Siapkan kredenSIAL untuk node hibrida

Ganti ROLE_NAME dengan nama untuk peran IAM Node Hybrid Anda. Secara default, CloudFormation template digunakan AmazonEKSHybridNodesRole sebagai nama peran yang dibuatnya jika Anda tidak menentukan nama.

Ganti TAG_KEY dengan kunci tag sumber daya AWS SSM yang Anda gunakan saat membuat aktivasi hibrida AWS SSM Anda. Kombinasi kunci tag dan nilai tag digunakan dalam kondisi untuk hanya mengizinkan peran IAM Node Hibrid ssm:DeregisterManagedInstance untuk membatalkan pendaftaran instans terkelola AWS SSM yang terkait dengan aktivasi hibrida SSM Anda AWS . Dalam CloudFormation template, TAG_KEY default keEKSClusterARN.

Ganti TAG_VALUE dengan nilai tag sumber daya AWS SSM yang Anda gunakan saat membuat aktivasi hibrida AWS SSM Anda. Kombinasi kunci tag dan nilai tag digunakan dalam kondisi untuk hanya mengizinkan peran IAM Node Hibrid ssm:DeregisterManagedInstance untuk membatalkan pendaftaran instans terkelola AWS SSM yang terkait dengan aktivasi hibrida SSM Anda AWS . Jika Anda menggunakan default TAG_KEY dariEKSClusterARN, maka berikan ARN cluster EKS Anda sebagaiTAG_VALUE. EKS cluster ARN memiliki format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Untuk menggunakan sumber daya CA Pri AWS badi, buka konsol Otor AWS itas Sertifikat Pribadi. Ikuti petunjuk di Panduan AWS Pengguna CA Pribadi.

Untuk menggunakan CA eksternal, ikuti petunjuk yang diberikan oleh CA. Anda memberikan badan sertifikat di langkah selanjutnya.

Sertifikat yang dikeluarkan dari CA publik tidak dapat digunakan sebagai jangkar kepercayaan.

Ganti ROLE_NAME dengan nama untuk peran IAM Node Hybrid Anda. Secara default, CloudFormation template digunakan AmazonEKSHybridNodesRole sebagai nama peran yang dibuatnya jika Anda tidak menentukan nama.

Ganti CERT_ATTRIBUTE dengan atribut sertifikat per mesin yang secara unik mengidentifikasi host Anda. Atribut sertifikat yang Anda gunakan harus cocok dengan NodeName yang Anda gunakan untuk nodeadm konfigurasi saat menghubungkan node hybrid ke cluster Anda. Untuk informasi selengkapnya, lihat Referensi nodead m node hibrida. Secara default, CloudFormation template digunakan ${aws:PrincipalTag/x509Subject/CN} sebagaiCERT_ATTRIBUTE, yang sesuai dengan bidang CN sertifikat per mesin Anda. Sebagai alternatif, Anda dapat lulus $(aws:PrincipalTag/x509SAN/Name/CN} sebagai milik AndaCERT_ATTRIBUTE.

Ganti CA_CERT_BODY dengan badan sertifikat CA Anda tanpa jeda baris. CA_CERT_BODYHarus dalam format Privacy Enhanced Mail (PEM). Jika Anda memiliki sertifikat CA dalam format PEM, hapus jeda baris dan BEGIN CERTIFICATE dan END CERTIFICATE sebelum menempatkan badan sertifikat CA di cfn-iamra-parameters.json file Anda.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

Ganti AWS_REGION dengan Wil AWS ayah untuk aktivasi hibrida AWS SSM Anda.

Ganti AWS_ACCOUNT_ID dengan ID AWS akun Anda.

Ganti TAG_KEY dengan kunci tag sumber daya AWS SSM yang Anda gunakan saat membuat aktivasi hibrida AWS SSM Anda. Kombinasi kunci tag dan nilai tag digunakan dalam kondisi untuk hanya mengizinkan peran IAM Node Hibrid ssm:DeregisterManagedInstance untuk membatalkan pendaftaran instans terkelola AWS SSM yang terkait dengan aktivasi hibrida SSM Anda AWS . Dalam CloudFormation template, TAG_KEY default keEKSClusterARN.

