总是出错：您必须登录到服务器（未经授权）EKS

Question

我目前正在使用 AWS EKS 但我总是error: You must be logged in to the server (Unauthorized)在尝试运行kubectl cluster-info命令时遇到问题。

我已经阅读了大量 AWS 文档，并查看了许多面临相同问题的类似问题。不幸的是，它们都没有解决我的问题。

所以，这就是我所做的

1. 安装所有需要的包
2. 创建一个用户来访问aws-cli名称crop-portal
3. 为 EKS 名称创建角色 crop-cluster
4. 通过 AWS 控制台使用角色crop-cluster名称创建 EKS 集群crop-cluster（集群和角色具有相同的名称）
5. 为用户运行 AWS 配置 crop-portal
6. 运行aws eks update-kubeconfig --name crop-cluster以更新 kube 配置
7. 跑 aws sts assume-role --role-arn crop-cluster-arn --role-session-name eks-access
8. 副本ACCESSKEY，secreyKey和sessionToken到ENV变量AWS_ACCESS_KEY_ID，AWS_SECRET_ACCESS_KEY和AWS_SESSION_TOKEN相应
9. 运行aws sts get-caller-indentity，现在结果说它已经使用了假定角色

{
    "UserId": "AROAXWZGX5HOBZPVGAUKC:botocore-session-1572604810",
    "Account": "529972849116",
    "Arn": "arn:aws:sts::529972849116:assumed-role/crop-cluster/botocore-session-1572604810"
}

10. 运行kubectl cluster并始终get error: You must be logged in to the server (Unauthorized)

当我跑步时aws-iam-authenticator token -i crop-cluster，它给了我令牌，当我跑步时aws-iam-authenticator verify -t token -i crop-portal，它也通过了

&{ARN:arn:aws:sts::529972849116:assumed-role/crop-cluster/1572605554603576170 CanonicalARN:arn:aws:iam::529972849116:role/crop-cluster AccountID:529972849116 UserID:AROAXWZGX5HOBZPVGAUKC SessionName:1572605554603576170}

我不知道出了什么问题或我想念什么。我很努力地让它工作，但我真的不知道在这之后该怎么办。有些人建议使用 awscli 而不是 GUI 创建集群。我尝试了这两种方法，但都没有奏效。使用 awscli 或 GUI 创建对我来说都是一样的。

请有人帮忙:(

Answer 1

我将尝试在此处添加更多信息，希望它在设置对 EKS 集群的访问时会更有帮助。

当我们通过 CloudFormation/CLI/EKSCTL 通过任何方法创建 EKS 集群时，创建集群的 IAM 角色/用户将自动绑定到默认的 kubernetes RBAC API 组“system:masters”（https://kubernetes.io/docs/ Reference/access-authn-authz/rbac/#user-faceing-roles），这样集群的创建者将获得集群的管理员访问权限。

要验证 EKS 集群的角色或用户，我们可以在 cloudtrail 上搜索 CreateCluster Api 调用，它会告诉我们集群的创建者。

现在，通常如果我们像您一样使用角色来创建集群（例如“crop-cluster”）。在使用 kubectl 进行任何 api 调用之前，我们必须确保我们承担此角色，最简单的方法是在 kubeconfig 文件中设置此角色。我们可以通过从终端运行以下命令轻松地做到这一点。

aws eks --region region-code update-kubeconfig --name cluster_name --role-arn crop-cluster-arn

现在，如果我们运行上述命令，那么它将在 kube 配置文件中使用 -r 标志设置角色，这样我们就告诉 aws/aws-iam-authenticator 在进行任何 api 调用之前，它应该首先承担该角色这样，我们就不必使用“aws sts Should-role --role-arn Crop-cluster-arn --role-session-name eks-access”通过 cli 手动承担角色。

正确设置 kubeconfig 文件后，请确保使用 IAM 用户凭证“crop-portal”正确配置 CLI。我们可以通过运行"aws sts get-caller-identity"命令来确认这一点，输出应在“Arn”部分中向我们显示用户 ARN，如下所示。

   $ aws sts get-caller-identity
   { 
        "Account": "xxxxxxxxxxxxx",
        "UserId": "xxxxxxxxxxxxxx",
        "Arn": "arn:aws:iam::xxxxxxxxxxx:user/crop-portal"
    }

完成后，您应该可以直接执行 kubectl 命令，没有任何问题。

注意：我假设用户“crop-portal”确实有足够的权限来承担角色“crop-cluster”

注意：有关更多详细信息，我们还可以参考此问题的答案设置 EKS 集群后出现错误“调用 AssumeRole 操作时发生错误（AccessDenied）：访问被拒绝”