jetstack/version-checker

does not seem to support kube2iam for ECR access

Open

#66 geöffnet am 7. Dez. 2020

Auf GitHub ansehen
 (3 Kommentare) (4 Reaktionen) (0 zugewiesene Personen)Go (80 Forks)auto 404
enhancementhelp wanted

Repository-Metriken

Stars
 (771 Stars)
PR-Merge-Metriken
 (Durchschn. Merge 1m) (2 gemergte PRs in 30 T)

Beschreibung

Hello,

I have a K8S cluster deployed in AWS with kubeadm. Some of my images comes from the ECR of the K8S AWS account and I wanted to use kube2iam annotation on version-checker pod to allow it to check for image tags but it does not seem to work :

version-checker pod :

apiVersion: v1
kind: Pod
metadata:
  annotations:
    enable.version-checker.io/version-checker: "true"
    iam.amazonaws.com/role: ecr-read-profile
[...]

version-checker logs :

time="2020-12-07T14:47:39Z" level=error msg="error syncing 'checkoutservice-78b576896d-9pk6z/microdemo': failed to sync pod checkoutservice-78b576896d-9pk6z/microdemo: failed to check container image \"server\": failed to get tags from remote registry for \"<AWS_ACCOUNT_ID>.dkr.ecr.eu-central-1.amazonaws.com/google-samples/microservices-demo/checkoutservice\": failed to describe images: EmptyStaticCreds: static credentials are empty, requeuing" module=controller

Does the ECR authent only work with static credentials ? Would it be possible to support kube2iam to avoid giving the pod static key and password ? Thanks

Contributor Guide

Research-Richtung
Untersuche die ECR Authentifizierungslogik in der version checker Codebasis, wahrscheinlich in den Controller oder ECR Client Paketen. Das Problem meldet, dass statische Anmeldeinformationen verwendet werden; erforsche, wie dynamisch eine IAM Rolle über kube2iam übernommen werden kann (z. B. mit AWS SDKs AssumeRole oder EC2 Metadaten). Suche nach vorhandenen Anmeldeinformationsanbietern oder der Funktion, die den ECR Client erstellt. Keine verknüpften PRs; Anleitung des Maintainers fehlt.
Tech Stack
gokubernetesaws
Domain
authenticationclouddevops
Issue Type
Funktion
SchwierigkeitGeschätzte Implementierungsschwierigkeit für neue Contributors, von 1 für sehr kleine Änderungen bis 5 für Expertenarbeit.
3
Geschätzte ZeitEin grober Zeitrahmen, um zu recherchieren, zu implementieren, zu testen und einen Pull Request vorzubereiten.
3-5 Tage
AktivitätsstatusWie verfügbar das Issue gerade wirkt: frisch, aktiv, stale, blockiert oder wartet auf Maintainer-Input.
Veraltet
KlarheitWie klar das Issue die erwartete Änderung, Akzeptanzkriterien und den nächsten Schritt erklärt.
Klar
Voraussetzungen
Go programmingKubernetes IAMkube2iam concept
EinsteigerfreundlichkeitEin Score von 1 bis 100, der schätzt, wie zugänglich dieses Issue für First-Time Contributors ist.
50