EKS中Fluent-Bit对接S3分布式日志配置遇错排查

1. STS角色请求失败（初始阶段） #

该问题核心是Fluent-Bit的ServiceAccount未通过IRSA（IAM Roles for Service Accounts）正确获取临时凭证权限，即使IAM角色已关联AmazonS3FullAccess，Pod仍需具备调用STSAssumeRoleWithWebIdentity接口的能力：

• 检查ServiceAccount注解：确认eks.amazonaws.com/role-arn注解准确指向关联的IAM角色ARN，格式必须为arn:aws:iam::AWS_ACCOUNT_ID:role/ROLE_NAME
• 验证IRSA信任策略：确保IAM角色的信任策略包含EKS集群OIDC提供商的受众与ServiceAccount主体，示例策略如下：

  {
    "Effect": "Allow",
    "Principal": {
      "Federated": "arn:aws:iam::AWS_ACCOUNT_ID:oidc-provider/oidc.eks.REGION.amazonaws.com/id/OIDC_ID"
    },
    "Action": "sts:AssumeRoleWithWebIdentity",
    "Condition": {
      "StringEquals": {
        "oidc.eks.REGION.amazonaws.com/id/OIDC_ID:sub": "system:serviceaccount:NAMESPACE:SERVICE_ACCOUNT_NAME"
      }
    }
  }
  

2. STS响应解析失败（添加RBAC后，提示role_arn格式无效） #

此错误多因Fluent-Bit的S3输出配置与IRSA机制冲突，或role_arn参数格式错误导致：

• 移除手动指定的role_arn参数：若已启用IRSA，Pod会自动通过挂载的凭证文件获取临时权限，手动配置role_arn会触发STS请求格式错误
• 若必须手动指定角色ARN，严格校验格式：
  • 正确格式：arn:aws:iam::123456789012:role/MyFluentBitRole
  • 避免多余空格、引号或拼写错误（如arn:aws:iam::123456789012:role/ MyFluentBitRole中的空格）
• 精简RBAC权限：确保ServiceAccount仅拥有日志采集所需权限，无需额外STS相关权限（IRSA已处理凭证获取），示例RBAC配置：

  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRole
  metadata:
    name: fluent-bit-role
  rules:
  - apiGroups: [""]
    resources: ["pods", "pods/logs"]
    verbs: ["get", "list", "watch"]
  ---
  apiVersion: rbac.authorization.k8s.io/v1
  kind: ClusterRoleBinding
  metadata:
    name: fluent-bit-role-binding
  roleRef:
    apiGroup: rbac.authorization.k8s.io
    kind: ClusterRole
    name: fluent-bit-role
  subjects:
  - kind: ServiceAccount
    name: fluent-bit-sa
    namespace: YOUR_NAMESPACE
  

额外验证步骤 #

• 检查Pod环境变量：确认AWS_WEB_IDENTITY_TOKEN_FILE和AWS_ROLE_ARN已被正确注入（IRSA生效的核心标志）
• 手动测试STS调用：进入Fluent-Bit Pod执行以下命令，验证凭证获取是否正常：

  aws sts assume-role-with-web-identity --role-arn YOUR_ROLE_ARN --role-session-name test --web-identity-token file://$AWS_WEB_IDENTITY_TOKEN_FILE
  

内容的提问来源于stack exchange，提问作者Mandar K