**Aidez à améliorer cette page** Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien **Modifier cette page sur** qui se trouve dans le volet droit de chaque page. Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra. # Configurez le AWS Point de terminaison du service de jetons de sécurité pour un compte de service Si vous utilisez un compte de service Kubernetes avec des [rôles IAM pour les comptes de service](iam-roles-for-service-accounts.md), vous pouvez configurer le type de point de terminaison du service AWS Security Token utilisé par le compte de service. AWS recommande d'utiliser les points de terminaison AWS STS régionaux au lieu du point de terminaison global. Cela réduit la latence, fournit une redondance intégrée et augmente la validité des jetons de session. Le service AWS Security Token doit être actif dans la AWS région où le Pod est exécuté. En outre, votre application doit être dotée d'une redondance intégrée pour une autre AWS région en cas de panne du service dans la AWS région. Pour plus d'informations, consultez [la section Gestion du AWS STS dans une AWS région](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_enable-regions.html) dans le guide de l'utilisateur IAM. + Un cluster existant. Si vous n’en avez pas, vous pouvez en créer un à l’aide de l’un des guides disponibles dans [Mise en route avec Amazon EKS](getting-started.md). + Un fournisseur IAM OIDC existant pour votre cluster. Pour de plus amples informations, veuillez consulter [Créer un fournisseur d'identité OIDC IAM pour votre cluster](enable-iam-roles-for-service-accounts.md). + Un compte de service Kubernetes existant configuré pour être utilisé avec la fonction [Amazon EKS IAM pour les comptes de service](iam-roles-for-service-accounts.md). Les exemples suivants utilisent tous le compte de service Kubernetes aws-node utilisé par le plug-in [Amazon VPC CNI](cni-iam-role.md). Vous pouvez les {{example values}} remplacer par vos propres comptes de service, pods, espaces de noms et autres ressources. 1. Sélectionnez un pod qui utilise un compte de service dont vous souhaitez modifier le point de terminaison. Déterminez AWS dans quelle région fonctionne le pod. {{aws-node-6mfgv}}Remplacez-le par le nom de votre Pod et {{kube-system}} par l'espace de noms de votre Pod. ``` kubectl describe pod aws-node-6mfgv -n kube-system |grep Node: ``` L'exemple qui suit illustre un résultat. ``` ip-192-168-79-166.us-west-2/192.168.79.166 ``` Dans la sortie précédente, le Pod s'exécute sur un nœud de la région us-west-2. AWS 1. Déterminez le type de point de terminaison utilisé par le compte de service du pod. ``` kubectl describe pod aws-node-6mfgv -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS ``` L'exemple qui suit illustre un résultat. ``` AWS_STS_REGIONAL_ENDPOINTS: regional ``` Si le point de terminaison actuel est international, alors `global` est renvoyé en sortie. Si aucune sortie n'est renvoyée, le type de point de terminaison par défaut est en cours d'utilisation et n'a pas été remplacé. 1. Si la version de votre cluster ou celle de votre plateforme est identique ou ultérieure à celles répertoriées dans le tableau, vous pouvez modifier le type de point de terminaison utilisé par votre compte de service pour le faire passer du type par défaut à un type différent à l'aide de l'une des commandes suivantes. Remplacez {{aws-node}} par le nom de votre compte de service et {{kube-system}} par l'espace de noms de votre compte de service. + Si votre type de point de terminaison par défaut ou actuel est international et que vous souhaitez le remplacer par régional : ``` kubectl annotate serviceaccount -n kube-system aws-node eks.amazonaws.com/sts-regional-endpoints=true ``` Si vous utilisez des [rôles IAM pour les comptes de service](iam-roles-for-service-accounts.md) afin de générer des URL S3 pré-signées dans votre application exécutée dans les conteneurs Pods, le format de l’URL pour les points de terminaison régionaux est similaire à l’exemple suivant : ``` https://bucket.s3.us-west-2.amazonaws.com/path?...&X-Amz-Credential=your-access-key-id/date/us-west-2/s3/aws4_request&... ``` + Si votre type de point de terminaison par défaut ou actuel est régional et que vous souhaitez le remplacer par international : ``` kubectl annotate serviceaccount -n kube-system aws-node eks.amazonaws.com/sts-regional-endpoints=false ``` Si votre application envoie explicitement des demandes aux points de terminaison mondiaux AWS STS et que vous ne remplacez pas le comportement par défaut consistant à utiliser des points de terminaison régionaux dans les clusters Amazon EKS, les demandes échoueront avec une erreur. Pour de plus amples informations, veuillez consulter [Les conteneurs Pod reçoivent l'erreur suivante : `An error occurred (SignatureDoesNotMatch) when calling the GetCallerIdentity operation: Credential should be scoped to a valid region`](security-iam-troubleshoot.md#security-iam-troubleshoot-wrong-sts-endpoint). Si vous utilisez des [rôles IAM pour les comptes de service](iam-roles-for-service-accounts.md) afin de générer des URL S3 pré-signées dans votre application exécutée dans les conteneurs Pods, le format de l’URL pour les points de terminaison globaux est similaire à l’exemple suivant : ``` https://bucket.s3.amazonaws.com/path?...&X-Amz-Credential=your-access-key-id/date/us-west-2/s3/aws4_request&... ``` Si vous disposez d'une automatisation qui attend l'URL pré-signée dans un certain format ou si votre application ou les dépendances en aval qui utilisent des URL pré-signées ont des attentes pour la AWS région ciblée, apportez les modifications nécessaires pour utiliser le point de terminaison STS approprié AWS . 1. Supprimez et recréez tous les pods existants associés au compte de service pour appliquer les variables d’environnement des informations d’identification. Le hook web en mutation ne les applique pas aux qui sont déjà en cours d’exécution. Vous pouvez remplacer {{Pods}}{{kube-system}}, et par {{-l k8s-app=aws-node}} les informations relatives aux pods pour lesquels vous avez défini votre annotation. ``` kubectl delete Pods -n kube-system -l k8s-app=aws-node ``` 1. Vérifiez que tous les pods ont redémarré. ``` kubectl get Pods -n kube-system -l k8s-app=aws-node ``` 1. Affichez les variables d’environnement pour l’un des pods. Vérifiez que la valeur `AWS_STS_REGIONAL_ENDPOINTS` est celle que vous avez définie à une étape précédente. ``` kubectl describe pod aws-node-kzbtr -n kube-system |grep AWS_STS_REGIONAL_ENDPOINTS ``` L'exemple qui suit illustre un résultat. ``` AWS_STS_REGIONAL_ENDPOINTS=regional ```