View a markdown version of this page

Peran IAM cluster Mode Otomatis Amazon EKS - Amazon EKS
Khusus AWS tag untuk EKS Sumber daya otomatisPeriksa apakah peran klaster sudah adaMembuat peran klaster Amazon EKS

Bantu meningkatkan halaman ini

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk berkontribusi pada panduan pengguna ini, pilih GitHub tautan Edit halaman ini di yang terletak di panel kanan setiap halaman.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Peran IAM cluster Mode Otomatis Amazon EKS

Peran IAM cluster Amazon EKS diperlukan untuk setiap cluster. Cluster Kubernetes yang dikelola oleh Amazon EKS menggunakan peran ini untuk mengotomatiskan tugas rutin untuk penyimpanan, jaringan, dan penskalaan otomatis komputasi.

Sebelum Anda dapat membuat cluster Amazon EKS, Anda harus membuat peran IAM dengan kebijakan yang diperlukan untuk Mode Otomatis EKS. Anda dapat melampirkan kebijakan terkelola AWS IAM yang disarankan, atau membuat kebijakan khusus dengan izin yang setara.

Khusus AWS tag untuk EKS Sumber daya otomatis

Secara default, kebijakan terkelola terkait Mode Otomatis EKS tidak mengizinkan penerapan tag yang ditentukan pengguna ke AWS sumber daya yang disediakan Mode Otomatis. Jika Anda ingin menerapkan tag yang ditentukan pengguna ke AWS sumber daya, Anda harus melampirkan izin tambahan ke Peran IAM Cluster dengan izin yang memadai untuk membuat dan memodifikasi tag pada AWS sumber daya. Di bawah ini adalah contoh kebijakan yang akan mengizinkan akses penandaan tanpa batas:

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Sid": "Compute",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateFleet",
                "ec2:RunInstances",
                "ec2:CreateLaunchTemplate"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                },
                "StringLike": {
                    "aws:RequestTag/eks:kubernetes-node-class-name": "*",
                    "aws:RequestTag/eks:kubernetes-node-pool-name": "*"
                }
            }
        },
        {
            "Sid": "Storage",
            "Effect": "Allow",
            "Action": [
                "ec2:CreateVolume",
                "ec2:CreateSnapshot"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:volume/*",
                "arn:aws:ec2:*:*:snapshot/*"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                }
            }
        },
        {
            "Sid": "Networking",
            "Effect": "Allow",
            "Action": "ec2:CreateNetworkInterface",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                },
                "StringLike": {
                    "aws:RequestTag/eks:kubernetes-cni-node-name": "*"
                }
            }
        },
        {
            "Sid": "LoadBalancer",
            "Effect": "Allow",
            "Action": [
                "elasticloadbalancing:CreateLoadBalancer",
                "elasticloadbalancing:CreateTargetGroup",
                "elasticloadbalancing:CreateListener",
                "elasticloadbalancing:CreateRule",
                "ec2:CreateSecurityGroup"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                }
            }
        },
        {
            "Sid": "ShieldProtection",
            "Effect": "Allow",
            "Action": [
                "shield:CreateProtection"
            ],
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                }
            }
        },
        {
            "Sid": "ShieldTagResource",
            "Effect": "Allow",
            "Action": [
                "shield:TagResource"
            ],
            "Resource": "arn:aws:shield::*:protection/*",
            "Condition": {
                "StringEquals": {
                    "aws:RequestTag/eks:eks-cluster-name": "${aws:PrincipalTag/eks:eks-cluster-name}"
                }
            }
        }
    ]
}

Periksa apakah peran klaster sudah ada

Anda dapat menggunakan prosedur berikut untuk memeriksa dan melihat apakah akun Anda sudah memiliki peran klaster Amazon EKS.

  1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Di panel navigasi sebelah kiri, pilih Peran.

  3. Cari daftar peran untuk AmazonEKSAutoClusterRole. Jika peran yang menyer AmazonEKSAutoClusterRole takan tidak ada, lihat instruksi di bagian berikutnya untuk membuat peran tersebut. Jika peran yang mencakup AmazonEKSAutoClusterRole ada, kemudian pilih peran untuk melihat kebijakan terlampir.

  4. Pilih Izin.

  5. Pastikan bahwa kebijakan AmazonEKSClusterPolicy terkelola melekat pada peran. Jika kebijakan terlampir, tandanya peran klaster Amazon EKS Anda dikonfigurasi dengan benar.

  6. Pilih Relasi kepercayaan, lalu pilih Edit kebijakan kepercayaan.

  7. Verifikasi bahwa hubungan kepercayaan berisi kebijakan berikut. Jika hubungan kepercayaan sesuai dengan kebijakan berikut, pilih Cancel (Batalkan). Jika hubungan kepercayaan tidak cocok, salin kebijakan ke jendela Edit kebijakan kepercayaan dan pilih Per barui kebijakan.

    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow", 
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}
catatan

AWS tidak memerlukan nama AmazonEKSAutoClusterRole untuk peran ini.

Membuat peran klaster Amazon EKS

Anda dapat menggunakan Konsol Manajemen AWS atau AWS CLI untuk membuat peran cluster.

Konsol Manajemen AWS

  1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

  2. Pilih Peran, kemudian Buat peran.

  3. Di bawah Jenis entitas tepercaya, pilih AWS layanan.

  4. Dari daftar tar ik-turun U se case for other AWS services, pilih EKS.

  5. Pilih EKS - Cluster untuk kasus penggunaan Anda, lalu pilih Ber ikutnya.

  6. Pada tab Tambah izin, pilih kebijakan, lalu pilih Ber ikutnya.

  7. Untuk Nama Per an, masukkan nama unik untuk peran Anda, sepertiAmazonEKSAutoClusterRole.

  8. Untuk Deskripsi, masukkan teks deskriptif sepertiAmazon EKS - Cluster role.

  9. Pilih Buat peran.

AWS CLI

  1. Salin isi berikut ke file bernama cluster-trust-policy.json.

    {
  "Version":"2012-10-17",
  "Statement": [
    {
      "Effect": "Allow", 
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}

  2. Buat peran. Anda dapat mengganti AmazonEKSAutoClusterRole dengan nama apa pun yang Anda pilih.

    aws iam create-role \
  --role-name AmazonEKSAutoClusterRole \
  --assume-role-policy-document file://"cluster-trust-policy.json"

  3. Lampirkan kebijakan IAM yang diperlukan ke peran:

AmazonEKSClusterPolicy:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy

AmazonEKSComputePolicy:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSComputePolicy

AmazonEKSBlockStoragePolicyV2:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSBlockStoragePolicyV2

AmazonEKSLoadBalancingPolicy:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSLoadBalancingPolicy

AmazonEKSNetworkingPolicy:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSNetworkingPolicy