Installation AWS Load Balancer Controller avec des manifestes

Créer un IAM rôle à l'aide de eksctl

• Remplacez my-cluster par le nom de votre cluster, 111122223333 par votre ID de compte, puis exécutez la commande. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov:

  $ eksctl create iamserviceaccount \
    --cluster=my-cluster \
    --namespace=kube-system \
    --name=aws-load-balancer-controller \
    --role-name AmazonEKSLoadBalancerControllerRole \
    --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
    --approve

Créer un IAM rôle à l'aide du AWS CLI et kubectl

1. Récupérez l'ID de fournisseur OIDC de votre cluster et stockez-le dans une variable.

   oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)
   

2. Déterminez si un IAM OIDC fournisseur possédant l'ID de votre cluster figure déjà dans votre compte. Vous devez OIDC être configuré à la fois pour le cluster etIAM.

   aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4
   

   Si une sortie est renvoyée, cela signifie que vous avez déjà un IAM OIDC fournisseur pour votre cluster. Si aucune sortie n'est renvoyée, vous devez créer un IAM OIDC fournisseur pour votre cluster. Pour de plus amples informations, veuillez consulter Créez un IAM OIDC fournisseur pour votre cluster.

3. Copiez les contenus suivants sur votre appareil. Remplacez 111122223333 par votre ID de compte. region-codeRemplacez-le par Région AWS celui dans lequel se trouve votre cluster. Remplacez EXAMPLED539D4633E53DE1B71EXAMPLE par la sortie renvoyée dans l'étape précédente. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov: Après avoir remplacé le texte, exécutez la commande modifiée pour créer le fichier load-balancer-role-trust-policy.json.

   cat >load-balancer-role-trust-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                   }
               }
           }
       ]
   }
   EOF
   

4. Créez le IAM rôle.

   aws iam create-role \
     --role-name AmazonEKSLoadBalancerControllerRole \
     --assume-role-policy-document file://"load-balancer-role-trust-policy.json"
   

5. Associez la IAM politique EKS gérée par Amazon requise au IAM rôle. Remplacez 111122223333 par votre ID de compte.

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
     --role-name AmazonEKSLoadBalancerControllerRole
   

6. Copiez les contenus suivants sur votre appareil. Remplacez 111122223333 par votre ID de compte. Si votre cluster se trouve dans AWS GovCloud (USA Est) ou AWS GovCloud (USA Ouest) Régions AWS, remplacez-le pararn:aws:. arn:aws-us-gov: Après avoir remplacé le texte, exécutez la commande modifiée pour créer le fichier aws-load-balancer-controller-service-account.yaml.

   cat >aws-load-balancer-controller-service-account.yaml <<EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/component: controller
       app.kubernetes.io/name: aws-load-balancer-controller
     name: aws-load-balancer-controller
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
   EOF
   

7. Créez le compte de service Kubernetes sur votre cluster. Le compte Kubernetes de service nommé aws-load-balancer-controller est annoté avec le nom AmazonEKSLoadBalancerControllerRole du IAM rôle que vous avez créé.

   $ kubectl apply -f aws-load-balancer-controller-service-account.yaml
   

Installation à l'cert-manageraide de Quay.io

• Si vos nœuds ont accès au registre de conteneurs quay.io, installez cert-manager pour injecter la configuration du certificat dans les webhooks.

  $ kubectl apply \
      --validate=false \
      -f https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
  

Installation à cert-manager l'aide d'Amazon ECR

1. Installez cert-manager en utilisant l'une des méthodes suivantes pour injecter la configuration du certificat dans les webhooks. Pour plus d'informations, consultez le guide de démarrage de la documentation du cert-manager.

2. Téléchargez le manifeste.

   curl -Lo cert-manager.yaml https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
   

3. Extrayez les images suivantes et transférez-les vers un référentiel auquel vos nœuds ont accès. Pour plus d'informations sur l'extraction, le balisage et le transfert d'images vers votre propre référentiel, consultez Copier une image de conteneur d'un référentiel vers un autre référentiel.

   quay.io/jetstack/cert-manager-cainjector:v1.13.5
   quay.io/jetstack/cert-manager-controller:v1.13.5
   quay.io/jetstack/cert-manager-webhook:v1.13.5

4. Remplacez quay.io dans le manifeste des trois images par votre propre nom de registre. La commande suivante suppose que le nom de votre référentiel privé est le même que celui du référentiel source. Remplacez 111122223333.dkr.ecr.region-code.amazonaws.com par votre registre privé.

   $ sed -i.bak -e 's|quay.io|111122223333.dkr.ecr.region-code.amazonaws.com|' ./cert-manager.yaml

5. Appliquez le manifeste.

   $ kubectl apply \
       --validate=false \
       -f ./cert-manager.yaml