Création d'un cluster Amazon EKS

Si vous possédez déjà un rôle IAM dans le cluster, ou si vous comptez créer votre cluster aveceksctl, vous pouvez ignorer cette étape. Par défaut, eksctl crée un rôle pour vous.

Exécutez la commande suivante pour créer un fichier JSON de politique d'approbation IAM.

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Créez le rôle IAM de cluster Amazon EKS. Si nécessaire, faites précéder eks-cluster-role-trust-policy.json par le chemin d'accès sur votre ordinateur sur lequel vous avez enregistré le fichier lors de l'étape précédente. La commande associe la politique d'approbation que vous avez créée lors de l'étape précédente à ce rôle. Pour créer un rôle IAM, le principal IAM qui crée le rôle doit se voir attribuer l'action (autorisation) IAM iam:CreateRole.

aws iam create-role --role-name myAmazonEKSClusterRole --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Vous pouvez attribuer la politique gérée par Amazon EKS ou créer votre propre politique personnalisée. Pour connaître les autorisations minimales que vous devez utiliser dans votre politique personnalisée, consultez Rôle IAM de cluster Amazon EKS.

Associez la politique gérée par Amazon EKS nommée Amazon EKSCluster Policy au rôle. Pour attacher une politique IAM à un principal IAM, le principal qui attache la politique doit se voir attribuer l'une des actions (autorisations) IAM iam:AttachUserPolicy ou iam:AttachRolePolicy.

aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy --role-name myAmazonEKSClusterRole

Vous avez besoin d'0.199.0une version ou d'une version ultérieure de l'outil de ligne de eksctl commande installée sur votre appareil ou AWS CloudShell. Pour installer ou mettre à jour eksctl, veuillez consulter Installation dans la documentation de eksctl.

Création d'un IPv4 cluster Amazon EKS avec la valeur par défaut d'Amazon EKS Kubernetes version dans votre AWS région par défaut. Avant d'exécuter la commande, effectuez les remplacements suivants :

region-codeRemplacez-le par la AWS région dans laquelle vous souhaitez créer votre cluster.

Remplacez my-cluster par un nom pour votre cluster. Un nom ne peut contenir que des caractères alphanumériques (sensibles à la casse) et des traits d'union. Il doit commencer par un caractère alphanumérique et ne doit pas dépasser 100 caractères. Le nom doit être unique dans la AWS région et le AWS compte dans lesquels vous créez le cluster.

Remplacez la version 1.31 par n'importe quelle version prise en charge par Amazon EKS.

Modifiez les valeurs de vpc-private-subnets pour répondre à vos besoins. Vous pouvez également en ajouter d'autres IDs. Vous devez spécifier au moins deux sous-réseaux IDs. Si vous préférez spécifier des sous-réseaux publics, vous pouvez passer --vpc-private-subnets à--vpc-public-subnets. Les sous-réseaux publics ont une table de routage associée avec une route vers une passerelle Internet, mais les sous-réseaux privés n'ont pas de table de routage associée. Nous recommandons d'utiliser des sous-réseaux privés dans la mesure du possible.

Les sous-réseaux que vous choisissez doivent respecter les exigences relatives aux sous-réseaux d'Amazon EKS. Avant de sélectionner des sous-réseaux, nous vous recommandons de connaître toutes les exigences et considérations relatives aux VPC et aux sous-réseaux Amazon EKS.

Exécutez la commande suivante :

eksctl create cluster --name my-cluster --region region-code --version {k8s-n} --vpc-private-subnets subnet-ExampleID1,subnet-ExampleID2 --without-nodegroup

L'approvisionnement de cluster dure plusieurs minutes. Pendant la création du cluster, plusieurs lignes de sortie apparaissent. La dernière ligne de sortie est similaire à celle de l'exemple suivant.

[✓]  EKS cluster "my-cluster" in "region-code" region is ready

Continuez avec Étape 3 : Mettre à jour kubeconfig

Ouvrez la console Amazon EKS.

Choisissez Add cluster (Ajouter un cluster), puis choisissez Create (Créer).

Sous Options de configuration, sélectionnez Configuration personnalisée

Sous Mode automatique EKS, désactivez l'option Utiliser le mode automatique EKS.

