隨著 Kubernetes 在雲原生環境中的應用不斷增長，安全地管理 Kubernetes 集群內的 AWS IAM 角色已成為基礎設施管理中的關鍵方面。KIAM 和 AWS IAM Roles for Service Accounts (IRSA) 是處理此需求的兩種常見方法。
在本文中，我們將討論這兩種工具的細微差異，比較它們的特點、架構、優點和缺點，以幫助您為您的 Kubernetes 環境做出明智的決定。
介紹
- KIAM: 一個開源解決方案，旨在動態為 Kubernetes pod 分配 AWS IAM 角色，而無需將 AWS 憑證存儲在 pod 中。KIAM 使用基於代理的架構來攔截 AWS 元數據 API 請求。
- IRSA: AWS 的官方解決方案，利用 Kubernetes 服務帳戶和 OpenID Connect (OIDC) 來安全地將 IAM 角色與 Kubernetes pod 關聯起來。IRSA 消除了對外部代理的需求。
架構和工作流程
KIAM
組件
- Agent – 作為 DaemonSet 在工作節點上運行，攔截來自 pod 的 AWS 元數據 API 調用。
- Server – 負責處理 IAM 角色驗證和 AWS API 交互的集中式組件。
工作流程
- Pod 元數據包含 IAM 角色註釋。
- 代理截取元数据API调用并将其转发到服务器。
- 服务器验证角色并通过STS获取临时AWS凭证。
- 代理将凭证注入到Pod的元数据响应中。
IRSA
组件
- 带有IAM角色ARN注释的Kubernetes服务帐户。
- 在AWS IAM中配置的OIDC身份提供者。
工作流程
- 一个服务帐户被标记为IAM角色。
- 使用该服务帐户的Pod将获得一个投影服务帐户令牌。
- AWS STS通过OIDC身份提供者验证令牌。
- Pod承担相关的IAM角色。
功能比较
|
功能 |
KIAM |
IRSA |
|
设置复杂性 |
需要部署KIAM组件。 |
需要启用OIDC并设置注释。 |
|
可伸缩性 |
由于代理瓶颈在规模上受限。 |
高度可扩展；无需代理。 |
|
維護 |
需要持續管理 KIAM。 |
最小維護；原生 AWS 支援。 |
|
安全性 |
憑證動態獲取，但需通過 KIAM 伺服器流動。 |
憑證直接由 AWS STS 驗證。 |
|
性能 |
元數據 API 截取會增加延遲。 |
與 AWS 直接集成；延遲最小。 |
|
AWS 原生支援 |
否，第三方工具。 |
是，完全由 AWS 支援的解決方案。 |
|
多雲支援 |
否，僅限於 AWS。 |
否，僅限於 AWS。 |
優勢和劣勢
KIAM的優勢
- 靈活性。可在非EKS Kubernetes集群中運作。
- 經驗證的效用。在引入IRSA之前被廣泛使用。
KIAM的缺點
- 性能瓶頸。元數據截取可能導致延遲問題，尤其在大規模集群中。
- 擴展性限制。集中式伺服器可能成為瓶頸。
- 安全風險。附加代理層增加攻擊面。
- 維護負擔。需要管理和更新KIAM組件。
IRSA的優勢
- AWS本地集成。利用原生AWS功能進行無縫操作。
- 提高安全性。凭证直接通过AWS STS发放，无需中间人。
- 性能更優。無代理開銷；直接STS交互。
- 可擴展。由於其分佈式特性，非常適合大型集群。
IRSA的缺點
- 僅限於AWS。不適用於多雲或混合環境。
- 初始學習曲線。需要了解OIDC和服務帳戶設置。
使用案例
何時使用KIAM
- 非EKS Kubernetes集群。
- 依賴於KIAM特定功能的傳統系統情況。
何時使用IRSA
- 在AWS上運行的EKS集群或Kubernetes環境。
- 需要可擴展性、高性能和降低維護負擔的使用情況。
- 對安全性要求高，要求最小攻擊面的環境。
從KIAM遷移到IRSA
如果您目前使用KIAM並希望遷移到IRSA，請按照以下逐步方法：
1. 為您的集群啟用OIDC
在EKS中，使用AWS管理控制台或CLI啟用OIDC提供者。
2. 注釋服務帳戶
將Pod中的IAM角色註釋替換為服務帳戶中的註釋。
3. 更新IAM角色
將OIDC身份提供者添加到IAM角色的信任策略中。
4. 測試和驗證
部署測試工作負載，以確保角色通過IRSA正確地被假定。
5. 停用KIAM
成功遷移後逐步淘汰KIAM組件。
遷移的最佳實踐
- 逐步執行遷移，從非關鍵工作負載開始。
- 使用暫存環境驗證變更，然後應用到生產環境中。
- 監控AWS CloudWatch的指標和日誌，以識別過渡期間可能出現的問題。
- 利用自動化工具如 Terraform 或 AWS CDK 來精簡設置和配置。
實際案例
KIAM 實踐
- 傳統系統 – 使用非 EKS 集群的組織，KIAM 仍然具有相關性，因為它與各種環境兼容
- 混合工作負載 – 在本地和雲平台上運行工作負載的企業
IRSA 成功故事
- 現代應用 – 利用 IRSA 在 AWS EKS 環境中實現無縫擴展和增強安全性的初創企業
- 企業採用 – 企業中受益於降低維護成本和原生 AWS 整合的大規模 Kubernetes 集群
結論
雖然 KIAM 在其時代是一個開創性的工具，但 AWS IAM Roles for Service Accounts (IRSA) 已經成為管理在 AWS 上運行的 Kubernetes 環境中的 IAM 角色的首選解決方案。IRSA 提供原生支持、更好的性能、改善的安全性和可擴展性，使其成為現代雲原生架構的優越選擇。
對於在 AWS 上運行的 Kubernetes 集群，IRSA 應該是首選。然而，如果您在 AWS 之外運作或在混合環境中運作，KIAMA 或其他替代工具仍可能具有相關性。
對於基礎架構架構師、DevOps工程師和Kubernetes愛好者，這份比較分析旨在提供選擇最佳解決方案的洞察。如果您需要更深入的技術見解或實用指南，請隨時聯繫我們。
Source:
https://dzone.com/articles/comparative-analysis-kiam-vs-aws-iam-roles-for-ser