AWS EKS：为何要为AmazonEKS_CNI_Policy创建专用角色？

问题背景 #

在AWS EKS的节点IAM角色相关说明中，提到创建工作节点前需准备包含AmazonEKSWorkerNodePolicy、AmazonEC2ContainerRegistryReadOnly、AmazonEKS_CNI_Policy的角色，但文档明确建议不要将AmazonEKS_CNI_Policy附加给节点IAM角色，而是单独为Amazon VPC CNI插件创建专用角色并附加该策略，背后的核心原因如下：

具体原因 #

• 遵循最小权限原则：节点IAM角色是给集群中所有工作节点的kubelet服务使用的，若把CNI策略附加给它，相当于节点上所有进程都间接拥有了CNI策略包含的权限（比如管理弹性网卡、修改路由表、分配私有IP等），大幅扩大了权限风险范围。而独立的CNI角色仅授权给VPC CNI插件使用，权限精准匹配组件需求，能有效降低权限泄露或被滥用的可能性。
• 实现权限隔离与职责分离：节点角色的核心职责是让工作节点与EKS集群完成注册、状态同步等交互，VPC CNI插件则负责集群网络配置，两者职责完全独立。分开授权能明确权限边界，避免权限交叉导致的管理混乱，也便于后续分别调整两类权限。
• 提升权限管理灵活性：后续如果需要调整CNI相关的权限（比如新增某种网络操作权限、限制特定资源访问），直接修改独立的CNI角色即可，无需改动节点IAM角色，减少对整个节点集群的影响。同时，不同EKS集群的CNI插件可以配置不同的专用角色，实现更精细化的权限管控。
• 满足安全合规需求：多数企业安全合规标准要求权限按服务或组件拆分，使用独立的CNI角色能更清晰地完成权限审计，一旦出现网络相关的权限问题，也能快速定位排查范围。

内容的提问来源于stack exchange，提问作者YoavKlein