Sur la page Configurer le cluster, renseignez les champs suivants :

Dans la section Accès au cluster de la page de configuration du cluster, entrez les champs suivants :

Sur la page Spécifier les réseaux sélectionnez des valeurs pour les champs suivants :

Vous ne pouvez spécifier cette option que lorsque vous utilisez la famille d'adresses IPv4 et uniquement lors de la création du cluster. Si vous ne le spécifiez pas, alors Kubernetes attribue des adresses IP de service à partir des blocs 172.20.0.0/16 CIDR 10.100.0.0/16 ou CIDR.

(Facultatif) Sur la page Configurer l'observabilité, choisissez quelles options de Métriques et de Journalisation du plan de contrôle doivent être activées. Par défaut, chaque type de journal est désactivé.

Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Sur la page Select add-ons (Sélectionner les modules complémentaires), choisissez les modules complémentaires que vous souhaitez ajouter à votre cluster. Certains modules complémentaires sont présélectionnés. Vous pouvez choisir autant de modules complémentaires Amazon EKS et de modules complémentaires AWS Marketplace que vous le souhaitez. Si les modules complémentaires AWS Marketplace que vous souhaitez installer ne figurent pas dans la liste, vous pouvez cliquer sur la numérotation des pages pour afficher des résultats supplémentaires ou rechercher les modules complémentaires AWS Marketplace disponibles en saisissant du texte dans le champ de recherche. Vous pouvez également filtrer par catégorie, fournisseur ou modèle de tarification, puis choisir les modules complémentaires dans les résultats de recherche. Lorsque vous créez un cluster, vous pouvez afficher, sélectionner et installer tout module complémentaire compatible avec EKS Pod Identities, comme indiqué dansDécouvrez comment EKS Pod Identity permet aux pods d'accéder aux AWS services.

Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Certains modules complémentaires, tels qu'Amazon VPC CNI, CoreDNS et kube-proxy, sont installés par défaut. Si vous désactivez l'un des modules complémentaires par défaut, cela peut affecter votre capacité à exécuter des applications Kubernetes.

Sur la page Configurer les paramètres de modules complémentaires sélectionnés, sélectionnez la version que vous voulez installer. Vous pourrez toujours effectuer une mise à jour vers une version ultérieure après la création du cluster.

Pour les modules complémentaires compatibles avec EKS Pod Identities, vous pouvez utiliser la console pour générer automatiquement le rôle avec le nom, la politique AWS gérée et la politique de confiance préremplis spécifiquement pour le module complémentaire. Vous pouvez réutiliser les rôles existants ou créer de nouveaux rôles pour les modules complémentaires pris en charge. Pour connaître les étapes d'utilisation de la console afin de créer des rôles pour les modules complémentaires compatibles avec EKS Pod Identities, voirCréer un module complémentaire (AWS console). Si un module complémentaire ne prend pas en charge EKS Pod Identity, un message contenant les instructions d'utilisation de l'assistant pour créer les rôles IAM pour les comptes de service (IRSA) s'affiche une fois le cluster créé.

Vous pourrez mettre à jour la configuration de chaque module complémentaire après la création du cluster. Pour plus d'informations sur la configuration des modules complémentaires, consultez Mettre à jour un module complémentaire Amazon EKS. Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Sur la page Vérifier et créer, passez en revue les informations que vous avez saisies ou sélectionnées sur les pages précédentes. Si vous devez apporter des modifications, choisissez Modifier. Lorsque vous êtes satisfait, choisissez Create. Le champ État affiche EN COURS DE CRÉATION pendant que le cluster est provisionné.

L'approvisionnement de cluster dure plusieurs minutes.

Continuez avec Étape 3 : Mettre à jour kubeconfig

Créez votre cluster à l'aide de la commande suivante. Avant d'exécuter la commande, effectuez les remplacements suivants :

Vous ne pouvez spécifier cette option que lorsque vous utilisez la famille d'adresses IPv4 et uniquement lors de la création du cluster. Si vous ne le spécifiez pas, alors Kubernetes attribue des adresses IP de service à partir des blocs 172.20.0.0/16 CIDR 10.100.0.0/16 ou CIDR.

