Implementación de nodos de Windows en clústeres de EKS

Para habilitar la compatibilidad con Windows en su clúster

1. Si no tiene nodos de Amazon Linux en su clúster y utiliza grupos de seguridad para Pods, avance al siguiente paso. De lo contrario, confirme que la política administrada AmazonEKSVPCResourceController esté adjunta al rol del clúster. Reemplace eksClusterRole por el nombre de rol del clúster.

   aws iam list-attached-role-policies --role-name eksClusterRole
   

   Un ejemplo de salida sería el siguiente.

   {
       "AttachedPolicies": [
           {
               "PolicyName": "AmazonEKSClusterPolicy",
               "PolicyArn": "arn:aws:iam::aws:policy/AmazonEKSClusterPolicy"
           },
           {
               "PolicyName": "AmazonEKSVPCResourceController",
               "PolicyArn": "arn:aws:iam::aws:policy/AmazonEKSVPCResourceController"
           }
       ]
   }

   Si la política está adjunta, como en la salida anterior, omita el siguiente paso.

2. Adjunte la política administrada AmazonEKSVPCResourceController al Rol de IAM del clúster de Amazon EKS. Reemplace eksClusterRole por el nombre de rol del clúster.

   aws iam attach-role-policy \
     --role-name eksClusterRole \
     --policy-arn arn:aws:iam::aws:policy/AmazonEKSVPCResourceController
   

3. Cree un archivo denominado vpc-resource-controller-configmap.yaml con el siguiente contenido.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: amazon-vpc-cni
     namespace: kube-system
   data:
     enable-windows-ipam: "true"

4. Aplique el ConfigMap en su clúster.

   kubectl apply -f vpc-resource-controller-configmap.yaml
   

5. Verifique que el ConfigMap de aws-auth contenga una asignación para que el rol de instancia del nodo Windows incluya el grupo de permisos RBAC de eks:kube-proxy-windows. Puede verificar ejecutando el siguiente comando:

   kubectl get configmap aws-auth -n kube-system -o yaml
   

   Un ejemplo de salida sería el siguiente.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: aws-auth
     namespace: kube-system
   data:
     mapRoles: |
       - groups:
         - system:bootstrappers
         - system:nodes
         - eks:kube-proxy-windows # This group is required for Windows DNS resolution to work
         rolearn: arn:aws:iam::111122223333:role/eksNodeRole
         username: system:node:{{EC2PrivateDNSName}}
   [...]
   

   eks:kube-proxy-windows debería aparecer en la lista de grupos. Si el grupo no está especificado, debe actualizar ConfigMap o crearlo para incluir el grupo requerido. Para obtener más información sobre ConfigMap de aws-auth, consulte Aplique el ConfigMap de aws-auth en su clúster.