Anmeldedaten für Hybridknoten vorbereiten

ROLE_NAMEErsetzen Sie es durch den Namen für Ihre Hybrid Nodes IAM-Rolle. Standardmäßig verwendet AmazonEKSHybridNodesRole die CloudFormation Vorlage den Namen der Rolle, die sie erstellt, wenn Sie keinen Namen angeben.

TAG_KEYErsetzen Sie es durch den AWS SSM-Ressourcen-Tag-Schlüssel, den Sie bei der Erstellung Ihrer AWS SSM-Hybrid-Aktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der mit AWS SSM verwalteten Instanzen, die mit Ihrer SSM-Hybrid-Aktivierung verknüpft sind, aufheben darf. ssm:DeregisterManagedInstance AWS In der Vorlage ist der Standardwert CloudFormation . TAG_KEY EKSClusterARN

TAG_VALUEErsetzen Sie es durch den Wert des AWS SSM-Ressourcen-Tags, den Sie bei der Erstellung Ihrer AWS SSM-Hybrid-Aktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der mit AWS SSM verwalteten Instanzen, die mit Ihrer SSM-Hybrid-Aktivierung verknüpft sind, aufheben darf. ssm:DeregisterManagedInstance AWS Wenn Sie den Standard TAG_KEY von verwendenEKSClusterARN, übergeben Sie Ihren EKS-Cluster-ARN alsTAG_VALUE. EKS-Cluster ARNs haben das Formatarn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Um eine AWS private CA-Ressource zu verwenden, öffnen Sie die AWS Private Certificate Authority-Konsole. Folgen Sie den Anweisungen im AWS Private CA-Benutzerhandbuch.

Um eine externe Zertifizierungsstelle zu verwenden, folgen Sie den Anweisungen der Zertifizierungsstelle. Sie geben die Zertifizierungsstelle in einem späteren Schritt an.

Öffentlich ausgestellte Zertifikate CAs können nicht als Vertrauensanker verwendet werden.

ROLE_NAMEErsetzen Sie es durch den Namen für Ihre Hybrid Nodes IAM-Rolle. Standardmäßig verwendet AmazonEKSHybridNodesRole die CloudFormation Vorlage den Namen der Rolle, die sie erstellt, wenn Sie keinen Namen angeben.

CERT_ATTRIBUTEErsetzen Sie es durch das Zertifikatsattribut pro Computer, das Ihren Host eindeutig identifiziert. Das von Ihnen verwendete Zertifikatsattribut muss mit dem NodeName übereinstimmen, den Sie für die nodeadm Konfiguration verwenden, wenn Sie Hybridknoten mit Ihrem Cluster verbinden. Weitere Informationen hierzu finden Sie unter nodeadmReferenz für Hybridknoten. Standardmäßig verwendet die CloudFormation Vorlage ${aws:PrincipalTag/x509Subject/CN} asCERT_ATTRIBUTE, was dem CN-Feld Ihrer Computerzertifikate entspricht. Sie können es auch $(aws:PrincipalTag/x509SAN/Name/CN} als Ihr CERT_ATTRIBUTE Passwort übergeben.

CA_CERT_BODYErsetzen Sie es durch die Zertifizierungsstelle Ihrer Zertifizierungsstelle ohne Zeilenumbrüche. Das CA_CERT_BODY muss im PEM-Format (Privacy Enhanced Mail) vorliegen. Wenn Sie über ein CA-Zertifikat im PEM-Format verfügen, entfernen Sie die Zeilenumbrüche und die Zeilen BEGIN CERTIFICATE und END CERTIFICATE, bevor Sie den Hauptteil des CA-Zertifikats in Ihre cfn-iamra-parameters.json Datei einfügen.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

Ersetzen Sie es AWS_REGION durch die AWS Region für Ihre AWS SSM-Hybrid-Aktivierung.

Ersetzen Sie AWS_ACCOUNT_ID durch Ihre AWS Konto-ID.

TAG_KEYErsetzen Sie es durch den AWS SSM-Ressourcen-Tag-Schlüssel, den Sie bei der Erstellung Ihrer AWS SSM-Hybrid-Aktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der mit AWS SSM verwalteten Instanzen, die mit Ihrer SSM-Hybrid-Aktivierung verknüpft sind, aufheben darf. ssm:DeregisterManagedInstance AWS In der Vorlage ist der Standardwert CloudFormation . TAG_KEY EKSClusterARN

TAG_VALUEErsetzen Sie es durch den Wert des AWS SSM-Ressourcen-Tags, den Sie bei der Erstellung Ihrer AWS SSM-Hybrid-Aktivierung verwendet haben. Die Kombination aus Tag-Schlüssel und Tag-Wert wird in der Bedingung verwendet, dass nur die IAM-Rolle Hybrid Nodes die Registrierung der mit AWS SSM verwalteten Instanzen, die mit Ihrer SSM-Hybrid-Aktivierung verknüpft sind, aufheben darf. ssm:DeregisterManagedInstance AWS Wenn Sie den Standard TAG_KEY von verwendenEKSClusterARN, übergeben Sie Ihren EKS-Cluster-ARN alsTAG_VALUE. EKS-Cluster ARNs haben das Formatarn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtern Sie Aktionen nach DescribeClusterund wählen Sie die Aktion DescribeClusterLesen aus.

