Creación de nodos autoadministrados de Bottlerocket

Para lanzar nodos de Bottlerocket con eksctl

En este procedimiento, se requiere la versión 0.191.0 o posterior de eksctl. Puede verificar la versión con el siguiente comando:

eksctl version

Para obtener instrucciones sobre cómo instalar o actualizar eksctl, consulte Instalación en la documentación de eksctl.

1. Copie los siguientes contenidos en su dispositivo. Reemplace my-cluster por el nombre del clúster. El nombre solo puede contener caracteres alfanuméricos (con distinción de mayúsculas y minúsculas) y guiones. Debe comenzar con un carácter alfanumérico y no puede tener más de 100 caracteres. El nombre debe ser único dentro de la Región de AWS y la Cuenta de AWS en las que va a crear el clúster. Reemplace ng-bottlerocket por un nombre para su grupo de nodos. El nombre del grupo de nodos no puede tener más de 63 caracteres. Debe empezar por una letra o un dígito, pero también puede incluir guiones y guiones bajos como caracteres no iniciales. Para implementar en instancias Arm, reemplace m5.large por un tipo de instancia Arm. Sustituya my-ec2-keypair-name por el nombre de un par de claves SSH de Amazon EC2 que pueda utilizar para conectar mediante SSH con los nodos después de haberlos lanzado. Si aún no tiene un par de claves de Amazon EC2, puede crear uno en la AWS Management Console. Para obtener más información, consulte Pares de claves de Amazon EC2 en la Guía del usuario de Amazon EC2. Sustituya todos los example values restantes por sus propios valores. Una vez que haya llevado a cabo las sustituciones, ejecute el comando modificado para crear el archivo bottlerocket.yaml.

   Si especifica un tipo de instancia Arm de Amazon EC2, revise las consideraciones en AMI de Amazon Linux optimizada para Amazon EKS Arm antes de llevar a cabo la implementación. Para ver instrucciones sobre cómo implementar mediante una AMI personalizada, consulte Creación de Bottlerocket en GitHub y Compatibilidad con AMI personalizada en la documentación de eksctl. Para implementar un grupo de nodos administrados, implemente una AMI personalizada mediante el uso de una plantilla de lanzamiento. Para obtener más información, consulte Personalización de nodos administrados con plantillas de lanzamiento.

   importante

   Para implementar un grupo de nodos en las subredes de AWS Outposts, AWS Wavelength o AWS Local Zones, no pase las subredes de AWS Outposts, AWS Wavelength o AWS Lozal Zones al crear el clúster. Debe especificar las subredes en el siguiente ejemplo. Para obtener más información, consulte Crear un grupo de nodos a partir de un archivo de Config y el Esquema de archivo de configuración en la documentación de eksctl. Reemplace region-code por la Región de AWS en la que se encuentra el clúster.

   cat >bottlerocket.yaml <<EOF
   ---
   apiVersion: eksctl.io/v1alpha5
   kind: ClusterConfig
   
   metadata:
     name: my-cluster
     region: region-code
     version: '1.31'
   
   iam:
     withOIDC: true
   
   nodeGroups:
     - name: ng-bottlerocket
       instanceType: m5.large
       desiredCapacity: 3
       amiFamily: Bottlerocket
       ami: auto-ssm
       iam:
          attachPolicyARNs:
             - arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
             - arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
             - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
             - arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy
       ssh:
           allow: true
           publicKeyName: my-ec2-keypair-name
   EOF
   

2. Implemente los nodos con el siguiente comando.

   eksctl create nodegroup --config-file=bottlerocket.yaml
   

   Un ejemplo de salida sería el siguiente.

   Se generan varias líneas mientras se crean los nodos. Una de las últimas líneas de salida es la siguiente línea de ejemplo.

   [✔]  created 1 nodegroup(s) in cluster "my-cluster"

3. (Opcional) Cree un volumen persistente de Kubernetes en un nodo de Bottlerocket mediante el Complemento CSI de Amazon EBS. El controlador predeterminado de Amazon EBS se basa en herramientas del sistema de archivos que no están incluidas con Bottlerocket. Para obtener información adicional acerca de cómo crear una clase de almacenamiento mediante un controlador, consulte Almacenamiento de volúmenes de Kubernetes con Amazon EBS.

4. (Opcional) De forma predeterminada, kube-proxy establece el parámetro del kernel nf_conntrack_max en un valor predeterminado que puede diferir de lo que Bottlerocket establece inicialmente en el arranque. Para mantener la configuración predeterminada de Bottlerocket, edite la configuración kube-proxy con el siguiente comando.

   kubectl edit -n kube-system daemonset kube-proxy
   

   Agregue --conntrack-max-per-core y --conntrack-min a los argumentos kube-proxy que se encuentran en el siguiente ejemplo. Una configuración de 0 implica que no hay cambios.

         containers:
         - command:
           - kube-proxy
           - --v=2
           - --config=/var/lib/kube-proxy-config/config
           - --conntrack-max-per-core=0
           - --conntrack-min=0

5. (Opcional) Implemente una aplicación de muestra para probar los nodos de Bottlerocket.

6. Se recomienda bloquear el acceso del Pod al IMDS si se cumplen las siguientes condiciones:

   • Tiene previsto asignar roles de IAM a todas sus cuentas de servicio de Kubernetes para que los Pods solo tengan los permisos mínimos que necesitan.

   • Ninguno de los Pods del clúster requiere acceso al servicio de metadatos de la instancia de Amazon EC2 (IMDS) por otros motivos, como la recuperación de la Región de AWS actual.

   Para obtener más información, consulte Restringir el acceso al perfil de instancias asignado al nodo de trabajo.