обновить-политику-доверия-роли

Описание

Обновляет политику доверия заданной роли IAM таким образом, чтобы её можно было использовать с Amazon EMR на EKS с указанным именем пространства имён из указанного кластера EKS.

Примечание:

Для использования роли IAM с Amazon EMR на EKS также необходимо создать поставщика идентификаторов OIDC для кластера EKS. Это можно сделать с помощью команды eksctl utils associate-iam-oidc-provider --cluster <cluster_name> --approve. Дополнительную информацию об установке или обновлении eksctl см. в руководстве пользователя Amazon EKS.

Команда объединит существующую политику доверия роли с политикой доверия ниже:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::<AWS_ACCOUNT_ID>:oidc-provider/<OIDC_PROVIDER>"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringLike": {
                    "<OIDC_PROVIDER>:sub": "system:serviceaccount:<NAMESPACE>:emr-containers-sa-*-*-<AWS_ACCOUNT_ID>-<BASE36_ENCODED_ROLE_NAME>"
                }
            }
        }
    ]
}

Здесь:

<AWS_ACCOUNT_ID> = AWS Account ID of the EKS cluster
<OIDC_PROVIDER> = OIDC Identity Provider for the EKS cluster
<NAMESPACE> = Namespace of the EKS cluster
<BASE36_ENCODED_ROLE_NAME> = Base36 encoded form of the IAM Role name

Можно использовать опцию –dry-run, чтобы вывести объединённую политику доверия в стандартный вывод вместо непосредственного обновления политики доверия роли.

Синтаксис

  update-role-trust-policy
--cluster-name <value>
--namespace <value>
--role-name <value>
[--iam-endpoint <value>]
[--dry-run]
[--debug]
[--endpoint-url <value>]
[--no-verify-ssl]
[--no-paginate]
[--output <value>]
[--query <value>]
[--profile <value>]
[--region <value>]
[--version <value>]
[--color <value>]
[--no-sign-request]
[--ca-bundle <value>]
[--cli-read-timeout <value>]
[--cli-connect-timeout <value>]
[--cli-binary-format <value>]
[--no-cli-pager]
[--cli-auto-prompt]
[--no-cli-auto-prompt]

Параметры

--cluster-name (строка) Укажите имя кластера Amazon EKS, с которым будет использоваться роль IAM.

--namespace (строка) Укажите пространство имён из кластера Amazon EKS, с которым будет использоваться роль IAM.

--role-name (строка) Укажите имя роли IAM, которую нужно использовать с Amazon EMR на EKS.

--iam-endpoint (строка) Конечная точка IAM для вызова обновления политики доверия роли. Это необязательно и следует указывать только в случае использования пользовательской конечной точки для операций IAM.

--dry-run (булево) Вывести объединённую политику доверия в стандартный вывод вместо непосредственного обновления политики доверия роли.

Глобальные параметры

--debug (булево)

Включить отладовую запись.

--endpoint-url (строка)

Переопределить значение URL по умолчанию для команды.

--no-verify-ssl (булево)

По умолчанию AWS CLI использует SSL при взаимодействии с AWS-сервисами. Для каждого SSL-соединения AWS CLI будет проверять сертификаты SSL. Эта опция переопределяет поведение проверки SSL-сертификатов по умолчанию.

--no-paginate (булево)

Отключить автоматическую постраничную навигацию. Если автоматическая постраничная навигация отключена, AWS CLI сделает только один вызов для первой страницы результатов.

--output (строка)

Стиль форматирования вывода команды.

• json
• text
• таблица
• yaml
• yaml-поток

--query (строка)

Запрос JMESPath для фильтрации данных ответа.

--profile (строка)

Использование определённого профиля из файла с данными.

--region (строка)

Регион для использования. Переопределяет параметры из конфигурации/окружения.

--version (строка)

Отобразить версию инструмента.

--color (строка)

Включить/выключить цветной вывод.

• включено
• выключено
• автоматически

--no-sign-request (булево)

Не подписывать запросы. Кредиты не будут загружены, если этот параметр указан.

--ca-bundle (строка)

Файл с сертификатами CA для проверки SSL-сертификатов. Переопределяет параметры из конфигурации/окружения.

--cli-read-timeout (целое число)

Максимальное время чтения сокета в секундах. Если значение равно 0, чтение сокета будет блокирующим и без таймаута. Значение по умолчанию — 60 секунд.

--cli-connect-timeout (целое число)

Максимальное время подключения сокета в секундах. Если значение равно 0, подключение сокета будет блокирующим и без таймаута. Значение по умолчанию — 60 секунд.

--cli-binary-format (строка)

Стиль форматирования для двоичных блоков. По умолчанию используется формат base64. Формат base64 ожидает, что двоичные блоки будут предоставлены в виде закодированной строкой base64. Формат raw-in-base64-out сохраняет совместимость с поведением AWS CLI V1, а двоичные значения должны передаваться буквально. При предоставлении содержимого из файла, соответствующего двоичному блоку, fileb:// всегда будет обрабатываться как двоичное и будет использоваться содержимое файла напрямую независимо от параметра cli-binary-format. При использовании file:// содержимое файла должно быть должным образом отформатировано для настроенного параметра cli-binary-format.

• base64
• raw-in-base64-out

--no-cli-pager (булево)

Отключить пейджер CLI для вывода.

--cli-auto-prompt (булево)

Автоматически запросить параметры ввода CLI.

--no-cli-auto-prompt (булево)

Отключить автоматическое запроса параметров ввода CLI.

Примеры

Для обновления политики доверия роли IAM для использования с Amazon EMR на EKS

В этом примере команды обновляется политика доверия роли с именем example_iam_role для использования с Amazon EMR на EKS с пространством имён example_namespace из кластера EKS с именем example_cluster.

• Команда:

  aws emr-containers update-role-trust-policy \
      --cluster example_cluster \
      --namespace example_namespace \
      --role-name example_iam_role
  

• Вывод:

  If the trust policy has already been updated, then the output will be:
  Trust policy statement already exists for role example_iam_role. No
  changes were made!
  
  If the trust policy has not been updated yet, then the output will be:
  Successfully updated trust policy of role example_iam_role.