适用于eksctl规模节点组的AWS IAM策略

Question

仅向EKSCTL提供访问权限是否足够

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "autoscaling:DescribeAutoScalingGroups",
                "autoscaling:DescribeAutoScalingInstances",
                "autoscaling:DescribeLaunchConfigurations",
                "autoscaling:DescribeTags",
                "autoscaling:SetDesiredCapacity"
            ],
            "Resource": "*"
        }
    ]
}

为了eksctl scale nodegroup --cluster cluster_name --nodes-min=1 --nodes-max=2 --nodes=1 nodegroup_name

如何将策略限制为仅扩展特定的组或集群？

Answer 1

eksctl在CloudFormation堆栈上运行。因此，您的策略应该是授予对cloudformation:的写访问权限，以及对autoscaling:的只读访问权限(我认为后者是比较ASG的当前参数与所需参数所必需的，但需要进行测试和确认才能确定)。

您应该能够在策略的Resource中使用通配符，以限制对匹配特定命名模式的CloudFormation堆栈的写入访问。例如，eksctl-created堆栈中始终包含群集名称。