**Contribuisci a migliorare questa pagina** Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. Per contribuire a questa guida per l'utente, scegli il GitHub link **Modifica questa pagina** nel riquadro destro di ogni pagina. Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà. # Ruolo IAM del nodo Amazon EKS Il `kubelet` daemon del nodo Amazon EKS effettua chiamate per tuo AWS APIs conto. I nodi ricevono le autorizzazioni per queste chiamate API attraverso un profilo dell'istanza IAM e le policy associate. Prima di avviare i nodi e registrarli in un cluster, devi creare un ruolo IAM che i nodi possano utilizzare all'avvio. Questo requisito si applica ai nodi lanciati con l'AMI ottimizzata Amazon EKS fornita da Amazon o con qualsiasi altro nodo AMIs che intendi utilizzare. Inoltre, questo requisito si applica sia ai gruppi di nodi gestiti sia ai nodi autogestiti. **Nota** Non è possibile utilizzare lo stesso ruolo utilizzato per creare i cluster. Prima di creare i nodi, è necessario creare un ruolo IAM con le seguenti autorizzazioni: + Autorizzazioni per `kubelet` descrivere EC2 le risorse Amazon nel VPC, come quelle fornite dalla policy di [Amazon EKSWorker NodePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEKSWorkerNodePolicy.html). Questa policy fornisce anche le autorizzazioni per il Pod Identity Agent di Amazon EKS. + [Autorizzazioni `kubelet` per l'utilizzo di immagini di container da Amazon Elastic Container Registry (Amazon ECR), come previsto dalla politica di Amazon. EC2 ContainerRegistryPullOnly](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEC2ContainerRegistryPullOnly.html) Le autorizzazioni per utilizzare le immagini dei container da Amazon Elastic Container Registry (Amazon ECR) sono necessarie perché i componenti aggiuntivi integrati per le reti eseguono pod che utilizzano immagini di container provenienti da Amazon ECR. + (Facoltativo) Autorizzazioni per consentire al Pod Identity Agent di Amazon EKS di utilizzare l'azione `eks-auth:AssumeRoleForPodIdentity` per recuperare le credenziali per i pod. Se non utilizzi [Amazon EKSWorker NodePolicy](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEKSWorkerNodePolicy.html), devi fornire questa autorizzazione oltre alle EC2 autorizzazioni per utilizzare EKS Pod Identity. + (Facoltativo) Se non si usa Pod Identity di EKS o IRSA per fornire le autorizzazioni ai pod VPC CNI, è necessario fornire le autorizzazioni per il VPC CNI sul ruolo dell’istanza. Puoi utilizzare la politica [https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEKS_CNI_Policy.html](https://docs.aws.amazon.com/aws-managed-policy/latest/reference/AmazonEKS_CNI_Policy.html)gestita (se hai creato il cluster con la `IPv4` famiglia) o una [IPv6 politica creata da te](cni-iam-role.md#cni-iam-role-create-ipv6-policy) (se hai creato il cluster con la `IPv6` famiglia). Invece di allegare la policy a questo ruolo, tuttavia, consigliamo di allegarla a un ruolo separato utilizzato specificamente per il componente aggiuntivo CNI di Amazon VPC. Per ulteriori informazioni sulla creazione di un ruolo separato per il componente aggiuntivo CNI di Amazon VPC, consulta [Configurare il plug-in CNI di Amazon VPC per l’utilizzo di IRSA](cni-iam-role.md). **Nota** I gruppi di EC2 nodi Amazon devono avere un ruolo IAM diverso rispetto al profilo Fargate. Per ulteriori informazioni, consulta [Ruolo IAM di esecuzione del pod di Amazon EKS](pod-execution-role.md). ## Verifica della presenza di un ruolo di nodo esistente Per controllare se l’account dispone già di un ruolo di nodo Amazon EKS, utilizza la procedura indicata di seguito. 1. Apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/. 1. Nel pannello di navigazione a sinistra, seleziona **Ruoli**. 1. Ricerca `eksNodeRole`, `AmazonEKSNodeRole` o `NodeInstanceRole` nell'elenco di ruoli. Se un ruolo con uno di questi nomi non esiste, consulta [Creazione del ruolo IAM del nodo Amazon EKS](#create-worker-node-role) per creare il ruolo. Se esiste un ruolo che contiene `eksNodeRole`, `AmazonEKSNodeRole` o `NodeInstanceRole`, seleziona il ruolo per visualizzare le policy allegate. 1. Seleziona **Autorizzazioni**. 1. Assicurati che le policy EC2 ContainerRegistryPullOnly gestite da **Amazon EKSWorker NodePolicy** **e Amazon** siano associate al ruolo o che sia allegata una policy personalizzata con le autorizzazioni minime. **Nota** Se la policy **AmazonEKS\$1CNI\$1Policy** è allegata al ruolo, è consigliabile invece rimuoverla e allegarla a un ruolo IAM mappato all'account di servizio `aws-node` Kubernetes. Per ulteriori informazioni, consulta [Configurare il plug-in CNI di Amazon VPC per l’utilizzo di IRSA](cni-iam-role.md). 