Amazon EKS에서 AWS 로드 밸런서 컨트롤러를 사용할 때 “webidentityerr” 오류가 발생하는 이유는 무엇입니까?

최종 업데이트 날짜: 2021년 12월 08일

Amazon Elastic Kubernetes Service(Amazon EKS)에서 AWS 로드 밸런서 컨트롤러를 사용하려고 할 때 다음과 같은 오류 메시지가 나타납니다.

"failed to find existing LoadBalancer due to WebIdentityErr: failed to retrieve credentials\ncaused by: AccessDenied: Not authorized to perform sts:AssumeRoleWithWebIdentity\n\tstatus code: 403"

이 오류를 해결하려면 어떻게 해야 하나요?

간략한 설명

Amazon EKS에서 AWS 로드 밸런서 컨트롤러를 사용할 때, WebIdentityErr: failed to retrieve credentials caused by: AccessDenied 오류는 다음 이유로 발생할 수 있습니다.

  • 잘못된 서비스 계정 구성
  • 서비스 계정에 사용된 AWS Identity and Access Management(IAM) 역할의 신뢰 관계가 잘못되었습니다

AWS 로드 밸런서 컨트롤러를 사용하면 작업자 노드가 작업을 수행합니다. 이러한 작업자 노드에는 IAM 권한을 사용하여 AWS Application Load Balancer 또는 AWS Network Load Balancer 리소스에 대한 액세스 권한이 부여되어야 합니다. IAM 권한은 서비스 계정의 IAM 역할을 사용하여 설정하거나, 또는 작업자 노드의 IAM 역할에 직접 연결할 수 있습니다. 자세한 내용은 Kubernetes 웹사이트에서로드 밸런서 컨트롤러 설치 단원을 참조하세요.

해결 방법

잘못된 서비스 계정 구성

서비스 계정 구성이 올바르게 구성되었는지 확인하려면 다음 단계를 수행하십시오.

1.    배포에 정의된 서비스 계정(SA) 이름을 확인합니다.

kubectl describe deploy <aws-load-balancer-controller> -n kube-system | grep -i "Service Account"

2.    서비스 계정을 설명합니다.

kubectl describe sa <aws-load-balancer-controller> -n kube-system

3.    IAM 역할에 대한 SA 주석을 확인합니다.

Annotations: eks.amazonaws.com/role-arn: arn:aws:iam::xxxxxxxxxx:role/<AmazonEKSLoadBalancerControllerRole>

4.    이 주석이 누락되었거나 올바르지 않은 경우 주석을 업데이트합니다. 다음과 같이 IAM 역할의 서비스 계정 연결이 올바른지 확인합니다.

kubectl annotate serviceaccount -n <SERVICE_ACCOUNT_NAMESPACE> <SERVICE_ACCOUNT_NAME> \ eks.amazonaws.com/role-arn=arn:aws:iam::<ACCOUNT_ID>:role/<IAM_ROLE_NAME>

5.    서비스 계정과 연결된 기존 Amazon EKS 포드를 삭제하고 다시 생성합니다. 자격 증명 환경 변수를 적용해야 합니다.

kubectl delete pods <aws-loadbalancer-controller-pod> -n <kube-system>

사용된 AWS Identity 액세스 관리(IAM) 역할과 서비스 계정 간의 신뢰 관계가 잘못되었습니다

다음 예시에서는 IAM 역할과 서비스 계정 간 신뢰 관계를 설정할 때 발생할 수 있는 몇 가지 일반적인 실수를 보여 줍니다.

예시 1: "sts:AssumeRoleWithWebIdentity" 작업에 대해 IAM 역할 또는 신뢰 관계가 제대로 정의되지 않음

"sts:AssumeRole" 작업이 아닌 "sts:AssumeRoleWithWebIdentity" 작업에 대하여 신뢰 관계가 올바르게 정의되어 있는지 확인합니다.

다음은 제대로 정의되지 않은 신뢰 관계의 예시입니다.

{
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "xxxxx.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
}

신뢰 관계를 수정하려면 "sts:AssumeRoleWithWebIdentity" 작업에 대한 신뢰 관계를 정의해야 합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "arn:aws:iam::<AWS-ACCOUNT>:oidc-provider/oidc.eks.<REGION>.amazonaws.com/id/<Your-EKS-cluster-OIDC-Provider-ID>"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "oidc.eks.<REGION>.amazonaws.com/id/<Your-EKS-cluster-OIDC-Provider-ID>:sub": "system:serviceaccount:kube-system:<aws-load-balancer-controller-serviceaccount>"        
        }
      }
    }
  ]
}

참고: 모든 변수를 사용자 고유한 값으로 바꾸십시오.

예시 2: Amazon EKS 클러스터를 생성할 때 OIDC 공급자 ID가 잘못됨

Amazon EKS 클러스터에 대한 OIDC 공급자를 올바르게 생성 및 검증해야 합니다. OIDC 공급자 ID 및 연결된 AWS 리전이 올바르게 나열되어 있는지 확인합니다. 그렇지 않으면 WebIdentityErr 오류가 발생합니다.

예시 3: AWS 로드 밸런서 컨트롤러 배포를 구성할 때 서비스 계정(SA) 이름 및 네임스페이스가 잘못되었습니다.

AWS 로드 밸런서 컨트롤러 배포를 업데이트할 때 올바른 SA 이름과 네임스페이스를 입력해야 합니다.

예시 4: 트러스트 관계에서 “sts.amazonaws.com” 단계가 누락됨

EKS 포드와 연결된 서비스 역할이 "AssumeRoleWithWebIdentity" 작업에 대해 STS 작업을 수행할 수 없는 경우, 신뢰 관계를 업데이트합니다. STS 작업을 수행하려면 신뢰 관계에 “sts.amazonaws.com”이 포함되어야 합니다.

예를 들어, 다음과 같습니다.

"Condition": {
        "StringEquals": {
          "oidc.eks.<REGION>.amazonaws.com/id/<Your-EKS-cluster-OIDC-Provider-ID>:sub": "system:serviceaccount:kube-system:<aws-load-balancer-controller-serviceaccount>",
          "oidc.eks.<REGION>.amazonaws.com/id/<Your-EKS-cluster-OIDC-Provider-ID>:aud": "sts.amazonaws.com"
        }
}

여러 키 또는 값이 있는 IAM 조건에 대한 자세한 내용은 여러 키 또는 값으로 조건 생성 단원을 참조하세요.


이 문서가 도움이 되었나요?


결제 또는 기술 지원이 필요하세요?