Wählen Sie Weiter.

Geben Sie einen Richtliniennamen für Ihre Richtlinie ein, EKSDescribeClusterPolicy z. B.

Wählen Sie Create Policy (Richtlinie erstellen) aus.

Wählen Sie Weiter.

Geben Sie einen Richtliniennamen für Ihre Richtlinie ein, z. B. EKSHybridSSMPolicy

Wählen Sie Create Policy (Richtlinie erstellen) aus.

Wählen Sie im Abschnitt Vertrauenswürdiger Entitätstyp die Option Benutzerdefinierte Vertrauensrichtlinie aus. Fügen Sie Folgendes in den Editor für benutzerdefinierte Vertrauensrichtlinien ein. AWS_REGIONErsetzen Sie es durch die AWS Region Ihrer AWS SSM-Hybrid-Aktivierung und AWS_ACCOUNT_ID durch Ihre AWS Konto-ID.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

Wählen Sie Weiter.

Geben Sie in das Feld Richtlinien filtern den Namen der Richtlinie einEKSDescribeClusterPolicy, die Sie oben erstellt haben. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben Ihrem Richtliniennamen.

Geben Sie in das Feld Richtlinien filtern den Namen der Richtlinie einEKSHybridSSMPolicy, die Sie oben erstellt haben. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben Ihrem Richtliniennamen.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEC2ContainerRegistryPullOnly ein. Aktivieren Sie das Kontrollkästchen links neben AmazonEC2ContainerRegistryPullOnly den Suchergebnissen.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonSSMManagedInstanceCore ein. Aktivieren Sie das Kontrollkästchen links neben AmazonSSMManagedInstanceCore den Suchergebnissen.

Wählen Sie Weiter.

Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKSHybridNodesRole.

Ersetzen Sie unter Description (Beschreibung) den aktuellen Text durch beschreibenden Text wie beispielsweise Amazon EKS - Hybrid Nodes role.

Wählen Sie Rolle erstellen.

Wählen Sie im Abschnitt Vertrauenswürdiger Entitätstyp die Option Benutzerdefinierte Vertrauensrichtlinie aus. Fügen Sie Folgendes in den Editor für benutzerdefinierte Vertrauensrichtlinien ein. TRUST_ANCHOR ARNErsetzen Sie ihn durch den ARN des Vertrauensankers, den Sie in den Richten Sie AWS IAM-Rollen überall ein Schritten erstellt haben. Die Bedingung in dieser Vertrauensrichtlinie schränkt die Fähigkeit von AWS IAM Roles Anywhere ein, die IAM-Rolle Hybrid Nodes anzunehmen und temporäre IAM-Anmeldeinformationen nur auszutauschen, wenn der Name der Rollensitzung mit dem CN im x509-Zertifikat übereinstimmt, das auf Ihren Hybridknoten installiert ist. Sie können auch andere Zertifikatsattribute verwenden, um Ihren Knoten eindeutig zu identifizieren. Das Zertifikatsattribut, das Sie in der Vertrauensrichtlinie verwenden, muss dem NodeName entsprechen, den Sie in Ihrer nodeadm-Konfiguration festgelegt haben. Weitere Informationen hierzu finden Sie unter nodeadmReferenz für Hybridknoten.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

Wählen Sie Weiter.

Geben Sie in das Feld Richtlinien filtern den Namen der Richtlinie einEKSDescribeClusterPolicy, die Sie oben erstellt haben. Aktivieren Sie in den Suchergebnissen das Kontrollkästchen links neben Ihrem Richtliniennamen.

Geben Sie im Feld Filter policies (Filterrichtlinien) AmazonEC2ContainerRegistryPullOnly ein. Aktivieren Sie das Kontrollkästchen links neben AmazonEC2ContainerRegistryPullOnly den Suchergebnissen.

Wählen Sie Weiter.

Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKSHybridNodesRole.

Ersetzen Sie unter Description (Beschreibung) den aktuellen Text durch beschreibenden Text wie beispielsweise Amazon EKS - Hybrid Nodes role.

Wählen Sie Rolle erstellen.