如何通过Access Key在Postman中认证连接AWS K8S API？

1. 确认EKS的IAM与RBAC映射配置 #

EKS的认证机制是IAM+K8S RBAC结合，仅配置IAM权限不足以通过K8S API认证，必须完成IAM用户到K8S用户的映射：

• 编辑kube-system命名空间下的aws-auth ConfigMap：

  kubectl edit configmap/aws-auth -n kube-system
  

• 在mapUsers节点下添加你的IAM用户映射（替换示例中的ARN和用户名）：

  mapUsers:
  - userarn: arn:aws:iam::123456789012:user/your-iam-user
    username: your-iam-user
    groups:
    - system:masters # 或自定义的具备API访问权限的K8S用户组
  

• 保存配置后等待1-2分钟，让EKS同步映射规则。

2. Postman中AWS Signature的正确配置 #

不要对Access Key/Secret Key做Base64编码，直接填入明文，重点核对以下参数：

• AWS Access Key ID：你的IAM用户Access Key
• AWS Secret Access Key：对应的Secret Key
• AWS Region：EKS集群所在的AWS区域（如us-west-2）
• Service Name：必须填写eks（此参数错误会直接导致签名无效）
• Session Token：长期Access Key留空，仅临时凭证场景需要填写

3. 验证请求签名与权限有效性 #

• 打开Postman控制台，检查请求头中的Authorization字段是否为AWS4-HMAC-SHA256格式，且包含正确的区域、服务名参数。
• 用AWS CLI测试IAM用户的EKS访问权限：

  aws eks get-token --cluster-name your-cluster-name
  

  如果能正常返回token，说明IAM权限无问题；将该token填入Postman的Authorization头（选择Bearer Token类型），若请求成功，即可定位问题为Postman的AWS Signature参数配置错误。

4. 排查system:anonymous返回问题 #

返回system:anonymous通常意味着EKS API服务器无法验证你的IAM签名，常见原因：

• Postman的AWS Signature参数（尤其是Service Name、Region）配置错误
• IAM用户未被正确映射到K8S用户（重新检查aws-auth ConfigMap内容）
• IAM用户缺少eks:DescribeCluster等基础权限（可临时附加AmazonEKSClusterPolicy测试）

内容的提问来源于stack exchange，提问作者Frank Leverenz