Vorbereitung der Anmeldeinformationen für Hybridknoten

Ersetzen Sie ROLE_NAME durch den Namen Ihrer IAM-Rolle für Hybridknoten. Standardmäßig verwendet AmazonEKSHybridNodesRole die CloudFormation Vorlage den Namen der Rolle, die sie erstellt, wenn Sie keinen Namen angeben.

TAG_KEYErsetzen Sie ihn durch den AWS SSM-Ressourcen-Tag-Schlüssel, den Sie bei der Erstellung Ihrer AWS SSM-Hybridaktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der von AWS SSM verwalteten Instances aufheben darf, die mit Ihrer SSM-Hybridaktivierung verknüpft sind. ssm:DeregisterManagedInstance AWS In der Vorlage ist die Standardeinstellung CloudFormation . TAG_KEY EKSClusterARN

TAG_VALUEErsetzen Sie ihn durch den AWS SSM-Ressourcen-Tag-Wert, den Sie bei der Erstellung Ihrer AWS SSM-Hybridaktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die ssm:DeregisterManagedInstance IAM-Rolle Hybrid Nodes die Registrierung der von AWS SSM verwalteten Instances aufheben darf, die Ihrer SSM-Hybridaktivierung zugeordnet sind. AWS Wenn Sie den Standardwert TAG_KEY von EKSClusterARN verwenden, übergeben Sie Ihren EKS-Cluster-ARN als TAG_VALUE. EKS-Cluster-ARNs haben das Format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Um eine AWS private CA-Ressource zu verwenden, öffnen Sie die AWS Private Certificate Authority-Konsole. Befolgen Sie die Anweisungen im Benutzerhandbuch der privaten AWS -Zertifizierungsstelle.

Um eine externe Zertifizierungsstelle zu verwenden, befolgen Sie die Anweisungen der Zertifizierungsstelle. Die Zertifizierungsstelle geben Sie in einem späteren Schritt an.

Von öffentlichen Zertifizierungsstellen ausgestellte Zertifikate können nicht als Trust Anchor verwendet werden.

Ersetzen Sie ROLE_NAME durch den Namen Ihrer IAM-Rolle für Hybridknoten. Standardmäßig verwendet AmazonEKSHybridNodesRole die CloudFormation Vorlage den Namen der Rolle, die sie erstellt, wenn Sie keinen Namen angeben.

Ersetzen Sie CERT_ATTRIBUTE durch das rechnerspezifische Zertifikatsattribut, das Ihren Host eindeutig identifiziert. Das von Ihnen verwendete Zertifikatsattribut muss mit dem nodeName übereinstimmen, den Sie für die nodeadm-Konfiguration verwenden, wenn Sie Ihrem Cluster Hybridknoten zuordnen. Weitere Informationen hierzu finden Sie unter Nodeadm-Referenz für Hybridknoten. In der CloudFormation Vorlage wird standardmäßig der ${aws:PrincipalTag/x509Subject/CN} als verwendetCERT_ATTRIBUTE, was dem CN-Feld Ihrer maschinenbezogenen Zertifikate entspricht. Alternativ können Sie $(aws:PrincipalTag/x509SAN/Name/CN} als CERT_ATTRIBUTE übergeben.

Ersetzen Sie CA_CERT_BODY durch den Zertifikatstext Ihrer Zertifizierungsstelle ohne Zeilenumbrüche. Das CA_CERT_BODY müssen im Privacy Enhanced Mail (PEM)-Format vorliegen. Wenn Sie ein CA-Zertifikat im PEM-Format haben, entfernen Sie die Zeilenumbrüche und die Zeilen BEGIN CERTIFICATE und END CERTIFICATE, bevor Sie den CA-Zertifikatstext in Ihre cfn-iamra-parameters.json-Datei einfügen.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

AWS_REGIONErsetzen Sie Ihre AWS SSM-Hybridaktivierung durch die AWS Region.

Ersetzen Sie es AWS_ACCOUNT_ID durch Ihre AWS Konto-ID.

