Speichern Sie Kubernetes-Volumes bei Amazon EBS

Kopieren Sie den folgenden Code und fügen Sie diesen in eine neue kms-key-for-encryption-on-ebs.json-Datei ein. Ersetzen custom-key-arn mit dem benutzerdefinierten KMSSchlüssel ARN.

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Erstellen Sie die Richtlinie. Du kannst ändern KMS_Key_For_Encryption_On_EBS_Policy zu einem anderen Namen. In diesem Fall ändern Sie sie auch in den späteren Schritten.

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

Hängen Sie die IAM Richtlinie mit dem folgenden Befehl an die Rolle an. Ersetzen 111122223333 mit Ihrer Konto-ID. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durcharn:aws:. arn:aws-us-gov:

aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole

Wählen Sie im Abschnitt Trusted entity type (Typ der vertrauenswürdigen Entität) die Option Web identity (Web-Identität) aus.

Wählen Sie für Identity Provider OpenID Connect Anbieter URL für Ihren Cluster (wie unter Übersicht in Amazon angezeigtEKS).

Wählen Sie für Audience (Zielgruppe) sts.amazonaws.com.

Wählen Sie Weiter.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEBSCSIDriverPolicy ein.

Aktivieren Sie das Kontrollkästchen links neben der AmazonEBSCSIDriverPolicy, die bei der Suche zurückgegeben wurde.

Wählen Sie Weiter.

Geben Sie unter Rollenname einen eindeutigen Namen für Ihre Rolle ein, z. B. AmazonEKS_EBS_CSI_DriverRole.

Fügen Sie der Rolle unter Tags hinzufügen (optional) Metadaten hinzu, indem Sie Tags als Schlüssel-Wert-Paare anfügen. Weitere Informationen zur Verwendung von Tags in IAM finden Sie im IAMBenutzerhandbuch unter IAMRessourcen taggen.

Wählen Sie Create role (Rolle erstellen) aus.

Wählen Sie im linken Navigationsbereich die Option Policies aus.

Wählen Sie auf der Seite Policies (Richtlinien) die Option Create a policy (Richtlinie erstellen).

Wählen Sie auf der Seite „Richtlinie erstellen JSON“ die Registerkarte aus.

Kopieren Sie den folgenden Code und fügen Sie ihn in den Editor ein. Ersetzen Sie custom-key-arn mit dem benutzerdefinierten KMSSchlüssel ARN.

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Wählen Sie Next: Markierungen (Weiter: Markierungen).

Wählen Sie auf der Seite Add Tags (optional) (Tags hinzufügen (optional)) die Option Next: Review (Weiter: Prüfen).

Geben Sie unter Name einen eindeutigen Namen für Ihre Richtlinie ein (z. B. KMS_Key_For_Encryption_On_EBS_Policy).

Wählen Sie Create Policy (Richtlinie erstellen) aus.

Wählen Sie im linken Navigationsbereich Roles aus.

Wählen Sie das Symbol AmazonEKS_EBS_CSI_DriverRole in der Konsole, um es zur Bearbeitung zu öffnen.

Wählen Sie in der Dropdown-Liste Add permissions (Berechtigungen hinzufügen) Attach policies (Richtlinien hinzufügen) aus.

Geben Sie im Feld Richtlinien filtern Folgendes ein KMS_Key_For_Encryption_On_EBS_Policy.

Aktivieren Sie das Kontrollkästchen links neben KMS_Key_For_Encryption_On_EBS_Policy das wurde bei der Suche zurückgegeben.

Wählen Sie Richtlinien anfügen.

Kopieren Sie den folgenden Inhalt in eine Datei mit dem Namenaws-ebs-csi-driver-trust-policy.json. Ersetzen 111122223333 mit Ihrer Konto-ID. Ersetzen EXAMPLED539D4633E53DE1B71EXAMPLE and region-code mit den im vorherigen Schritt zurückgegebenen Werten. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durcharn:aws:. arn:aws-us-gov:

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
            }
          }
        }
      ]
    }

Erstellen Sie die -Rolle. Sie können ändern AmazonEKS_EBS_CSI_DriverRole zu einem anderen Namen. Wenn Sie es ändern, ändern Sie es in späteren Schritten.

aws iam create-role \
      --role-name AmazonEKS_EBS_CSI_DriverRole \
      --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"

Kopieren Sie den folgenden Code und fügen Sie diesen in eine neue kms-key-for-encryption-on-ebs.json-Datei ein. Ersetzen custom-key-arn mit dem benutzerdefinierten KMSSchlüssel ARN.

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

Erstellen Sie die Richtlinie. Du kannst ändern KMS_Key_For_Encryption_On_EBS_Policy zu einem anderen Namen. In diesem Fall ändern Sie sie auch in den späteren Schritten.

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

Hängen Sie die IAM Richtlinie mit dem folgenden Befehl an die Rolle an. Ersetzen 111122223333 mit Ihrer Konto-ID. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durcharn:aws:. arn:aws-us-gov:

aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole