IRSA (IAM Roles for Service Accounts)

Définition

IRSA (IAM Roles for Service Accounts) est un mécanisme de sécurité d'Amazon EKS (Elastic Kubernetes Service) qui permet aux pods Kubernetes d'assumer des rôles AWS IAM sans utiliser de credentials statiques (clés d'accès AWS). Cette fonctionnalité, introduite en 2019, résout l'un des problèmes de sécurité les plus critiques dans les environnements Kubernetes sur AWS : la gestion des identités et des accès aux services AWS depuis les workloads conteneurisés. Le problème fondamental qu'IRSA résout est le suivant : les applications s'exécutant dans des pods Kubernetes ont souvent besoin d'accéder à des services AWS (S3, DynamoDB, SQS, RDS, etc.). Sans IRSA, les équipes utilisaient des clés d'accès AWS statiques (Access Key ID + Secret Access Key) stockées dans des Secrets Kubernetes ou des variables d'environnement — une approche présentant des risques majeurs : rotation manuelle laborieuse, exposition potentielle dans les logs ou les dumps mémoire, et impossibilité de limiter les permissions par pod. IRSA fonctionne via le mécanisme OpenID Connect (OIDC) : EKS expose un fournisseur d'identité OIDC associé au cluster. Quand un pod utilise un Service Account annoté avec l'ARN d'un rôle IAM, le Pod Identity Webhook (webhook d'admission Kubernetes) injecte automatiquement un token OIDC signé comme variable d'environnement (AWS_WEB_IDENTITY_TOKEN_FILE). Le AWS SDK utilise ce token pour appeler l'API STS AssumeRoleWithWebIdentity et obtenir des credentials temporaires (valides 1h par défaut) limités aux permissions du rôle IAM associé. Les avantages de sécurité d'IRSA sont considérables : élimination des credentials statiques à longue durée de vie, permissions limitées au minimum nécessaire par pod (principle of least privilege), rotation automatique des credentials temporaires, traçabilité complète dans CloudTrail (chaque appel d'API inclut le Service Account et le namespace Kubernetes), et impossibilité pour un pod compromis d'accéder aux credentials d'un autre pod. AWS EKS Pod Identity, lancé en 2023, simplifie encore la configuration d'IRSA en éliminant la nécessité de configurer manuellement le fournisseur OIDC et les trust policies IAM.