Installieren AWS Load Balancer Controller mit Manifesten

Ersetzen my-cluster mit dem Namen Ihres Clusters 111122223333 mit Ihrer Konto-ID und führen Sie dann den Befehl aus. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durch arn:aws: . arn:aws-us-gov:

$ eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

Rufen Sie die Ihres Clusters ab OIDC Anbieter-ID und speichern Sie sie in einer Variablen.

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

Stellen Sie fest, ob ein IAM OIDC Der Anbieter mit der ID Ihres Clusters ist bereits in Ihrem Konto enthalten. Sie benötigen OIDC konfiguriert sowohl für den Cluster als auchIAM.

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

Wenn die Ausgabe zurückgegeben wird, haben Sie bereits eine IAM OIDC Anbieter für Ihren Cluster. Wenn keine Ausgabe zurückgegeben wird, müssen Sie eine erstellen IAM OIDC Anbieter für Ihren Cluster. Weitere Informationen finden Sie unter Erstelle eine IAM OIDC Anbieter für Ihren Cluster.

Kopieren Sie den folgenden Inhalt auf Ihr Gerät. Ersetzen 111122223333 mit Ihrer Konto-ID. Ersetzen region-code mit der AWS Region, in der sich Ihr Cluster befindet. Ersetzen EXAMPLED539D4633E53DE1B71EXAMPLE mit der Ausgabe, die im vorherigen Schritt zurückgegeben wurde. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durch arn:aws: . arn:aws-us-gov: Nachdem Sie den Text ersetzt haben, führen Sie den geänderten Befehl aus, um die Datei load-balancer-role-trust-policy.json zu erstellen.

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

Erstellen Sie die RolleIAM.

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

Hängen Sie die erforderliche von Amazon EKS verwaltete IAM Richtlinie an die IAM Rolle an. Ersetzen 111122223333 mit Ihrer Konto-ID.

aws iam attach-role-policy \
  --policy-arn arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

Kopieren Sie den folgenden Inhalt auf Ihr Gerät. Ersetzen 111122223333 mit Ihrer Konto-ID. Wenn sich Ihr Cluster in den AWS Regionen AWS GovCloud (USA-Ost) oder AWS GovCloud (US-West) befindet, ersetzen Sie ihn durch arn:aws: . arn:aws-us-gov: Nachdem Sie den Text ersetzt haben, führen Sie den geänderten Befehl aus, um die Datei aws-load-balancer-controller-service-account.yaml zu erstellen.

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws: iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

Erstellen Sie den Kubernetes Dienstkonto auf Ihrem Cluster. Das Tool Kubernetes Das Dienstkonto mit dem Namen aws-load-balancer-controller ist mit der IAM Rolle versehen, die Sie mit dem Namen erstellt haben AmazonEKSLoadBalancerControllerRole.

$ kubectl apply -f aws-load-balancer-controller-service-account.yaml