AWS EKS控制平面认证事件出现未知账号ID的原因解析

以下场景内容记录留存供参考，目前该问题未见于任何官方文档或公开技术讨论中。

通过AWS Web控制台创建EKS集群后，可观测到来自EKS控制平面的CloudWatch事件中引用了无法识别的账号ID，该ID关联某Lambda脚本角色的ARN，初步推测用于向对应Lambda脚本提交集群相关数据。

脱敏后的示例事件如下：

time="2022-06-02T17:21:31Z" level=info msg="STS response"
accesskeyid=<key_id> accountid=<account_id>
arn="arn:aws:sts::<account_id>:assumed-role/AWSWesleyClusterManagerLambda-NodeManagerRole-1W15HHFYBJTFL/1654190491588606273"
client="127.0.0.1:59652" method=POST path=/authenticate
session=1654190491588606273 userid=<user_id>

time="2022-06-02T17:21:31Z" level=info msg="access granted"
arn="arn:aws:iam::<account_id>:role/AWSWesleyClusterManagerLambda-NodeManagerRole-1W15HHFYBJTFL"
client="127.0.0.1:59652" groups="[]" method=POST path=/authenticate
uid="aws-iam-authenticator:<account_id>:<user_id>"
username="eks:node-manager"

针对日志中出现的AWSWesleyClusterManagerLambda-NodeManagerRole-*角色名称检索公开参考信息，未查询到任何匹配结果。经向AWS支持提交工单核实，确认结论如下：

• 事件中引用的未知账号ID归属AWS官方所有，不属于用户自有账号范畴
• 账号关联的Lambda脚本为AWS托管内部组件，用途为监控EKS集群健康状态
• 事件中出现的account_id取值并非固定，会根据EKS集群的部署区域不同存在差异

内容的提问来源于stack exchange，提问作者Aaron Louks