Habilita el acceso al clúster para Amazon EMR en EKS

También puedes seguir los siguientes pasos manuales para habilitar el acceso al clúster para Amazon EMR onEKS.

1. Crear un rol de Kubernetes en un espacio de nombres específico

   Amazon EKS 1.22 - 1.29

   Con Amazon EKS 1.22 - 1.29, ejecuta el siguiente comando para crear un rol de Kubernetes en un espacio de nombres específico. Este rol otorga los RBAC permisos necesarios a Amazon EMR onEKS.

   namespace=my-namespace
   cat - >>EOF | kubectl apply -f - >>namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: emr-containers
     namespace: ${namespace}
   rules:
     - apiGroups: [""]
       resources: ["namespaces"]
       verbs: ["get"]
     - apiGroups: [""]
       resources: ["serviceaccounts", "services", "configmaps", "events", "pods", "pods/log"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["create", "patch", "delete", "watch"]
     - apiGroups: ["apps"]
       resources: ["statefulsets", "deployments"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["batch"]
       resources: ["jobs"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["extensions", "networking.k8s.io"]
       resources: ["ingresses"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["rbac.authorization.k8s.io"]
       resources: ["roles", "rolebindings"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["persistentvolumeclaims"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete",  "deletecollection", "annotate", "patch", "label"]
   EOF
         

   Amazon EKS 1.21 and below

   Con Amazon EKS 1.21 y versiones anteriores, ejecuta el siguiente comando para crear un rol de Kubernetes en un espacio de nombres específico. Este rol otorga los RBAC permisos necesarios a Amazon EMR onEKS.

   namespace=my-namespace
   cat - >>EOF | kubectl apply -f - >>namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: emr-containers
     namespace: ${namespace}
   rules:
     - apiGroups: [""]
       resources: ["namespaces"]
       verbs: ["get"]
     - apiGroups: [""]
       resources: ["serviceaccounts", "services", "configmaps", "events", "pods", "pods/log"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["secrets"]
       verbs: ["create", "patch", "delete", "watch"]
     - apiGroups: ["apps"]
       resources: ["statefulsets", "deployments"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["batch"]
       resources: ["jobs"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["extensions"]
       resources: ["ingresses"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "annotate", "patch", "label"]
     - apiGroups: ["rbac.authorization.k8s.io"]
       resources: ["roles", "rolebindings"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
     - apiGroups: [""]
       resources: ["persistentvolumeclaims"]
       verbs: ["get", "list", "watch", "describe", "create", "edit", "delete", "deletecollection", "annotate", "patch", "label"]
   EOF
         

2. Crear una vinculación de roles de Kubernetes limitada al espacio de nombres

   Ejecute el siguiente comando para crear una vinculación de roles de Kubernetes en el espacio de nombres dado. Esta vinculación de roles otorga los permisos definidos en el rol creado en el paso anterior a un usuario nombrado emr-containers. Este usuario identifica las funciones vinculadas a servicios para Amazon EMR on EKS y, por lo tanto, permite EKS a Amazon EMR on realizar las acciones definidas en la función que has creado.

   namespace=my-namespace
   
   cat - <<EOF | kubectl apply -f - --namespace "${namespace}"
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: emr-containers
     namespace: ${namespace}
   subjects:
   - kind: User
     name: emr-containers
     apiGroup: rbac.authorization.k8s.io
   roleRef:
     kind: Role
     name: emr-containers
     apiGroup: rbac.authorization.k8s.io
   EOF

3. Actualizar el mapa de configuración aws-auth de Kubernetes

   Puedes usar una de las siguientes opciones para asignar el rol vinculado a Amazon EMR on EKS Service con el emr-containers usuario que estaba vinculado al rol de Kubernetes en el paso anterior.

   Opción 1: con eksctl

   Ejecuta el siguiente eksctl comando para asignar la función Amazon EMR on EKS service vinculada al usuario. emr-containers

   eksctl create iamidentitymapping \
       --cluster my-cluster-name \
       --arn "arn:aws:iam::my-account-id:role/AWSServiceRoleForAmazonEMRContainers" \
       --username emr-containers

   Opción 2: sin usar eksctl

   1. Ejecute el siguiente comando para abrir el mapa de configuración aws-auth en el editor de texto.

      kubectl edit -n kube-system configmap/aws-auth

      nota

      Si recibes un mensaje de error al Error from server (NotFound): configmaps "aws-auth" not found respecto, consulta los pasos de Añadir funciones de usuario en la Guía del EKS usuario de Amazon para aplicar el stock ConfigMap.

   2. Añade los detalles del rol EKS vinculado a Amazon EMR on Service en la mapRoles sección deConfigMap, debajo. data Agregue esta sección si no existe todavía en el archivo. La sección mapRoles actualizada en datos es similar al siguiente ejemplo.

      apiVersion: v1
      data:
        mapRoles: |
          - rolearn: arn:aws:iam::<your-account-id>:role/AWSServiceRoleForAmazonEMRContainers
            username: emr-containers
          - ... <other previously existing role entries, if there's any>.

   3. Guarde el archivo y salga del editor de texto.