EKS与IRSA临时凭证有效期调整问题求助

核心原因 #

IRSA的临时凭证有效期由kubelet的IAM凭证提供者控制，而非Pod内的.aws/config配置或boto3参数。默认有效期为3600秒（1小时），需要通过ServiceAccount的专属注解覆盖。

解决步骤 #

1. 确认IAM角色的最大会话时长
   确保关联的IAM角色已将最大会话时长设置为12小时（43200秒）：进入AWS控制台角色详情页，点击"编辑最大会话时长"，确认值为43200。

2. 更新ServiceAccount的注解
   给目标ServiceAccount添加eks.amazonaws.com/role-duration-seconds注解，指定12小时有效期：

   kubectl annotate serviceaccount <你的服务账户名> eks.amazonaws.com/role-duration-seconds="43200" --overwrite
   

   若用eksctl创建ServiceAccount，可直接指定参数：

   eksctl create iamserviceaccount --cluster <集群名> --name <服务账户名> --namespace <命名空间> --role-name <IAM角色名> --role-duration-seconds 43200 --approve
   

3. 重启Pod使配置生效
   注解更新后，重启使用该ServiceAccount的Pod，让kubelet重新注入新的凭证配置：

   kubectl rollout restart deployment <你的部署名>
   

4. 验证结果
   查看CloudTrail中的AssumeRoleWithWebIdentity事件，检查DurationSeconds字段是否为43200，确认临时凭证有效期已改为12小时。

补充说明 #

• Pod内$HOME/.aws/config中的duration_seconds配置不会生效，因为IRSA通过kubelet自动注入的凭证会被boto3优先读取，绕过本地配置。
• 你设置的eks.amazonaws.com/token-expiration: 86400（24小时）是JWT令牌的有效期，只要该值大于等于角色会话时长（43200秒）即可，无需修改。

内容的提问来源于stack exchange，提问作者AlessioG