TAG_KEYErsetzen Sie ihn durch den AWS SSM-Ressourcen-Tag-Schlüssel, den Sie bei der Erstellung Ihrer AWS SSM-Hybridaktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der von AWS SSM verwalteten Instances aufheben darf, die mit Ihrer SSM-Hybridaktivierung verknüpft sind. ssm:DeregisterManagedInstance AWS In der Vorlage ist die Standardeinstellung CloudFormation . TAG_KEY EKSClusterARN

TAG_VALUEErsetzen Sie ihn durch den AWS SSM-Ressourcen-Tag-Wert, den Sie bei der Erstellung Ihrer AWS SSM-Hybridaktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die ssm:DeregisterManagedInstance IAM-Rolle Hybrid Nodes die Registrierung der von AWS SSM verwalteten Instances aufheben darf, die Ihrer SSM-Hybridaktivierung zugeordnet sind. AWS Wenn Sie den Standardwert TAG_KEY von EKSClusterARN verwenden, übergeben Sie Ihren EKS-Cluster-ARN als TAG_VALUE. EKS-Cluster-ARNs haben das Format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtern Sie die Aktionen nach der Aktion DescribeCluster Lesen DescribeCluster und wählen Sie sie aus.

Wählen Sie Weiter aus.

Geben Sie einen Richtlinien-Namen ein, beispielsweise EKSDescribeClusterPolicy.

Wählen Sie Richtlinie erstellen aus.

Wählen Sie Weiter aus.

Geben Sie einen Richtlinien-Namen für Ihre Richtlinie ein, beispielsweise EKSHybridSSMPolicy.

Wählen Sie Richtlinie erstellen aus.

Wählen Sie unter Abschnittstyp Vertrauenswürdiger Entität die Option Benutzerdefinierte Vertrauensrichtlinie aus. Fügen Sie Folgendes in den Editor für benutzerdefinierte Vertrauensrichtlinien ein. AWS_REGIONErsetzen Sie es durch die AWS Region Ihrer AWS SSM-Hybridaktivierung und durch Ihre AWS_ACCOUNT_ID AWS Konto-ID.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

Wählen Sie Weiter aus.

Geben Sie im Feld Filterrichtlinien EKSDescribeClusterPolicy oder den Namen der oben erstellten Richtlinie ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben dem Namen Ihrer Richtlinie.

Geben Sie im Feld Filterrichtlinien EKSHybridSSMPolicy oder den Namen der oben erstellten Richtlinie ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben dem Namen Ihrer Richtlinie.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEC2ContainerRegistryPullOnly ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben AmazonEC2ContainerRegistryPullOnly.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonSSMManagedInstanceCore ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben AmazonSSMManagedInstanceCore.

Wählen Sie Weiter aus.

Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKSHybridNodesRole.

Ersetzen Sie unter Description (Beschreibung) den aktuellen Text durch beschreibenden Text wie beispielsweise Amazon EKS - Hybrid Nodes role.

Wählen Sie Rolle erstellen aus.

Wählen Sie unter Abschnittstyp Vertrauenswürdiger Entität die Option Benutzerdefinierte Vertrauensrichtlinie aus. Fügen Sie Folgendes in den Editor für benutzerdefinierte Vertrauensrichtlinien ein. Ersetzen Sie TRUST_ANCHOR ARN durch die ARN des Trust Anchors, den Sie in den Einrichtung AWS IAM Roles Anywhere-Schritten erstellt haben. Die Bedingung in dieser Vertrauensrichtlinie schränkt die Fähigkeit von AWS IAM Roles Anywhere ein, die IAM-Rolle für Hybridknoten anzunehmen und temporäre IAM-Anmeldeinformationen nur dann auszutauschen, wenn der Name der Rollensitzung mit dem CN im x509-Zertifikat übereinstimmt, das auf Ihren Hybridknoten installiert ist. Alternativ können Sie auch andere Zertifikatsattribute verwenden, um Ihren Knoten eindeutig zu identifizieren. Das Zertifikatattribut, das Sie in der Vertrauensrichtlinie verwenden, muss dem Knotennamen entsprechen, den Sie in Ihrer nodeadm-Konfiguration festgelegt haben. Weitere Informationen hierzu finden Sie unter Nodeadm-Referenz für Hybridknoten.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

Wählen Sie Weiter aus.

Geben Sie im Feld Filterrichtlinien EKSDescribeClusterPolicy oder den Namen der oben erstellten Richtlinie ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben dem Namen Ihrer Richtlinie.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEC2ContainerRegistryPullOnly ein. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben AmazonEC2ContainerRegistryPullOnly.

Wählen Sie Weiter aus.

Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKSHybridNodesRole.

Ersetzen Sie unter Description (Beschreibung) den aktuellen Text durch beschreibenden Text wie beispielsweise Amazon EKS - Hybrid Nodes role.

Wählen Sie Rolle erstellen aus.