AWS EKS集群创建与删除权限问题咨询

一、你遇到的权限问题对应缺失项 #

• 删除集群时提示eks:DescribeCluster权限缺失：该权限用于查询EKS集群状态，eksctl删除集群前需要验证集群存在性，必须为目标集群ARN或通配符资源配置此权限。
• 创建新集群时提示eks:TagResource权限缺失：eksctl在创建流程中会自动给集群添加标签，因此需要该权限。

二、使用eksctl创建EKS集群的核心IAM权限 #

以下是eksctl创建集群时必需的权限，建议以IAM策略形式附加到你的身份：

• eks:CreateCluster：创建EKS集群的核心权限
• eks:DescribeCluster：集群创建过程中的状态校验、后续管理操作都需要此权限
• eks:TagResource：为集群及关联资源添加标签
• eks:CreateNodegroup：若需创建节点组则需添加
• eks:DescribeNodegroup：查询节点组状态
• iam:CreateRole：eksctl会自动创建集群所需的IAM角色（如集群角色、节点组角色）
• iam:AttachRolePolicy：为创建的角色附加AWS托管的EKS相关策略
• iam:PassRole：允许eksctl将创建的角色传递给EKS服务
• cloudformation:CreateStack：eksctl通过CloudFormation管理集群资源，需要创建栈的权限
• cloudformation:DescribeStacks：查询CloudFormation栈状态
• cloudformation:DeleteStack：删除集群时需删除对应CloudFormation栈
• EC2相关权限：若使用eksctl自动创建VPC，需ec2:CreateVpc、ec2:CreateSubnet等操作权限；若使用现有VPC，需ec2:DescribeVpcs、ec2:DescribeSubnets等查询权限

三、EKS集群必需的服务角色 #

除了用户身份的权限，EKS集群本身依赖两个关键服务角色：

1. EKS集群角色
   • 需附加托管策略AmazonEKSClusterPolicy，用于EKS服务与EC2、IAM、CloudWatch等AWS服务交互
   • 信任关系需允许eks.amazonaws.com扮演该角色
2. EKS节点组角色
   • 需附加托管策略AmazonEKSWorkerNodePolicy、AmazonEC2ContainerRegistryReadOnly、AmazonEKS_CNI_Policy
   • 信任关系需允许ec2.amazonaws.com扮演该角色

四、当前问题的解决建议 #

1. 处理eksdemo1集群删除失败：
   • 检查AWS CloudFormation控制台是否存在eksctl-eksdemo1-cluster栈，若存在直接删除该栈（需cloudformation:DeleteStack权限）
   • 确保你的IAM身份拥有eks:DescribeCluster权限（资源范围覆盖arn:aws:eks:eu-west-2:327352963247:cluster/*）后，执行eksctl delete cluster --name eksdemo1重试删除
2. 处理新集群创建失败：
   • 为你的IAM身份添加包含eks:TagResource权限的策略，资源范围至少覆盖arn:aws:eks:eu-west-2:327352963247:cluster/*

内容的提问来源于stack exchange，提问作者user3310115