# EKSでServiceAccountにIAM Roleを割り当てる方法（IRSA）

## 目次
1. はじめに
2. IRSAの概要
3. 前提条件
4. IRSAの設定手順
   1. EKSクラスターのセットアップ
   2. IAMポリシーの作成
   3. IAMロールの作成
   4. Kubernetes ServiceAccountの作成
   5. IAMロールとServiceAccountの関連付け
5. まとめ

## 1. はじめに

EKS（Elastic Kubernetes Service）は、AWSによって提供されるKubernetesのマネージドサービスです。AWSでKubernetesアプリケーションをデプロイする際、IAMロールによるポリシー管理を簡単に行えるようにするのがIAM Roles for Service Accounts（IRSA）です。IRSAを使用することで、各Kubernetes ServiceAccountに個別のIAMロールを割り当てることができます。

## 2. IRSAの概要

IRSAでは、EKSのServiceAccountにIAMロールを割り当てることで、クラウドリソースに対するきめ細やかなアクセス制御を可能にします。これにより、Podやアプリケーションに必要な最小限の権限でAWSリソースのアクセスをコントロールできます。

## 3. 前提条件

IRSAの設定を開始する前に、以下の条件が整っている必要があります。

- **EKSクラスター**：既に作成済みであること。
- **AWS CLI**：必要な権限を持って設定されていること。
- **kubectl**：EKSクラスターに接続可能であること。
- **eksctl**：EKSの管理に使用されていること。

## 4. IRSAの設定手順

以下は、IRSAを使ってKubernetes ServiceAccountにIAMロールを割り当てる一般的な手順です。

### 4-1. EKSクラスターのセットアップ

まず、IRSAを使用するためにEKSクラスターが必要です。EKSクラスターのセットアップ方法については、AWS公式ガイドを参照してください。ここでは省略します。

### 4-2. IAMポリシーの作成

まずは、EKSのServiceAccountが必要とするアクセス権を定義したIAMポリシーを作成します。

![img](/mosaic-code.jpg)

このポリシーをAWSコンソールまたはAWS CLIを使って作成します。

### 4-3. IAMロールの作成

`eksctl`を利用して、IRSA用のIAMロールを作成します。このロールは、先ほどのIAMポリシーを使用します。

![img](/mosaic-code.jpg)

### 4-4. Kubernetes ServiceAccountの作成

次に、Kubernetes上にIRSAと関連付けるServiceAccountを作成します。

![img](/mosaic-code.jpg)

### 4-5. IAMロールとServiceAccountの関連付け

IAMロールをKubernetesのServiceAccountに関連付けるために、`iam.amazonaws.com`のアノテーションを使用します。これは、アプリケーションのデプロイ時に自動的に関連付けられます。

## 5. まとめ

IRSAはEKSクラスタ内で柔軟かつセキュアにIAMロールを操作するための強力なツールです。このアプローチを用いることで、過剰な権限をなくし、必要最小限の権限を各サービスに与えることができます。EKSのベストプラクティスとして、IRSAの利用を検討する価値があります。 [cv:issue_marketplace_engineer]

# EKSでServiceAccountにIAM Roleを割り当てる方法（IRSA）

## 目次
1. はじめに
2. IRSAの概要
3. 前提条件
4. IRSAの設定手順
   1. EKSクラスターのセットアップ
   2. IAMポリシーの作成
   3. IAMロールの作成
   4. Kubernetes ServiceAccountの作成
   5. IAMロールとServiceAccountの関連付け
5. まとめ

## 1. はじめに

EKS（Elastic Kubernetes Service）は、AWSによって提供されるKubernetesのマネージドサービスです。AWSでKubernetesアプリケーションをデプロイする際、IAMロールによるポリシー管理を簡単に行えるようにするのがIAM Roles for Service Accounts（IRSA）です。IRSAを使用することで、各Kubernetes ServiceAccountに個別のIAMロールを割り当てることができます。

## 2. IRSAの概要

IRSAでは、EKSのServiceAccountにIAMロールを割り当てることで、クラウドリソースに対するきめ細やかなアクセス制御を可能にします。これにより、Podやアプリケーションに必要な最小限の権限でAWSリソースのアクセスをコントロールできます。

## 3. 前提条件

IRSAの設定を開始する前に、以下の条件が整っている必要があります。

- **EKSクラスター**：既に作成済みであること。
- **AWS CLI**：必要な権限を持って設定されていること。
- **kubectl**：EKSクラスターに接続可能であること。
- **eksctl**：EKSの管理に使用されていること。

## 4. IRSAの設定手順

以下は、IRSAを使ってKubernetes ServiceAccountにIAMロールを割り当てる一般的な手順です。

### 4-1. EKSクラスターのセットアップ

まず、IRSAを使用するためにEKSクラスターが必要です。EKSクラスターのセットアップ方法については、AWS公式ガイドを参照してください。ここでは省略します。

### 4-2. IAMポリシーの作成

まずは、EKSのServiceAccountが必要とするアクセス権を定義したIAMポリシーを作成します。

```json
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "s3:ListBucket",
        "s3:GetObject"
      ],
      "Resource": "*"
    }
  ]
}
```

このポリシーをAWSコンソールまたはAWS CLIを使って作成します。

### 4-3. IAMロールの作成

`eksctl`を利用して、IRSA用のIAMロールを作成します。このロールは、先ほどのIAMポリシーを使用します。

```bash
eksctl create iamserviceaccount \
  --name my-service-account \
  --namespace default \
  --cluster my-eks-cluster \
  --attach-policy-arn arn:aws:iam::<Account-ID>:policy/MyS3Policy \
  --approve
```

### 4-4. Kubernetes ServiceAccountの作成

次に、Kubernetes上にIRSAと関連付けるServiceAccountを作成します。

```yaml
apiVersion: v1
kind: ServiceAccount
metadata:
  name: my-service-account
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::<Account-ID>:role/MyServiceAccountRole
```

### 4-5. IAMロールとServiceAccountの関連付け

IAMロールをKubernetesのServiceAccountに関連付けるために、`iam.amazonaws.com`のアノテーションを使用します。これは、アプリケーションのデプロイ時に自動的に関連付けられます。

## 5. まとめ

IRSAはEKSクラスタ内で柔軟かつセキュアにIAMロールを操作するための強力なツールです。このアプローチを用いることで、過剰な権限をなくし、必要最小限の権限を各サービスに与えることができます。EKSのベストプラクティスとして、IRSAの利用を検討する価値があります。 

EKSでServiceAccountにIAM Roleを割り当てる方法（IRSA）

目次

続きを読むには単価診断を受けてください（30秒）