참고1 : https://behonestar.tistory.com/242

참고2 : https://www.stacksimplify.com/aws-eks/aws-devops-eks/learn-to-master-devops-on-aws-eks-using-aws-codecommit-codebuild-codepipeline/

aws_iam.drawio

codebuild에서 eks에 배포를 하려고 했는데, 계속 아래와 같은 오류가 나더라.

[Container] 2022/01/05 05:33:13 Running command CREDENTIALS=$(aws sts assume-role --role-arn arn:aws:iam::1234567890:role/EksCodeBuildKubectlRole --role-session-name codebuild-kubectl --duration-seconds 900)

An error occurred (AccessDenied) when calling the AssumeRole operation: User: arn:aws:sts::1234567890:assumed-role/CODEBUILD-ROLE/AWSCodeBuild-9677a46f-964b-40b0-a3ed-9caa4336d32f is not authorized to perform: sts:AssumeRole on resource: arn:aws:iam::1234567890:role/EksCodeBuildKubectlRole

[Container] 2022/01/05 05:33:18 Command did not exit successfully CREDENTIALS=$(aws sts assume-role --role-arn arn:aws:iam::1234567890:role/EksCodeBuildKubectlRole --role-session-name codebuild-kubectl --duration-seconds 900) exit status 255
[Container] 2022/01/05 05:33:18 Phase complete: BUILD State: FAILED
[Container] 2022/01/05 05:33:18 Phase context status code: COMMAND_EXECUTION_ERROR Message: Error while executing command: CREDENTIALS=$(aws sts assume-role --role-arn arn:aws:iam::1234567890:role/EksCodeBuildKubectlRole --role-session-name codebuild-kubectl --duration-seconds 900). Reason: exit status 255

도대체 시키는 대로 다 했는데! 왜! EksCodeBuildKubectlRole을 가져오지 못하는지 불만이었다.

그래서 정리를 한 번 해보려고 한다.

무언가를 실행할 때 `역할`을 기준으로 동작하는 것 같으며, 이 역할은 여러 `정책(사용권한)`을 가질 수 있다.

아래는 나의 경우이며, 이는 역할 위임에 관한 이야기다.

우선 나의 경우에는 CodeBuild를 CODEBUILD-ROLE이라는 역할로 실행하도록 시켰고, 이 롤을 가지고 EksCodeBuildKubectlRole을 사용할 수 있도록 요청했는데,
CODEBUILD-ROLE은 EksCodeBuildKubectlRole 입장에서 신뢰할 수 없다고 판단했나보다.

우선 전체 그림을 보자.

최종적으로는 위와 같은 형상이 되어야 하며, 특히 신뢰관계에 보면 root 만으로 동작하지 않아서 CODEBUILD-ROLE을 별도로 추가해 주었다.

위와 같은 환경설정을 하려면 다음과 같이 진행하여야 한다.

 
# Set Trust Policy
TRUST="{ \"Version\": \"2012-10-17\", \"Statement\": [ { \"Effect\": \"Allow\", \"Principal\": { \"AWS\": \"arn:aws:iam::${ACCOUNT_ID}:root\" }, \"Action\": \"sts:AssumeRole\" } ] }"

# Verify inside Trust policy, your account id got replacd
echo $TRUST

# Create IAM Role for CodeBuild to Interact with EKS
aws iam create-role --role-name EksCodeBuildKubectlRole --assume-role-policy-document "$TRUST" --output text --query 'Role.Arn'

# Define Inline Policy with eks Describe permission in a file iam-eks-describe-policy
echo '{ "Version": "2012-10-17", "Statement": [ { "Effect": "Allow", "Action": "eks:*", "Resource": "*" } ] }' > /tmp/iam-eks-describe-policy

# Associate Inline Policy to our newly created IAM Role
aws iam put-role-policy --role-name EksCodeBuildKubectlRole --policy-name eks-describe --policy-document file:///tmp/iam-eks-describe-policy

# Verify the same on Management Console

# Verify what is present in aws-auth configmap before change
kubectl get configmap aws-auth -o yaml -n kube-system

# Set ROLE value
eksctl create iamidentitymapping \
  --cluster ${EKS_CLUSTER_NAME} \
  --arn arn:aws:iam::${ACCOUNT_ID}:role/EksCodeBuildKubectlRole \
  --username admin \
  --group system:masters

# Verify what is updated in aws-auth configmap after change
# diff command before
kubectl describe configmap -n kube-system aws-auth

위 까지 진행했으면, EksCodeBuildKubectlRole 의 신뢰관계 수정과 CODEBUILD-ROLE의 생성만 남았다.

신뢰관계 수정을 위해서는 우선 CODEBUILD-ROLE을 생성해야 한다.

Create role을 누른 뒤 CodeBuild를 선택한다.

다음다음 누르고 이름을 `CODEBUILD-ROLE` 로 적고 생성한다.

수정하러 간 뒤 Permissions policies 메뉴에서 Add inline policy를 누른 뒤 JSON메뉴에 아래와 같이 붙여 넣는다.

이름은 나는 `CODEBUILD-POLICY`로 하였지만 inline 정책이라 별 상관 없다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor1",
      "Effect": "Allow",
      "Action": ["cloudtrail:LookupEvents", "ecr:*", "eks:*"],
      "Resource": "*"
    }
  ]
}

 

마지막으로 역할에서 `EksCodeBuildKubectlRole`를 찾은 후 신뢰관계 편집에서 아래와 같이 `CODEBUILD-ROLE`을 추가해준다.

아직도 왜 계정 root만으로는 동작을 하지 않는지 잘 모르겠다.

{
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "AWS": [
            "arn:aws:iam::1234567890:root",
            "arn:aws:iam::1234567890:role/CODEBUILD-ROLE"
          ]
        },
        "Action": "sts:AssumeRole",
        "Condition": {}
      }
    ]
  }

이제 환경설정은 끝났다.

buildspec.yml

이제 CodeBuild에서 사용할 설정파일이다.

다른 것 다 빼고, 테스트로 아래의 command를 호출했을 때 이상이 없으면 정상적으로 배포된 것을 확인할 수 있다.

version: 0.2
phases:
  build:
    commands:
      - echo Get eks credentials
      - export KUBECONFIG=$HOME/.kube/config
      - CREDENTIALS=$(aws sts assume-role --role-arn arn:aws:iam::1234567890:role/EksCodeBuildKubectlRole --role-session-name codebuild-kubectl --duration-seconds 900)
      - export AWS_ACCESS_KEY_ID="$(echo ${CREDENTIALS} | jq -r '.Credentials.AccessKeyId')"
      - export AWS_SECRET_ACCESS_KEY="$(echo ${CREDENTIALS} | jq -r '.Credentials.SecretAccessKey')"
      - export AWS_SESSION_TOKEN="$(echo ${CREDENTIALS} | jq -r '.Credentials.SessionToken')"
      - export AWS_EXPIRATION=$(echo ${CREDENTIALS} | jq -r '.Credentials.Expiration')
      - aws eks update-kubeconfig --name ${EKS_CLUSTER_NAME}
      - echo rollout deployment ${DEPLOYMENT_NAME}
      - kubectl rollout restart deployment/${DEPLOYMENT_NAME}

 

[AWS] IAM 알고가자. feat. codebuild, eks