Ganti TAG_VALUE dengan nilai tag sumber daya AWS SSM yang Anda gunakan saat membuat aktivasi hibrida AWS SSM Anda. Kombinasi kunci tag dan nilai tag digunakan dalam kondisi untuk hanya mengizinkan peran IAM Node Hibrid ssm:DeregisterManagedInstance untuk membatalkan pendaftaran instans terkelola AWS SSM yang terkait dengan aktivasi hibrida SSM Anda AWS . Jika Anda menggunakan default TAG_KEY dariEKSClusterARN, maka berikan ARN cluster EKS Anda sebagaiTAG_VALUE. EKS cluster ARN memiliki format arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filter tindakan untuk DescribeCluster dan pilih tindakan DescribeCluster Baca.

Pilih Berikutnya.

Masukkan nama Kebijakan untuk kebijakan Anda sepertiEKSDescribeClusterPolicy.

Pilih Buat kebijakan.

Pilih Berikutnya.

Masukkan nama Kebijakan untuk kebijakan Anda seperti EKSHybridSSMPolicy

Pilih Buat Kebijakan.

Di bagian Ti pe entitas tepercaya, pilih Kebijakan kepercayaan kustom. Tempelkan berikut ini ke editor kebijakan kepercayaan kustom. Ganti AWS_REGION dengan Wil AWS ayah aktivasi hibrida AWS SSM Anda dan AWS_ACCOUNT_ID dengan ID AWS akun Anda.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

Pilih Berikutnya.

Di kotak Kebijakan filter, masukkanEKSDescribeClusterPolicy, atau nama kebijakan yang Anda buat di atas. Pilih kotak centang di sebelah kiri nama kebijakan Anda di hasil pencarian.

Di kotak Kebijakan filter, masukkanEKSHybridSSMPolicy, atau nama kebijakan yang Anda buat di atas. Pilih kotak centang di sebelah kiri nama kebijakan Anda di hasil pencarian.

Di dalam kotak Filter kebijakan, masukkan AmazonEC2ContainerRegistryPullOnly. Pilih kotak centang AmazonEC2ContainerRegistryPullOnly di sebelah kiri hasil pencarian.

Di dalam kotak Filter kebijakan, masukkan AmazonSSMManagedInstanceCore. Pilih kotak centang AmazonSSMManagedInstanceCore di sebelah kiri hasil pencarian.

Pilih Berikutnya.

Untuk Nama Per an, masukkan nama unik untuk peran Anda, sepertiAmazonEKSHybridNodesRole.

Untuk Deskripsi, ganti teks saat ini dengan teks deskriptif sepertiAmazon EKS - Hybrid Nodes role.

Pilih Buat peran.

Di bagian Ti pe entitas tepercaya, pilih Kebijakan kepercayaan kustom. Tempelkan berikut ini ke editor kebijakan kepercayaan kustom. Ganti TRUST_ANCHOR ARN dengan ARN dari jangkar kepercayaan yang Anda buat dalam Pengaturan AWS IAM Roles Anywhere langkah-langkah. Kondisi dalam kebijakan kepercayaan ini membatasi kemampuan IAM Roles Anywhere untuk mengambil peran AWS IAM Node Hibrid untuk bertukar kredentif IAM sementara hanya jika nama sesi peran cocok dengan CN dalam sertifikat x509 yang diinstal pada node hibrida Anda. Sebagai alternatif, Anda dapat menggunakan atribut sertifikat lain untuk mengidentifikasi node Anda secara unik. Atribut sertifikat yang Anda gunakan dalam kebijakan kepercayaan harus sesuai dengan NodeName yang Anda tetapkan dalam konfigurasi nodeadm Anda. Untuk informasi selengkapnya, lihat Referensi nodead m node hibrida.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

Pilih Berikutnya.

Di kotak Kebijakan filter, masukkanEKSDescribeClusterPolicy, atau nama kebijakan yang Anda buat di atas. Pilih kotak centang di sebelah kiri nama kebijakan Anda di hasil pencarian.

Di dalam kotak Filter kebijakan, masukkan AmazonEC2ContainerRegistryPullOnly. Pilih kotak centang AmazonEC2ContainerRegistryPullOnly di sebelah kiri hasil pencarian.

Pilih Berikutnya.

Untuk Nama Per an, masukkan nama unik untuk peran Anda, sepertiAmazonEKSHybridNodesRole.

Untuk Deskripsi, ganti teks saat ini dengan teks deskriptif sepertiAmazon EKS - Hybrid Nodes role.

Pilih Buat peran.