EKS Pod能否同时使用多个IAM角色？寻求直接实现方案

核心结论 #

默认情况下，EKS的IAM Roles for Service Accounts（IRSA）机制不支持直接为单个Pod关联多个IAM角色，你尝试的AWS_ROLE_ARN2这类自定义环境变量不会被AWS SDK或IRSA代理识别，无法直接生效。

可行替代方案 #

• 合并权限到单个角色
  将多个角色所需的权限整合到一个IAM角色的权限策略中，这是官方推荐的最简方案，避免多角色管理的额外复杂度。
• 通过STS AssumeRole动态切换
  在Pod内的应用代码或脚本中调用AWS STS的AssumeRole API，临时获取其他角色的凭证，在需要对应权限的操作时切换使用临时凭证（需设置AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY、AWS_SESSION_TOKEN临时环境变量）。注意：
  • 主IRSA角色需配置sts:AssumeRole权限，允许扮演目标角色
  • 目标角色的信任策略需将主IRSA角色设为可信实体
• 使用Sidecar容器承载额外角色
  部署一个关联了第二个IAM角色的Sidecar容器，通过Pod内共享Volume或本地通信方式，让主容器获取Sidecar的临时凭证。此方案无需修改主应用代码，但会增加Pod资源开销。

内容的提问来源于stack exchange，提问作者enthusiast