EKSに対して何もできなくなってしまいました

Question

こちらの質問の解決を試行錯誤している中で、
aws-authにeks管理ロールへの権限を記載し、ClusterRoleBindingを適用、その後解決しなかったため、該当のClusterRoleBindingを削除したところ、CLI, マネージメントコンソール上のすべてEKSに対する参照権限すらなくなってしまい、現状、何も操作が出来ない状態となってしまい途方に暮れています。
なにか解決手段はありますでしょうか、、

行ってしまった内容

kubectl edit -n kube-system configmap/aws-auth
//mapRoleに以下を追記
    - rolearn: arn:aws:iam::999999999999:role/my-eks-role
      username: eksManager
      groups:
      - admin-group

//以下のadmin-binding.yamlを作成し
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: cluster-admin
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: cluster-admin
subjects:
- apiGroup: rbac.authorization.k8s.io
  kind: Group
  name: admin-group

// apply
kubectl apply -f admin-binding.yaml

// eksアップデートの問題が解決しなかったため削除
kubectl delete -f admin-binding.yaml 

発生しているエラー

// aws-authを再度書き換えようとしたとき
kubectl edit -n kube-system configmap/aws-auth                                          
Error from server (Forbidden): configmaps "aws-auth" is forbidden: User "eksManager" cannot get resource "configmaps" in API group "" in the namespace "kube-system"

// 参照系
kubectl get pod                                                                                             
Error from server (Forbidden): pods is forbidden: User "eksManager" cannot list resource "pods" in API group "" in the namespace "default"

Answer 1

初回にEKSクラスタを作成した際に利用したAWSのユーザーアカウントはaws-authとは別で強い権限を持っているはずなのでこちらのユーザーでaws-authの復旧作業など一度試してみたら良いかもしれません

Comments

[pen_ari]

思い当たるロールが2つあって試してみたんですが
どちらも同様のエラー（user名は””)でした

[mfykmn]

上記を試す際に、初期構築で使用したAWSアカウントの情報を使えていますか？アカウントのIDと紐付いてるはずなので、同じロールを別のアカウントに紐づけるなどはだめなはずです

[pen_ari]

アカウントAからアカウントBのロールにスイッチロールし、アカウントB上にEKSクラスターを作成しているのですが、
アカウントAの情報でアクセスを試みるべきということでしょうか？

[mfykmn]

すみません、回答でAWSアカウントって書いていたのですが少し分かりづらい書き方になっていたかもしれないです
AWSアカウント→AWSのユーザーアカウント

クラスターの初期構築、つまり`eksctl create cluster`コマンドを叩いた際に利用していたAWS profileを利用してみてください
こちらのAWS Profileのuserがcluster内では権限的に一番強い扱いになっているので、権限だけで問題が発生している場合は参照などできるはずです

ただ、こちらのスーパーユーザーの権限がもし更新できてそれをしてしまっていた場合は大分厄介なことになってるかと思います(たぶん自分たちでの解決は厳しくAWSに相談したほうが良いかと思います)

参考: https://yomon.hatenablog.com/entry/2020/11/eks_system_masters

[pen_ari]

初期構築に使用したprofileはロールであり、
アカウントAのユーザーからアカウントBのロールにassumeして作成を実行していました
.aws/credentialsにアカウントAのユーザーのCLIキー
.aws/configにアカウントBのロールでsource_profileにアカウントAのユーザーのプロファイルを設定といった具合です
やはりプロファイルをアカウントBのロールに設定した上で試みても同様のエラーのためダメなのかもしれません