EKS集群中两处OpenID Connect相关配置的区别及用途

1. EKS集群自带的OpenID Connect provider URL #

这个是EKS集群创建时自动生成的OIDC身份提供商，核心用途是实现IRSA（IAM角色绑定服务账号）——简单说就是给你的Pod分配AWS云服务的访问权限。

之前如果不给Pod单独配置权限，可能得给EKS节点绑定大权限的IAM角色，所有Pod都共享这个权限，安全性很差。有了这个OIDC提供商后，你可以给K8s的ServiceAccount绑定特定的IAM角色，Pod关联这个ServiceAccount后，就能用这个IAM角色的权限访问AWS资源（比如拉取ECR镜像、读写S3存储桶等），权限更细粒度，也更安全。

2. “Authentication”标签页添加的OIDC identity providers #

这个是用来对接外部身份系统（比如你的内部SSO），让用户通过自己的企业SSO账号登录EKS集群，操作K8s资源。

比如你们公司有自己的内部登录系统，配置这个OIDC提供商后，用户不用单独创建EKS的账号，直接用公司SSO账号就能通过kubectl或者控制台访问EKS，同时还能通过K8s的RBAC控制不同用户能操作哪些集群资源。这部分是给人用的身份认证入口。

一句话总结 #

• 集群自带的OIDC：给Pod（服务）用，获取AWS云服务权限
• 手动添加的OIDC：给用户用，通过外部SSO登录EKS集群

内容的提问来源于stack exchange，提问作者kosciej16