Préparer les informations d’identification pour les nœuds hybrides

Remplacez ROLE_NAME par le nom de votre rôle IAM des nœuds hybrides. Par défaut, le CloudFormation modèle utilise le AmazonEKSHybridNodesRole nom du rôle qu'il crée si vous ne spécifiez aucun nom.

TAG_KEYRemplacez-la par la clé de balise de ressource AWS SSM que vous avez utilisée lors de la création de votre AWS activation hybride SSM. La combinaison de la clé de balise et de la valeur de balise est utilisée dans la condition d'ssm:DeregisterManagedInstanceautoriser uniquement le rôle IAM des nœuds hybrides à désenregistrer les instances gérées AWS SSM associées à votre AWS activation hybride SSM. Dans le CloudFormation modèle, la TAG_KEY valeur par défaut est. EKSClusterARN

TAG_VALUERemplacez-la par la valeur de balise de ressource AWS SSM que vous avez utilisée lors de la création de votre AWS activation hybride SSM. La combinaison de la clé de balise et de la valeur de balise est utilisée dans la condition d'ssm:DeregisterManagedInstanceautoriser uniquement le rôle IAM des nœuds hybrides à désenregistrer les instances gérées AWS SSM associées à votre AWS activation hybride SSM. Si vous utilisez la valeur par défaut TAG_KEY ou EKSClusterARN, transmettez l’ARN de votre cluster EKS en tant que TAG_VALUE. Les ARN du cluster EKS ont le format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Pour utiliser une ressource CA AWS privée, ouvrez la console AWS Private Certificate Authority. Suivez les instructions du Guide de l’utilisateur de l’autorité de certification privée AWS.

Pour utiliser une autorité de certification externe, suivez les instructions fournies par celle-ci. Vous fournirez le corps du certificat lors d’une étape ultérieure.

Les certificats émis par des autorités de certification publiques ne peuvent pas être utilisés comme ancres d’approbation.

Remplacez ROLE_NAME par le nom de votre rôle IAM des nœuds hybrides. Par défaut, le CloudFormation modèle utilise le AmazonEKSHybridNodesRole nom du rôle qu'il crée si vous ne spécifiez aucun nom.

Remplacez CERT_ATTRIBUTE par l’attribut de certificat par machine qui identifie de manière unique votre hôte. L’attribut de certificat que vous utilisez doit correspondre au nodeName que vous utilisez pour la configuration nodeadm lorsque vous connectez des nœuds hybrides à votre cluster. Pour de plus amples informations, veuillez consulter Nœuds hybrides (référence nodeadm). Par défaut, le CloudFormation modèle utilise ${aws:PrincipalTag/x509Subject/CN} commeCERT_ATTRIBUTE, ce qui correspond au champ CN de vos certificats par machine. Vous pouvez également faire passer $(aws:PrincipalTag/x509SAN/Name/CN} comme votre CERT_ATTRIBUTE.

Remplacez CA_CERT_BODY par le corps du certificat de votre autorité de certification sans sauts de ligne. Le CA_CERT_BODY doit être au format PEM (Privacy Enhanced Mail). Si vous disposez d’un certificat CA au format PEM, supprimez les sauts de ligne et les lignes BEGIN CERTIFICATE et END CERTIFICATE avant d’insérer le corps du certificat CA dans votre fichier cfn-iamra-parameters.json.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

AWS_REGIONRemplacez-la par la AWS région pour votre activation hybride AWS SSM.

AWS_ACCOUNT_IDRemplacez-le par votre identifiant de AWS compte.

TAG_KEYRemplacez-la par la clé de balise de ressource AWS SSM que vous avez utilisée lors de la création de votre AWS activation hybride SSM. La combinaison de la clé de balise et de la valeur de balise est utilisée dans la condition d'ssm:DeregisterManagedInstanceautoriser uniquement le rôle IAM des nœuds hybrides à désenregistrer les instances gérées AWS SSM associées à votre AWS activation hybride SSM. Dans le CloudFormation modèle, la TAG_KEY valeur par défaut est. EKSClusterARN

TAG_VALUERemplacez-la par la valeur de balise de ressource AWS SSM que vous avez utilisée lors de la création de votre AWS activation hybride SSM. La combinaison de la clé de balise et de la valeur de balise est utilisée dans la condition d'ssm:DeregisterManagedInstanceautoriser uniquement le rôle IAM des nœuds hybrides à désenregistrer les instances gérées AWS SSM associées à votre AWS activation hybride SSM. Si vous utilisez la valeur par défaut TAG_KEY ou EKSClusterARN, transmettez l’ARN de votre cluster EKS en tant que TAG_VALUE. Les ARN du cluster EKS ont le format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtrez les actions pour DescribeCluster et sélectionnez l'action DescribeCluster Lire.

