Cómo preparar las credenciales para los nodos híbridos

Sustituya ROLE_NAME por el nombre del rol de IAM de nodos híbridos. De forma predeterminada, la plantilla de CloudFormation utiliza AmazonEKSHybridNodesRole como el nombre del rol que crea si no se especifica ningún nombre.

Sustituya TAG_KEY por la clave de etiqueta del recurso de AWS SSM que utilizó al crear la activación híbrida de AWS SSM. La combinación de la clave de etiqueta y el valor de la etiqueta se utiliza en la condición de ssm:DeregisterManagedInstance para permitir que el rol de IAM de nodos híbridos anule el registro de las instancias administradas por AWS SSM asociadas a la activación híbrida de AWS SSM. En la plantilla de CloudFormation, el valor predeterminado de TAG_KEY es EKSClusterARN.

Sustituya TAG_VALUE por el valor de etiqueta del recurso de AWS SSM que utilizó al crear la activación híbrida de AWS SSM. La combinación de la clave de etiqueta y el valor de la etiqueta se utiliza en la condición de ssm:DeregisterManagedInstance para permitir que el rol de IAM de nodos híbridos anule el registro de las instancias administradas por AWS SSM asociadas a la activación híbrida de AWS SSM. Si utiliza la TAG_KEY predeterminada de EKSClusterARN, transmita el ARN del clúster de EKS como el TAG_VALUE. Los ARN del clúster de EKS tienen el formato arn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Para utilizar un recurso de AWS Private CA, abra la consola de AWS Private Certificate Authority. Siga las instrucciones que aparecen en la Guía del usuario de AWS Private CA.

Para usar una entidad de certificación externa, siga las instrucciones proporcionadas por esta. El contenido del certificado se proporcionará más adelante.

Los certificados emitidos por entidades de certificación públicas no se pueden utilizar como anclajes de veracidad.

Sustituya ROLE_NAME por el nombre del rol de IAM de nodos híbridos. De forma predeterminada, la plantilla de CloudFormation utiliza AmazonEKSHybridNodesRole como el nombre del rol que crea si no se especifica ningún nombre.

Sustituya CERT_ATTRIBUTE por el atributo de certificado por máquina que identifique de forma exclusiva al host. El atributo de certificado que utilice debe coincidir con el nodeName que utilice para la configuración de nodeadm al conectar nodos híbridos al clúster. Para obtener más información, consulte Referencia de nodeadm de nodos híbridos. De forma predeterminada, la plantilla de CloudFormation utiliza ${aws:PrincipalTag/x509Subject/CN} como CERT_ATTRIBUTE, que corresponde al campo CN de los certificados por máquina. También puede transmitir $(aws:PrincipalTag/x509SAN/Name/CN} como CERT_ATTRIBUTE.

Sustituya CA_CERT_BODY por el contenido del certificado de la entidad de certificación sin saltos de línea. El CA_CERT_BODY debe estar en formato Privacy Enhanced Mail (PEM). Si tiene un certificado de entidad de certificación en formato PEM, elimine los saltos de línea y las líneas BEGIN CERTIFICATE y END CERTIFICATE antes de incluir el contenido del certificado de la entidad de certificación en el archivo cfn-iamra-parameters.json.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

Sustituya AWS_REGION por la región AWS para la activación híbrida de AWS SSM.

Reemplace AWS_ACCOUNT_ID por su ID de cuenta de AWS.

Sustituya TAG_KEY por la clave de etiqueta del recurso de AWS SSM que utilizó al crear la activación híbrida de AWS SSM. La combinación de la clave de etiqueta y el valor de la etiqueta se utiliza en la condición de ssm:DeregisterManagedInstance para permitir que el rol de IAM de nodos híbridos anule el registro de las instancias administradas por AWS SSM asociadas a la activación híbrida de AWS SSM. En la plantilla de CloudFormation, el valor predeterminado de TAG_KEY es EKSClusterARN.

