Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Autenticazione degli accessi ad Amazon EKS

Amazon EKS supporta due meccanismi per concedere a un principale IAM l'autorizzazione a chiamare l'KubernetesAPI del cluster: l'API di accesso legacy aws-auth ConfigMap e quella più recente. Una voce di accesso garantisce l'accesso Kubernetes API a un principal IAM senza richiedere la modifica di un. ConfigMap AWS Batch può autenticarsi nel cluster tramite entrambi i meccanismi.

Se lo eksConfiguration.accessEntry.desiredState imposti ENABLED su un ambiente di elaborazione, AWS Batch puoi gestire la voce di accesso per quell'ambiente di calcolo sul cluster. Non è più necessario modificare manualmente il. aws-auth ConfigMap

Il AWS Batch provisioning di una voce di accesso dipende dall'ambiente di AWS Batch elaborazione e dalla configurazione del cluster Amazon EKS. Per informazioni dettagliate, vedi Interazione con l'AuthenticationMode del cluster .

Valori per l'accesso Entry.desiredState

Il desiredState campo on EksAccessEntry dichiara lo stato di accesso desiderato per l'ambiente di calcolo. I valori validi sono:

L'ambiente di calcolo espone anche un campo di sola lettura accessEntry.status nelle risposte. DescribeComputeEnvironments ACTIVEsignifica che nel cluster esiste una voce di accesso AWS Batch gestito per l'ambiente di calcolo che ha la precedenza su. aws-auth ConfigMap INACTIVEsignifica che non è presente alcuna AWS Batch voce di accesso gestito. Ciò può essere dovuto desiredState al fatto che gli ambienti di calcolo destinati al cluster non sono ancora d'accordo o al desiredState fatto che la voce non è ancora stata predisposta. DISABLED In caso accessEntry.status affermativoINACTIVE, Batch utilizza aws-auth ConfigMap per l'accesso al cluster.

Interazione con l'AuthenticationMode del cluster

Il AWS Batch comportamento di un determinato elemento desiredState dipende dalla modalità di autenticazione del cluster. La tabella seguente si applica CreateComputeEnvironment sia UpdateComputeEnvironment a.

In che modo AWS Batch riconcilia DesiredState tra gli ambienti di elaborazione

Poiché un singolo cluster Amazon EKS può supportare più ambienti di AWS Batch calcolo, la configurazione di accesso di un cluster è una risorsa condivisa. AWS Batch quindi riconcilia, o confronta e risolve, i desiredState valori registrati in tali ambienti di calcolo.

Quando il cluster authenticationMode èAPI_AND_CONFIG_MAP, AWS Batch confronta i dati desiredState registrati per ogni ambiente di calcolo nello stesso account e nella stessa AWS regione di destinazione del cluster. AWS AWS Batch utilizza questo confronto per determinare se aggiungere o rimuovere la voce di accesso per ciascuna CreateComputeEnvironment UpdateComputeEnvironment operazione specificata. desiredState

What AWS Batch crea sul tuo cluster

AWS Batch crea una voce di accesso per cluster che soddisfa le condizioni precedenti, quindi associa la politica di accesso di AWSBatchClusterPolicy Amazon EKS a tale voce di accesso. La voce di accesso è per cluster anziché per ambiente di elaborazione, quindi tutti gli ambienti di AWS Batch calcolo che hanno come target lo stesso cluster la condividono.

Una voce di accesso non è sufficiente da sola per eseguire processi sul cluster. Per le Kubernetes autorizzazioni e l'accesso ai nodi che devi configurare tu stesso, consultaConfigurazione del cluster che devi comunque fornire.

Autorizzazioni richieste

AWS Batch gestisce la voce di accesso utilizzando le credenziali dell'identità IAM che chiama l'operazione CreateComputeEnvironment orUpdateComputeEnvironment. Tale identità deve essere autorizzata a eseguire le seguenti azioni Amazon EKS:

Configura la voce di accesso

È possibile configurare la voce di accesso in un ambiente di calcolo tramite il eksConfiguration.accessEntry campo dell'UpdateComputeEnvironmentAPI CreateComputeEnvironment or.

