

Jenkins flatMap具有podTemplate选项： https://github.com/jenkinsci/kubernetes-plugin#pod-and-container-template-configuration

创建映射到EKS集群的IAM角色
创建映射到IAM角色的ServiceAccount
将ServiceAccount名称传递给podTemplate

进一步调试：

确保广告连播具有正确的服务帐户名称。
检查pod是否有serviceAccount和AWS_ROLE_ARN的环境变量（它们会自动添加）。
检查您使用的AWS开发工具包是否在最低版本之上：https://docs.aws.amazon.com/eks/latest/userguide/iam-roles-for-service-accounts-minimum-sdk.html
运行AWS_WEB_IDENTITY_TOKEN_FILE来查看角色，不要在执行实际工作上浪费时间。

在使用 Jenkins slave 的情况下，需要自定义容器映像以使用 AWS CLI V2 而不是 AWS CLI V1。我遇到了与问题相关的授权错误；我的客户端使用集群节点角色，而不是使用附加到我的 Jenkins-pod 的服务帐户的假定 Web 身份角色作为从属容器。

显然，AWS CLI 的 V2 包含 Web 身份令牌文件作为默认凭证链的一部分，而 V1 没有。

这是一个示例 Dockerfile，它提取最新的 AWS CLI 版本，以便此模式起作用。

FROM jenkins/inbound-agent

# run updates as root
USER root

# Create docker group
RUN addgroup docker

# Update & Upgrade OS
RUN apt-get update
RUN apt-get -y upgrade

#install python3
RUN apt-get -y install python3


# add AWS Cli version 2 for web_identity_token files
RUN curl "https://awscli.amazonaws.com/awscli-exe-linux-x86_64.zip" -o "awscliv2.zip"
RUN unzip awscliv2.zip
RUN ./aws/install

# Add Maven
RUN apt-get -y install maven --no-install-recommends

# Add docker
RUN curl -sSL https://get.docker.com/ | sh
RUN usermod -aG docker jenkins

# Add docker compose
RUN curl -L "https://github.com/docker/compose/releases/download/1.26.0/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose
RUN chmod +x /usr/local/bin/docker-compose


# Delete cached files we don't need anymore:
RUN apt-get clean
RUN rm -rf /var/lib/apt/lists/*

# close root access
USER jenkins

此外，我必须确保我的 serviceaccount 已创建并附加到 Jenkins 主映像和 jenkins slaves。这可以通过管理 Jenkins -> 管理节点和云 -> 配置云 -> Pod 模板详细信息来完成。

请务必使用适当的值编辑 Namespace 和 Serviceaccount 字段。

如何使k8s Pod由Jenkins生成使用服务帐户IAM角色来访问AWS资源

如何解决如何使k8s Pod由Jenkins生成使用服务帐户IAM角色来访问AWS资源

解决方法

相关推荐