Choisissez Suivant.

Saisissez un nom pour votre politique, par exemple EKSDescribeClusterPolicy.

Choisissez Create Policy (Créer une politique).

Choisissez Suivant.

Saisissez un nom pour votre politique, par exemple EKSHybridSSMPolicy.

Choisissez Create Policy (Créer une politique).

Dans la section Type d’entité approuvée, sélectionnez Stratégie d’approbation personnalisée. Collez ce qui suit dans l’éditeur de stratégie de confiance personnalisée. AWS_REGIONRemplacez-la par la AWS région de votre activation hybride AWS SSM et AWS_ACCOUNT_ID par votre identifiant de AWS compte.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

Choisissez Suivant.

Dans la zone Stratégies de filtre, saisissez EKSDescribeClusterPolicy, ou le nom de la stratégie que vous avez créée ci-dessus. Cochez la case située à gauche du nom de votre police dans les résultats de recherche.

Dans la zone Stratégies de filtre, saisissez EKSHybridSSMPolicy, ou le nom de la stratégie que vous avez créée ci-dessus. Cochez la case située à gauche du nom de votre police dans les résultats de recherche.

Dans la zone Filter policies (Politiques de filtre), saisissez AmazonEC2ContainerRegistryPullOnly. Cochez la case à gauche de AmazonEC2ContainerRegistryPullOnly dans les résultats de recherche.

Dans la zone Filter policies (Politiques de filtre), saisissez AmazonSSMManagedInstanceCore. Cochez la case à gauche de AmazonSSMManagedInstanceCore dans les résultats de recherche.

Choisissez Suivant.

Pour Role name (Nom de rôle), saisissez un nom unique pour votre rôle, par exemple, AmazonEKSHybridNodesRole.

Pour Description, remplacez le texte actuel par un texte descriptif tel que Amazon EKS - Hybrid Nodes role.

Choisissez Créer un rôle.

Dans la section Type d’entité approuvée, sélectionnez Stratégie d’approbation personnalisée. Collez ce qui suit dans l’éditeur de stratégie de confiance personnalisée. Remplacez TRUST_ANCHOR ARN par l’ARN de l’ancre d’approbation que vous avez créée au cours des étapes Configuration AWS Rôles Anywhere IAM. La condition de cette politique de confiance limite la capacité d' AWS IAM Roles Anywhere à assumer le rôle IAM des nœuds hybrides pour échanger des informations d'identification IAM temporaires uniquement lorsque le nom de session du rôle correspond au CN du certificat x509 installé sur vos nœuds hybrides. Vous pouvez également utiliser d’autres attributs de certificat pour identifier de manière unique votre nœud. L’attribut de certificat que vous utilisez dans la stratégie de confiance doit correspondre au nom de nœud que vous avez défini dans votre configuration nodeadm. Pour de plus amples informations, veuillez consulter Nœuds hybrides (référence nodeadm).

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

Choisissez Suivant.

Dans la zone Stratégies de filtre, saisissez EKSDescribeClusterPolicy, ou le nom de la stratégie que vous avez créée ci-dessus. Cochez la case située à gauche du nom de votre police dans les résultats de recherche.

Dans la zone Filter policies (Politiques de filtre), saisissez AmazonEC2ContainerRegistryPullOnly. Cochez la case à gauche de AmazonEC2ContainerRegistryPullOnly dans les résultats de recherche.

Choisissez Suivant.

Pour Role name (Nom de rôle), saisissez un nom unique pour votre rôle, par exemple, AmazonEKSHybridNodesRole.

Pour Description, remplacez le texte actuel par un texte descriptif tel que Amazon EKS - Hybrid Nodes role.

Choisissez Créer un rôle.