如何让kubectl使用Shell环境变量连接EKS集群，避免硬编码密钥？

可以实现，核心逻辑是利用kubectl动态认证机制 #

kubectl连接AWS EKS时，默认通过aws eks get-token命令动态获取认证token，而AWS CLI本身会优先读取当前Shell环境中的AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY变量，而非仅依赖~/.aws/credentials文件。只要你的kubeconfig配置采用这种动态认证方式，就能直接复用Shell中的密钥变量。

检查你的kubeconfig中用户配置部分，确保是类似以下的exec模式（如果不是，可以用aws eks update-kubeconfig --cluster-name <你的集群名>重新生成）：

users:
- name: eks-cluster-user
  user:
    exec:
      apiVersion: client.authentication.k8s.io/v1beta1
      command: aws
      args:
      - eks
      - get-token
      - --cluster-name
      - your-cluster-name

这种配置下，kubectl每次请求都会调用AWS CLI获取token，而AWS CLI会自动读取你通过1Password CLI导入Shell的密钥变量，完全不需要依赖本地credentials文件。

避免硬编码AWS密钥到kubectl配置的其他方案 #

如果因为特殊场景无法使用环境变量，或需要更安全的方式，可采用以下方案：

• 使用AWS STS临时凭证：通过aws sts assume-role命令获取临时访问密钥（包含AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY和AWS_SESSION_TOKEN），导出为Shell变量后，同样会被AWS CLI和kubectl自动读取。临时凭证有过期时间，安全性远高于长期密钥。
• 依赖IAM角色/实例配置文件：如果在EC2、EKS Pod或AWS Lambda等AWS服务内操作，直接绑定对应IAM角色，无需手动配置任何密钥，AWS CLI会自动从实例元数据获取临时凭证。
• 使用AWS SSO：通过AWS SSO登录后，AWS CLI会自动管理临时凭证，kubectl可直接复用该认证上下文，无需手动处理密钥。
• 脚本化临时kubeconfig生成：编写简单Shell脚本，用1Password CLI取出密钥并导出为环境变量，再调用aws eks update-kubeconfig生成临时kubeconfig（该配置仍为exec模式，无硬编码密钥），使用完可直接删除临时配置文件。

内容的提问来源于stack exchange，提问作者Harrison Cramer