AWS在2026年8月24日宣布，Amazon EKS单个集群现在可以关联最多10个外部OpenID Connect身份提供方。企业不再需要把员工、承包商和CI/CD系统强制迁移到同一身份源，也不必为了连接多个提供方额外运行中间身份代理。
每个OIDC提供方可以独立设置发行者、客户端ID、用户名和用户组映射，现有AWS IAM认证仍会与它们并行工作。对共享Kubernetes平台来说，这项更新扩大了身份接入方式，也对映射冲突和权限边界提出了更明确的管理要求。
单集群OIDC上限提高到10个
过去一个集群只能直接关联较少的外部身份源时，平台团队往往需要先在企业身份层合并用户，或部署额外代理完成认证转换。组织收购、外包协作和多套自动化系统会让这种集中改造变得复杂。
现在每个EKS集群可以直接绑定最多10个OIDC提供方。员工继续使用企业身份平台，外部合作人员使用独立目录，CI/CD系统则保留机器身份来源，三者可以在同一集群中完成认证。
每个提供方独立管理意味着故障和变更范围更容易隔离。某个合作方更换证书或客户端配置时，不必同步改动其他用户群体的登录链路。
现有IAM认证不会被新配置替代
AWS说明，集群原有的IAM认证会继续工作，并与所有已关联的OIDC提供方并行存在。管理员可以保留运维角色和紧急访问方式，再逐步接入外部用户。
OIDC解决的是用户或系统如何证明身份，进入集群后能够执行什么操作仍由Kubernetes RBAC等授权机制决定。身份提供方关联成功，并不代表其中所有用户自动获得集群权限。
认证来源变多后，授权规则反而要更精确。平台团队需要为不同用户群映射清晰的用户名与组，并避免把多个身份源都指向同一高权限组。
每个提供方拥有独立的映射规则
关联配置至少需要唯一名称、可从互联网访问的Issuer URL和代表受众的Client ID。还可以指定Username claim、Groups claim、用户名与组前缀，以及必须出现在ID Token中的Required claims。
前缀用于防止不同身份源产生同名用户或用户组。例如两个提供方都存在engineering组时，加入独立前缀可以避免它们在Kubernetes中被错误识别为同一个授权主体。
AWS明确要求用户名或组前缀不能包含system:。Kubernetes会把这类前缀用于内置身份与系统组，外部提供方不应创建可能与保留名称混淆的映射。
控制台、CLI和API都能完成关联
管理员可以在EKS控制台的Access页面关联OIDC身份提供方，也可以通过eksctl、AWS CLI、SDK或AssociateIdentityProviderConfig API完成自动化配置。
基础设施即代码场景应保存发行者地址、客户端ID、claim映射和前缀规则，但不要把不必要的令牌或客户端秘密写入版本库。OIDC验证依赖发行者公开元数据，Issuer URL必须保持稳定并能够被服务访问。
IAM策略还可以限制谁有权关联新的身份提供方，并通过eks:issuerUrl与eks:clientId条件约束允许的发行者和客户端。这样可以防止管理员误把未批准的身份系统接入生产集群。
多身份源上线前要先排查名称冲突
接入前应列出每个提供方的用户claim、组claim、令牌受众、前缀和预期RBAC角色，再使用低权限测试账号验证。只测试管理员账号容易掩盖普通用户映射错误。
上线后需要分别验证令牌过期、用户停用、组变更和身份源不可用时的行为。审计日志中应能区分真实用户来源，避免不同提供方最终呈现为难以追踪的相同用户名。
这项能力在所有提供Amazon EKS的AWS区域开放，并且不额外收费。实际成本仍来自集群、日志和其他AWS资源，身份源本身的许可与维护费用也需要单独计算。
