Menginstal AWS Load Balancer Controller dengan manifes

Ganti my-cluster dengan nama cluster Anda, 111122223333 dengan ID akun Anda, dan kemudian jalankan perintah. Jika cluster Anda berada di AWS Wilayah AWS GovCloud (AS-Timur) atau AWS GovCloud (AS-Barat), maka ganti arn:aws: dengan. arn:aws-us-gov:

$ eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

Ambil klaster Anda OIDC ID penyedia dan menyimpannya dalam variabel.

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

Tentukan apakah IAM OIDC penyedia dengan ID klaster Anda sudah ada di akun Anda. Anda membutuhkan OIDC dikonfigurasi untuk cluster danIAM.

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

Jika output dikembalikan, maka Anda sudah memiliki IAM OIDC penyedia untuk cluster Anda. Jika tidak ada output yang dikembalikan, maka Anda harus membuat IAM OIDC penyedia untuk cluster Anda. Untuk informasi selengkapnya, lihat Buat sebuah IAM OIDC penyedia untuk klaster Anda.

Salin konten berikut ke perangkat Anda. Ganti 111122223333 dengan ID akun Anda. Ganti region-code dengan AWS Wilayah tempat cluster Anda berada. Ganti EXAMPLED539D4633E53DE1B71EXAMPLE dengan output dikembalikan pada langkah sebelumnya. Jika cluster Anda berada di AWS Wilayah AWS GovCloud (AS-Timur) atau AWS GovCloud (AS-Barat), maka ganti arn:aws: dengan. arn:aws-us-gov: Setelah mengganti teks, jalankan perintah yang dimodifikasi untuk membuat load-balancer-role-trust-policy.json file.

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

Buat IAM peran.

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

Lampirkan IAM kebijakan EKS terkelola Amazon yang diperlukan ke IAM peran tersebut. Ganti 111122223333 dengan ID akun Anda.

aws iam attach-role-policy \
  --policy-arn arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

Salin konten berikut ke perangkat Anda. Ganti 111122223333 dengan ID akun Anda. Jika cluster Anda berada di AWS Wilayah AWS GovCloud (AS-Timur) atau AWS GovCloud (AS-Barat), maka ganti arn:aws: dengan. arn:aws-us-gov: Setelah mengganti teks, jalankan perintah yang dimodifikasi untuk membuat aws-load-balancer-controller-service-account.yaml file.

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws: iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

Buat Kubernetes akun layanan di cluster Anda. Bagian Kubernetes nama akun layanan aws-load-balancer-controller dianotasi dengan IAM peran yang Anda buat bernama AmazonEKSLoadBalancerControllerRole.

$ kubectl apply -f aws-load-balancer-controller-service-account.yaml