EC2获取EKS集群只读权限的实例配置文件及IAM策略合理性问询

核心结论 #

该策略无法满足「仅具备EKS集群只读访问权限」的要求，存在权限越界、范围过大、覆盖不全三类问题，不建议直接关联到EC2实例配置文件使用。

具体问题说明 #

• 存在非只读类越权权限：策略包含的eks:AccessKubernetesApi不属于只读权限范畴，该权限允许关联身份直接调用EKS集群的Kubernetes API端点，可对集群内的K8s资源执行增、删、改操作，完全突破只读的权限边界。
• 权限生效范围无限制：策略中配置"Resource": "*"，意味着权限可作用于当前账号下所有地域的全部EKS资源，而非仅限定到需要访问的目标EKS集群，存在权限过度授予的风险。
• 只读权限覆盖不全：现有权限列表仅覆盖了部分EKS的List/Describe类操作，缺失多类常规只读API（比如身份提供商配置查询、集群操作记录查询等），无法实现完整的EKS只读访问能力。

适配需求的调整方向 #

• 移除越权权限项：从Action列表中删除eks:AccessKubernetesApi；如果确实需要只读访问集群内的K8s资源，应通过K8s侧的只读RBAC规则单独配置，而非开放全权限的API访问入口。
• 收敛权限作用范围：将通配的Resource: *替换为目标EKS集群的专属ARN，避免权限跨集群、跨资源生效。
• 对齐标准只读权限集：参照AWS内置的AmazonEKSReadOnlyAccess托管策略的权限集合，补全所有List/Describe类的EKS只读API，确保只读能力的完整性。

内容的提问来源于stack exchange，提问作者Biju