在EKS中能否为K8s ServiceAccount关联多个AWS IAM角色？

问题1：是否可以将K8s ServiceAccount与多个AWS IAM角色关联？ #

不行，单个Kubernetes ServiceAccount只能与一个AWS IAM角色建立关联。EKS的IAM Roles for Service Accounts（IRSA）机制从设计上就是一对一的绑定关系，一个ServiceAccount只能映射到一个IAM角色。

问题2：在EKS环境中，是否允许在ServiceAccount的注解eks.amazonaws.com/role-arn中配置多个IAM角色ARN？ #

不允许，该注解仅支持配置单个IAM角色ARN。你提供的示例中用逗号分隔多个ARN的写法是无效的，EKS的IRSA控制器要么只会识别第一个ARN，要么直接忽略整个配置，导致ServiceAccount无法正确关联IAM角色。

替代方案（实现多IAM角色权限） #

如果需要让Pod拥有多个IAM角色的权限，可以采用以下几种方式：

• 创建多个ServiceAccount，每个绑定一个目标IAM角色，然后在Pod配置中挂载多个ServiceAccount的Secret（需应用支持切换使用不同凭证）
• 将多个IAM角色的权限合并到一个角色中，让单个ServiceAccount绑定这个合并后的角色
• 使用第三方工具（如kube2iam、kiam）实现多角色映射，但这类工具已逐渐被IRSA替代，官方更推荐IRSA的一对一绑定模式

内容的提问来源于stack exchange，提问作者NewGuy