EKS Pod Identity 완벽 가이드: IRSA를 대체하는 새로운 방식

EKS Pod Identity는 2023년 11월에 출시된 Amazon EKS의 새로운 기능으로, Kubernetes 파드에 AWS IAM 권한을 더욱 안전하고 효율적으로 부여할 수 있게 해주는 솔루션입니다.

주요 특징

보안 강화

• IAM 자격 증명을 파드 내부에 저장할 필요가 없음
• 더 짧은 수명의 토큰 사용
• OIDC 프로바이더 의존성 제거로 보안 위험 감소

성능 및 확장성

• 효율적인 토큰 관리 시스템
• 노드당 토큰 수 제한 없음
• AWS STS 서비스를 통한 빠른 토큰 검증

IRSA와의 주요 차이점

특징	IRSA	EKS Pod Identity
설정 복잡도	OIDC 프로바이더 설정 필요	간단한 설정
토큰 관리	노드당 제한 있음	제한 없음
리전 종속성	있음	없음
보안 메커니즘	OIDC 기반	AWS STS 기반

구현 가이드

1. 필요한 리소스 생성 순서

# 1. IAM 역할 생성
# 2. Kubernetes ServiceAccount 생성
# 3. Pod Identity Association 생성
# 4. Pod 배포

2. Pod 배포 예시

apiVersion: v1
kind: Pod
metadata:
  name: my-pod
  annotations:
    eks.amazonaws.com/pod-identity-association: my-association-name
spec:
  serviceAccountName: my-service-account
  containers:
  - name: my-container
    image: my-image

3. 환경 변수 설정 예시

env:
  - name: AWS_STS_REGIONAL_ENDPOINTS
    value: regional
  - name: AWS_ROLE_ARN
    value: arn:aws:iam::ACCOUNT_ID:role/my-iam-role
  - name: AWS_WEB_IDENTITY_TOKEN_FILE
    value: /var/run/secrets/aws-identity/token

장점

1. 확장성 개선
   • 대규모 클러스터에서 더 나은 성능
   • 토큰 수 제한 없음
2. 간소화된 관리
   • OIDC 프로바이더 구성 불필요
   • 간단한 초기 설정
   • 쉬운 유지 보수
3. 향상된 기능
   • 더 상세한 CloudTrail 로깅
   • 개선된 감사 기능
   • 멀티 리전 지원

마무리

EKS Pod Identity는 IRSA의 한계를 극복하고 더 나은 확장성, 보안, 관리 용이성을 제공합니다. 특히 대규모 환경이나 높은 보안 요구사항이 있는 환경에서 더욱 효과적인 선택이 될 수 있습니다.