Le provisionnement du cluster prend quelques minutes. Vous pouvez vérifier le statut de votre cluster avec la commande suivante.

aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status"

Ne passez pas à l'étape suivante tant que le résultat renvoyé ne l'est pasACTIVE.

Continuez avec Étape 3 : Mettre à jour kubeconfig

Si vous avez créé votre cluster à l'aide de eksctl, vous pouvez ignorer cette étape. Cela est dû au fait que eksctl a déjà terminé cette étape pour vous. Activez kubectl pour communiquer avec votre cluster en ajoutant un nouveau contexte au fichier kubectl config. Pour plus d'informations sur la création et la mise à jour du fichier, consultez Connexion kubectl à un cluster EKS en créant un kubeconfig dans le fichier.

aws eks update-kubeconfig --region region-code --name my-cluster

L'exemple qui suit illustre un résultat.

Added new context arn:aws: eks:region-code:111122223333:cluster/my-cluster to /home/username/.kube/config

Confirmez la communication avec votre cluster en exécutant la commande suivante.

kubectl get svc

L'exemple qui suit illustre un résultat.

NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   28h

(Recommandé) Pour utiliser certains modules complémentaires Amazon EKS ou pour activer des modules individuels Kubernetes charges de travail pour disposer d'autorisations spécifiques de gestion des AWS identités et des accès (IAM), créez un fournisseur IAM OpenID Connect (OIDC) pour votre cluster. Il vous suffit de créer un IAM OIDC fournisseur pour votre cluster une fois. Pour en savoir plus sur les modules complémentaires Amazon EKS, consultez Modules complémentaires Amazon EKS. Pour en savoir plus sur l'attribution des autorisations IAM spécifiques à vos applications, consultez Rôles IAM pour les comptes de service.

(Recommandé) Configurez votre cluster pour Amazon VPC CNI plugin for Kubernetes plugin avant de déployer EC2 des nœuds Amazon sur votre cluster. Par défaut, le plugin a été installé avec votre cluster. Lorsque vous ajoutez EC2 des nœuds Amazon à votre cluster, le plugin est automatiquement déployé sur chaque EC2 nœud Amazon que vous ajoutez. Le plug-in vous oblige à associer l'une des politiques IAM suivantes à un rôle IAM. Si votre cluster utilise cette IPv4 famille, utilisez la politique IAM gérée Amazoneks_CNI_Policy. Si votre cluster utilise cette IPv6 famille, utilisez une politique IAM que vous créez.

Le rôle IAM auquel vous attachez la politique peut être le rôle IAM du nœud ou un rôle dédié utilisé uniquement pour le plugin. Nous vous recommandons d'associer la politique à ce rôle. Pour plus d'informations sur la création du rôle, consultez notre article Configurer le plug-in Amazon VPC CNI pour utiliser IRSA sur le rôle IAM du nœud Amazon EKS.

Si vous avez déployé votre cluster à l'aide du AWS Management Console, vous pouvez ignorer cette étape. Le AWS Management Console déploie le Amazon VPC CNI plugin for Kubernetes, CoreDNS, et les modules complémentaires kube-proxy Amazon EKS, par défaut.

Si vous déployez votre cluster à l'aide de l'une des deux options eksctl ou de la AWS CLI, le Amazon VPC CNI plugin for Kubernetes, CoreDNS, et des modules complémentaires kube-proxy autogérés sont déployés. Vous pouvez faire migrer le Amazon VPC CNI plugin for Kubernetes, CoreDNS, et des modules complémentaires kube-proxy autogérés déployés avec votre cluster sur les modules complémentaires Amazon EKS. Pour de plus amples informations, veuillez consulter Modules complémentaires Amazon EKS.

(Facultatif) Si ce n'est pas déjà fait, vous pouvez activer Prometheus métriques pour votre cluster. Pour plus d'informations, consultez Création d'un scraper dans le Guide de l'utilisateur Amazon Managed Service for Prometheus.

Si vous prévoyez de déployer des charges de travail sur votre cluster qui utilisent des volumes Amazon EBS et que vous avez créé un cluster 1.23 ou une version ultérieure, vous devez installer Amazon EBS CSI sur votre cluster avant de déployer les charges de travail.