AWS CLI

Abilita una voce AWS Batch di accesso gestita durante la creazione di un ambiente di elaborazione

$ aws batch create-compute-environment \
    --compute-environment-name my-eks-ce \
    --type MANAGED \
    --eks-configuration 'eksClusterArn=arn:aws:eks:us-east-1:123456789012:cluster/my-cluster,kubernetesNamespace=my-aws-batch-namespace,accessEntry={desiredState=ENABLED}' \
    --compute-resources 'type=EC2,maxvCpus=128,subnets=subnet-a123456b,securityGroupIds=sg-a12b3456,instanceRole=arn:aws:iam::123456789012:instance-profile/my-node-instance-profile'

Abilita una voce AWS Batch di accesso gestito in un ambiente di elaborazione esistente

$ aws batch update-compute-environment \
    --compute-environment my-eks-ce \
    --eks-configuration 'accessEntry={desiredState=ENABLED}'

Controlla lo stato

$ aws batch describe-compute-environments \
    --compute-environments my-eks-ce \
    --query "computeEnvironments[0].eksConfiguration.accessEntry"

La risposta include sia desiredState ciò che hai specificato che quello osservatostatus:

{
    "desiredState": "ENABLED",
    "status": "ACTIVE"
}

Nota

AWS Batch viene restituito accessEntry.status per tutti gli ambienti di calcolo Amazon EKS e viene restituito desiredState solo se è stato impostato. Un ambiente di calcolo in cui non hai mai specificato i accessEntry rendimenti status da solo.

Per interrompere la gestione AWS Batch della voce di accesso, imposta DISABLED invece desiredState su. Prima di farlo, reviewInterazione con l'AuthenticationMode del cluster : DISABLED viene rifiutato su un cluster la cui modalità di autenticazione è API impostata e su un cluster la cui modalità di autenticazione è API_AND_CONFIG_MAP la voce di accesso viene rimosso solo dopo che ogni ambiente di AWS Batch calcolo destinato al DISABLED cluster è stato impostato su.

API

Usa l'eksConfiguration.accessEntryoggetto nella tua CreateComputeEnvironment UpdateComputeEnvironment richiesta.

Crea un ambiente di elaborazione con una voce AWS Batch di accesso gestita

accessEntryIncludi nel corpo della richiesta:

{
    "computeEnvironmentName": "my-eks-ce",
    "type": "MANAGED",
    "state": "ENABLED",
    "eksConfiguration": {
        "eksClusterArn": "arn:aws:eks:us-east-1:123456789012:cluster/my-cluster",
        "kubernetesNamespace": "my-aws-batch-namespace",
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    },
    "computeResources": {
        "type": "EC2",
        "maxvCpus": 128,
        "subnets": ["subnet-a123456b"],
        "securityGroupIds": ["sg-a12b3456"],
        "instanceRole": "arn:aws:iam::123456789012:instance-profile/my-node-instance-profile"
    }
}

Aggiorna la voce di accesso in un ambiente di elaborazione esistente

{
    "computeEnvironment": "my-eks-ce",
    "eksConfiguration": {
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    }
}

Per ulteriori informazioni EksAccessEntry CreateComputeEnvironment, consulta e UpdateComputeEnvironment nella sezione AWS Batch API Reference.

Configurazione del cluster che devi comunque fornire

Una voce di accesso controlla solo la modalità di AWS Batch autenticazione nel cluster. Non concede AWS Batch le Kubernetes autorizzazioni necessarie per eseguire i processi e non consente alle istanze AWS Batch avviate di unirsi al cluster. Indipendentemente dal meccanismo di autenticazione utilizzato, è comunque necessario configurare entrambi i seguenti elementi.

Scelta tra le voci aws-auth ConfigMap e access

L'autenticazione degli accessi è il percorso consigliato per i nuovi ambienti di calcolo AWS Batch su Amazon EKS e offre i seguenti vantaggi:

Se il tuo cluster authenticationMode èCONFIG_MAP, le voci di accesso non sono disponibili e vengono AWS Batch autenticate tramite. aws-auth ConfigMap Per istruzioni, consulta Verifica che aws-auth ConfigMap sia configurato correttamente.