Création du rôle IAM du pilote CSI Amazon EBS

Créez un rôle IAM et associez une politique. AWS gère une politique AWS gérée ou vous pouvez créer votre propre politique personnalisée. Vous pouvez créer un rôle IAM et associer la politique AWS gérée à l'aide de la commande suivante. Remplacez my-cluster par le nom de votre cluster. La commande déploie une AWS CloudFormation pile qui crée un rôle IAM et y attache la politique IAM. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

eksctl create iamserviceaccount \
    --name ebs-csi-controller-sa \
    --namespace kube-system \
    --cluster my-cluster \
    --role-name AmazonEKS_EBS_CSI_DriverRole \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
    --approve

Si vous utilisez une clé KMS personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit :

1. Copiez et collez le code suivant dans un nouveau fichier kms-key-for-encryption-on-ebs.json. Remplacez custom-key-arn par l'ARN de clé KMS personnalisé.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

2. Créez la politique. Vous pouvez remplacer KMS_Key_For_Encryption_On_EBS_Policy par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.

   aws iam create-policy \
     --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
     --policy-document file://kms-key-for-encryption-on-ebs.json
   

3. Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez 111122223333 par votre ID de compte. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
     --role-name AmazonEKS_EBS_CSI_DriverRole
   

Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

Dans le panneau de navigation de gauche, choisissez Rôles.

Sur la page Rôles, choisissez Créer un rôle.

Sur la page Select trusted entity (Sélectionnez une entité de confiance), procédez comme suit :

1. Dans la section Trusted entity type (Type d'entité de confiance), sélectionnez Web identity (Identité web).

2. Pour Fournisseur d'identité, choisissez l'URL du fournisseur OpenID Connect pour votre cluster (comme indiqué sous Présentation dans Amazon EKS).

3. Pour Audience, choisissez sts.amazonaws.com.

4. Choisissez Suivant.

Sur la page Add permissions (Ajouter des autorisations), procédez comme suit :

1. Dans la zone Filter policies (Politiques de filtre), saisissez AmazonEBSCSIDriverPolicy.

2. Cochez la case à gauche du AmazonEBSCSIDriverPolicy renvoyé dans la recherche.

3. Choisissez Suivant.

Sur la page Name, review, and create (Nommer, vérifier et créer), procédez comme suit :

1. Pour Role name (Nom de rôle), saisissez un nom unique pour votre rôle, par exemple, AmazonEKS_EBS_CSI_DriverRole.

2. Sous Ajouter des balises (Facultatif), ajoutez des métadonnées au rôle en attachant les identifications sous forme de paires clé-valeur. Pour plus d'informations sur l'utilisation des balises dans IAM, consultez la rubrique Balisage des ressources IAM dans le Guide de l'utilisateur IAM.

3. Sélectionnez Créer un rôle.

Une fois le rôle créé, choisissez le rôle dans la console pour l'ouvrir et le modifier.

Sélectionnez l'onglet Trust relationships (Relations d'approbation), puis Edit trust policy (Modifier la politique d'approbation).

Trouvez la ligne qui ressemble à la ligne suivante :

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com"

Ajoutez une virgule à la fin de la ligne précédente, puis ajoutez la ligne suivante après la ligne précédente. region-codeRemplacez-le par Région AWS celui dans lequel se trouve votre cluster. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE avec l'ID du fournisseur OIDC de votre cluster.

"oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"

Sélectionnez Update Trust Policy (Mettre à jour la politique d'approbation) pour terminer.

Si vous utilisez une clé KMS personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit :

1. Dans le panneau de navigation de gauche, choisissez Politiques.

2. Sur la page Politiques, choisissez Créer une politique.

3. Sur la page Créer une politique, choisissez l'onglet JSON.

4. Copiez et collez le code suivant dans l'éditeur, en remplaçant custom-key-arn par l'ARN de clé KMS personnalisée.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

5. Choisissez Suivant : Balises.

6. Sur la page Ajouter des balises (facultatif), choisissez Suivant : Vérifier.

7. Dans Nom, attribuez un nom unique à votre politique (par exemple KMS_Key_For_Encryption_On_EBS_Policy).

8. Choisissez Créer une politique.

9. Dans le panneau de navigation de gauche, choisissez Rôles.

10. Choisissez le fichier AmazoneKS_EBS_CSI_ DriverRole dans la console pour l'ouvrir afin de le modifier.

11. Dans la liste déroulante Ajouter des autorisations, choisissez Associer des politiques.

12. Dans la zone Filter policies (Politiques de filtre), saisissez KMS_Key_For_Encryption_On_EBS_Policy.

13. Cochez la case à gauche du KMS_Key_For_Encryption_On_EBS_Policy renvoyé dans la recherche.

14. Choisissez Attach Policies (Attacher des politiques).

Affichez l'URL du fournisseur OIDC de votre cluster. Remplacez my-cluster par le nom de votre cluster. Si la sortie de la commande est None, consultez Prérequis.

aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

L'exemple qui suit illustre un résultat.

https://oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE

Créez le rôle IAM et attachez-y l'action AssumeRoleWithWebIdentity.

1. Copiez le contenu suivant dans un fichier nommé aws-ebs-csi-driver-trust-policy.json. Remplacez 111122223333 par votre ID de compte. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE et region-code par les valeurs renvoyées par l'étape précédente. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
             "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
           }
         }
       }
     ]
   }

2. Créez le rôle. Vous pouvez remplacer AmazonEKS_EBS_CSI_DriverRole par un autre nom. Si vous le remplacez, assurez-vous de le remplacer dans les étapes suivantes.

   aws iam create-role \
     --role-name AmazonEKS_EBS_CSI_DriverRole \
     --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"
   

Joignez une politique. AWS gère une politique AWS gérée ou vous pouvez créer votre propre politique personnalisée. Attachez la politique AWS gérée au rôle à l'aide de la commande suivante. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
  --role-name AmazonEKS_EBS_CSI_DriverRole

Si vous utilisez une clé KMS personnalisée pour le chiffrement de vos volumes Amazon EBS, personnalisez le rôle IAM en fonction des besoins. Par exemple, procédez comme suit :

1. Copiez et collez le code suivant dans un nouveau fichier kms-key-for-encryption-on-ebs.json. Remplacez custom-key-arn par l'ARN de clé KMS personnalisé.

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:CreateGrant",
           "kms:ListGrants",
           "kms:RevokeGrant"
         ],
         "Resource": ["custom-key-arn"],
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "kms:Encrypt",
           "kms:Decrypt",
           "kms:ReEncrypt*",
           "kms:GenerateDataKey*",
           "kms:DescribeKey"
         ],
         "Resource": ["custom-key-arn"]
       }
     ]
   }

2. Créez la politique. Vous pouvez remplacer KMS_Key_For_Encryption_On_EBS_Policy par un autre nom. Cependant, si vous le remplacez, assurez-vous de le remplacer également dans les étapes suivantes.

   aws iam create-policy \
     --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
     --policy-document file://kms-key-for-encryption-on-ebs.json
   

3. Attachez la politique IAM au rôle à l'aide de la commande suivante. Remplacez 111122223333 par votre ID de compte. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
     --role-name AmazonEKS_EBS_CSI_DriverRole