jetstack / jetstack/version-checker

does not seem to support kube2iam for ECR access

オープン
#66 コメント 3 件 リアクション 4 件 担当者 0 名 GitHub で見る
enhancement help wanted
主要言語
Go
スター
778
フォーク
82
平均マージ
2分
マージ済み PR(30日)
3

説明

Hello,

I have a K8S cluster deployed in AWS with kubeadm.
Some of my images comes from the ECR of the K8S AWS account and I wanted to use kube2iam annotation on version-checker pod to allow it to check for image tags but it does not seem to work :

version-checker pod :
```
apiVersion: v1
kind: Pod
metadata:
annotations:
enable.version-checker.io/version-checker: "true"
iam.amazonaws.com/role: ecr-read-profile
[...]
```

version-checker logs :
```
time="2020-12-07T14:47:39Z" level=error msg="error syncing 'checkoutservice-78b576896d-9pk6z/microdemo': failed to sync pod checkoutservice-78b576896d-9pk6z/microdemo: failed to check container image \"server\": failed to get tags from remote registry for \".dkr.ecr.eu-central-1.amazonaws.com/google-samples/microservices-demo/checkoutservice\": failed to describe images: EmptyStaticCreds: static credentials are empty, requeuing" module=controller
```

Does the ECR authent only work with static credentials ?
Would it be possible to support kube2iam to avoid giving the pod static key and password ?
Thanks

コントリビューションガイド

コントリビューションガイドを開く

調査の方向性

まず version-checker pod のマニフェストと記録された ECR 認証失敗を確認し、次にイメージタグのチェックで ECR 認証情報がどのように取得されるかを追跡します。そのフローを、issue に示されている kube2iam ロールアノテーションと比較します。pod が静的なキーではなく kube2iam が提供する認証情報を使用して ECR タグをチェックでき、その動作が適切なテストまたは再現によって検証されれば完了です。

索引モデルが issue の本文から書いたものです。

評価

技術スタック
aws, docker, go, kubernetes
領域
authentication, cloud, devops
issue の種類
機能追加
難易度
4/5
見積もり時間
3〜5日
活発さ
停滞
明瞭さ
おおむね明確
初心者へのやさしさ
28/100

新しい issue をメールで受け取る

初心者向けの GitHub issue を短くまとめたダイジェスト。