Sustituya TAG_VALUE por el valor de etiqueta del recurso de AWS SSM que utilizó al crear la activación híbrida de AWS SSM. La combinación de la clave de etiqueta y el valor de la etiqueta se utiliza en la condición de ssm:DeregisterManagedInstance para permitir que el rol de IAM de nodos híbridos anule el registro de las instancias administradas por AWS SSM asociadas a la activación híbrida de AWS SSM. Si utiliza la TAG_KEY predeterminada de EKSClusterARN, transmita el ARN del clúster de EKS como el TAG_VALUE. Los ARN del clúster de EKS tienen el formato arn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtre las acciones de DescribeCluster y seleccione la acción de lectura DescribeCluster.

Elija Siguiente.

Ingresa un Nombre de política para la política, como EKSDescribeClusterPolicy.

Seleccione Crear política.

Elija Siguiente.

Ingrese un nombre de Política para la política, como EKSHybridSSMPolicy

Seleccione Crear política.

En la sección de tipo de Entidad de confianza, elija Política de confianza personalizada. Pegue lo siguiente en el editor de políticas de confianza personalizadas. Sustituya AWS_REGION por la región de AWS de la activación híbrida de AWS SSM y AWS_ACCOUNT_ID por el ID de la cuenta de AWS.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

Seleccione Siguiente.

En el cuadro Filtrar políticas, ingrese EKSDescribeClusterPolicy o el nombre de la política que creó anteriormente. Marque la casilla situada a la izquierda del nombre de la política en los resultados de la búsqueda.

En el cuadro Filtrar políticas, ingrese EKSHybridSSMPolicy o el nombre de la política que creó anteriormente. Marque la casilla situada a la izquierda del nombre de la política en los resultados de la búsqueda.

En el cuadro Filtrar políticas, escriba AmazonEC2ContainerRegistryPullOnly. Marque la casilla situada a la izquierda de AmazonEC2ContainerRegistryPullOnly en los resultados de la búsqueda.

En el cuadro Filtrar políticas, escriba AmazonSSMManagedInstanceCore. Marque la casilla situada a la izquierda de AmazonSSMManagedInstanceCore en los resultados de la búsqueda.

Elija Siguiente.

En Nombre del rol, ingrese un nombre único para su rol, por ejemplo, AmazonEKSHybridNodesRole.

En Description (Descripción), sustituya el texto actual por un texto descriptivo, como Amazon EKS - Hybrid Nodes role.

Elija Creación de rol.

En la sección de tipo de Entidad de confianza, elija Política de confianza personalizada. Pegue lo siguiente en el editor de políticas de confianza personalizadas. Sustituya TRUST_ANCHOR ARN por el ARN del anclaje de veracidad que creó en los pasos de Configuración de AWS IAM Roles Anywhere. La condición en esta política de confianza limita la capacidad de AWS IAM Roles Anywhere para asumir el rol de IAM de nodos híbridos. Esto permite el intercambio de credenciales temporales de IAM únicamente cuando el nombre de la sesión del rol coincide con el CN especificado en el certificado x509 instalado en los nodos híbridos. Alternativamente, puede utilizar otros atributos del certificado para identificar de manera única el nodo. El atributo de certificado que utilice en la política de confianza debe corresponder al nodeName que haya establecido en la configuración de nodeadm. Para obtener más información, consulte Referencia de nodeadm de nodos híbridos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

Seleccione Siguiente.

En el cuadro Filtrar políticas, ingrese EKSDescribeClusterPolicy o el nombre de la política que creó anteriormente. Marque la casilla situada a la izquierda del nombre de la política en los resultados de la búsqueda.

En el cuadro Filtrar políticas, escriba AmazonEC2ContainerRegistryPullOnly. Marque la casilla situada a la izquierda de AmazonEC2ContainerRegistryPullOnly en los resultados de la búsqueda.

Elija Siguiente.

En Nombre del rol, ingrese un nombre único para su rol, por ejemplo, AmazonEKSHybridNodesRole.

En Description (Descripción), sustituya el texto actual por un texto descriptivo, como Amazon EKS - Hybrid Nodes role.

Elija Creación de rol.