https://aws.amazon.com/blogs/aws/amazon-eks-pod-identity-simplifies-iam-permissions-for-applications-on-amazon-eks-clusters/
Теперь вместо IRSA для выдачи IAM прав поду можно (нужно) использовать EKS Pod Identity:
1. Ставим add-on EKS Pod Identity.
2. Делаем IAM Role с
pods.eks.amazonaws.com в trusted.3. Мапим сделанную роль на нужный
service account с помощью pod-identity-association (пока лишь в консоли или AWS CLI, ждём поддержки в IaC).Отличия EKS Pod Identity от IRSA:
▫️ Нет OIDC.
▫️ Обычная IAM Role для всех кластеров.
▫️ Меньше нагрузка на ноду (How EKS Pod Identity works).
⚠️ Ограничения использования EKS Pod Identity:
▫️ Поддерживается с EKS 1.24+
▫️ Fargate, а также Windows-контейнеры не поддерживаются
▫️ Умеют лишь IRSA (как минимум пока): AWS Load Balancer Controller, амазоновские VPC CNI и CSI storage drivers (self-managed при этом работают)
#EKS #IAM
