View a markdown version of this page

Einrichtung des Amazon-EKS-Pod-Identity-Agenten - Amazon EKS
ÜberlegungenErstellen des Amazon EKS Pod Identity Agent

Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Einrichtung des Amazon-EKS-Pod-Identity-Agenten

Amazon-EKS-Pod-Identity-Zuordnungen bieten die Möglichkeit, Anmeldeinformationen für Ihre Anwendungen zu verwalten, ähnlich wie Amazon-EC2-Instance-Profile Anmeldeinformationen für Amazon-EC2-Instances bereitstellen.

Amazon EKS Pod Identity bietet Anmeldeinformationen für Ihre Workloads mit einer zusätzlichen EKS-Auth-API und einem Agent-Pod, der auf jedem Knoten ausgeführt wird.

Tipp

Es ist nicht erforderlich, den EKS-Pod-Identity-Agent auf EKS-Auto-Mode-Clustern zu installieren. Diese Funktion ist in EKS Auto Mode integriert.

Überlegungen

  • Standardmäßig ist der EKS-Pod-Identity-Agent auf EKS-Auto-Mode-Clustern vorinstalliert. Weitere Informationen hierzu finden Sie unter Automatisieren der Cluster-Infrastruktur mit dem EKS-Automatikmodus.

  • Standardmäßig überwacht der EKS-Pod-Identity-Agent eine IPv4- und IPv6-Adresse auf Pods, die Anmeldeinformationen anfordern. Der Agent verwendet die Loopback-IP-Adresse (localhost) 169.254.170.23 für IPv4 und die localhost-IP-Adresse [fd00:ec2::23] für IPv6.

  • Wenn Sie IPv6-Adressen deaktivieren oder localhost-IP-Adressen IPv6 anderweitig verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die IPv6 nicht verwenden können, befolgen Sie die Schritte unter Deaktivierung von IPv6 im EKS-Pod-Identity-Agent, um die IPv6-Konfiguration zu deaktivieren.

Erstellen des Amazon EKS Pod Identity Agent

Voraussetzungen für den Agent

Wichtig

Die Knoten, auf denen der EKS Pod Identity Agent ausgeführt wird, müssen auf die EKS Auth API zugreifen können. Wenn Sie private Subnetze für Ihre Knoten verwenden, müssen Sie einen AWS PrivateLink Schnittstellenendpunkt für die EKS Auth API einrichten. Weitere Informationen finden Sie unter Zugriff auf Amazon EKS über AWS PrivateLink.

  • Ein vorhandener Amazon-EKS-Cluster. Informationen zum Bereitstellen finden Sie unter Erste Schritte mit Amazon EKS. Die Cluster-Version und die Plattformversion müssen mit den in den EKS-Pod-Identity-Cluster-Versionen aufgeführten Versionen übereinstimmen oder höher sein.

  • Die Knotenrolle verfügt über Berechtigungen für den Agent, um die AssumeRoleForPodIdentity-Aktion in der EKS-Auth-API auszuführen. Sie können die AWS verwaltete Richtlinie verwenden: Amazon EKSWorker NodePolicy oder eine benutzerdefinierte Richtlinie hinzufügen, die der folgenden ähnelt:

    {
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks-auth:AssumeRoleForPodIdentity"
            ],
            "Resource": "*"
        }
    ]
}

    Diese Aktion kann durch Tags beschränkt werden, um einzuschränken, welche Rollen von Pods übernommen werden können, die den Agent verwenden.

  • Die Knoten können auf Amazon ECR zugreifen und Images von Amazon ECR herunterladen. Das Container-Image für das Add-On befindet sich in den Registies, die unter Amazon-Container-Image-Registries für Amazon-EKS-Add-Ons anzeigen aufgeführt sind.

    Beachten Sie, dass Sie den Speicherort des Images ändern und EKS-Add-Ons in den optionalen Konfigurationseinstellungen in der AWS-Managementkonsole und --configuration-values in der AWS CLI bereitstellen imagePullSecrets können.

Agent mit AWS Konsole einrichten

  1. Öffnen Sie die Amazon-EKS-Konsole.

  2. Wählen Sie im linken Navigationsbereich Cluster aus. Wählen Sie anschließend den Namen des Clusters aus, für den Sie das Add-on „EKS Pod Identity Agent“ konfigurieren möchten.

  3. Wählen Sie die Registerkarte Add-ons.

  4. Wählen Sie Weitere Add-Ons erhalten.

  5. Wählen Sie das Kästchen oben rechts im Add-on-Bereich für EKS Pod Identity Agent aus und gehen Sie dann auf Bearbeiten.

  6. Wählen Sie auf der Seite Konfigurieren ausgewählter Add-ons-Einstellungen eine beliebige Version in der Dropdown-Liste Version aus.

  7. (Optional) Erweitern Sie Optionale Konfigurationseinstellungen, um eine zusätzliche Konfiguration einzugeben. Sie können beispielsweise einen alternativen Speicherort für das Container-Image und ImagePullSecrets angeben. Das JSON-Schema mit den akzeptierten Schlüsseln wird im Add-On-Konfigurationsschema angezeigt.

    Geben Sie die Konfigurationsschlüssel und Werte in das Feld Konfigurationswerte ein

  8. Wählen Sie Weiter aus.

  9. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Zuordnung einer IAM-Rolle einem Kubernetes-Servicekonto.

Agent mit AWS CLI einrichten

  1. Führen Sie den folgenden AWS CLI-Befehl aus. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

    aws eks create-addon --cluster-name my-cluster --addon-name eks-pod-identity-agent --addon-version v1.0.0-eksbuild.1
    Anmerkung

    Der EKS-Pod-Identity-Agent verwendet den service-account-role-arn nicht für IAM-Rollen für Servicekonten. Sie müssen dem EKS Pod Identity Agent Berechtigungen für die Knotenrolle gewähren.

  2. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Zuordnung einer IAM-Rolle einem Kubernetes-Servicekonto.