1. Scegli **Trust relationships** (Relazioni di attendibilità), quindi scegli **Edit trust policy** (Modifica policy di attendibilità). 1. Verifica che la relazione di trust includa la policy seguente. Se la relazione di attendibilità corrisponde alla policy seguente, scegli **Annulla**. Se la relazione di attendibilità non corrisponde, copia la policy nella finestra **Modifica policy di attendibilità** e scegli **Aggiorna policy**. ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "sts:AssumeRole" ], "Principal": { "Service": [ "ec2.amazonaws.com" ] } } ] } ``` ## Creazione del ruolo IAM del nodo Amazon EKS Puoi creare il ruolo IAM del nodo con Console di gestione AWS o la AWS CLI. Console di gestione AWS 1. Apri la console IAM all'indirizzo https://console.aws.amazon.com/iam/. 1. Nel pannello di navigazione a sinistra, seleziona **Ruoli**. 1. Nella pagina **Ruoli**, seleziona **Crea ruolo**. 1. Nella pagina **Seleziona un’entità attendibile**, esegui le operazioni seguenti: 1. Nella sezione **Tipo di entità affidabile**, scegli ** AWS servizio**. 1. In **Use case** (Caso d'uso), scegli **EC2**. 1. Scegli **Next (Successivo)**. 1. Nella pagina **Aggiungi autorizzazioni**, collega una policy personalizzata o esegui le operazioni seguenti: 1. Nella casella **Filtra policy**, inserisci `AmazonEKSWorkerNodePolicy`. 1. Seleziona la casella di controllo a sinistra di **Amazon EKSWorker NodePolicy** nei risultati della ricerca. 1. Scegli **Cancella filtri**. 1. Nella casella **Filtra policy**, inserisci `AmazonEC2ContainerRegistryPullOnly`. 1. Seleziona la casella di controllo a sinistra di **Amazon EC2 ContainerRegistryPullOnly** nei risultati della ricerca. La policy **gestita Amazoneks\$1CNI\$1Policy** o una policy creata da te devono essere collegate anche a questo ruolo o a [IPv6 un ruolo](cni-iam-role.md#cni-iam-role-create-ipv6-policy) diverso mappato all'account del servizio Kubernetes. `aws-node` Si consiglia di assegnare la policy al ruolo associato all'account del servizio Kubernetes anziché assegnarlo a questo ruolo. Per ulteriori informazioni, consulta [Configurare il plug-in CNI di Amazon VPC per l’utilizzo di IRSA](cni-iam-role.md). 1. Scegli **Next (Successivo)**. 1. Nella pagina **Name, review, and create** (Assegna un nome, rivedi e crea), esegui le operazioni seguenti: 1. Per **Nome ruolo**, inserisci un nome univoco per il ruolo, ad esempio `AmazonEKSNodeRole`. 1. In **Descrizione**, sostituisci il testo attuale con un testo descrittivo come `Amazon EKS - Node role`. 1. In **Aggiungi tag (facoltativo)**, aggiungi metadati al ruolo collegando i tag come coppie chiave-valore. Per ulteriori informazioni sull’utilizzo di tag in IAM, consulta la sezione [Tagging IAM resources](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html) nella *Guida per l’utente di IAM*. 1. Scegli **Crea ruolo**. AWS CLI 1. Per creare il file `node-role-trust-relationship.json`, emetti il seguente comando: ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "sts:AssumeRole" ], "Principal": { "Service": [ "ec2.amazonaws.com" ] } } ] } ``` 1. Crea il ruolo IAM. ``` aws iam create-role \ --role-name AmazonEKSNodeRole \ --assume-role-policy-document file://"node-role-trust-relationship.json" ``` 1. Allegare al ruolo IAM le due policy gestite IAM richieste. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodePolicy \ --role-name AmazonEKSNodeRole aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryPullOnly \ --role-name AmazonEKSNodeRole ``` 1. Allega una delle seguenti policy IAM al ruolo IAM a seconda della famiglia di IP con cui hai creato il cluster. La policy deve essere allegata a questo ruolo o a un ruolo associato all’account di servizio Kubernetes `aws-node` che viene utilizzato per il componente aggiuntivo Amazon VPC CNI per Kubernetes. Si consiglia di assegnare la policy al ruolo associato all'account del servizio Kubernetes. Per assegnare la policy al ruolo associato all'account del servizio Kubernetes, consultare [Configurare il plug-in CNI di Amazon VPC per l’utilizzo di IRSA](cni-iam-role.md). + IPv4 ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::aws:policy/AmazonEKS_CNI_Policy \ --role-name AmazonEKSNodeRole ``` + IPv6 1. Copia il testo seguente e salvalo in un file denominato `vpc-cni-ipv6-policy.json`. ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Action": [ "ec2:AssignIpv6Addresses", "ec2:DescribeInstances", "ec2:DescribeTags", "ec2:DescribeNetworkInterfaces", "ec2:DescribeInstanceTypes" ], "Resource": "*" }, { "Effect": "Allow", "Action": [ "ec2:CreateTags" ], "Resource": [ "arn:aws:ec2:*:*:network-interface/*" ] } ] } ``` 1. Creare la policy IAM. ``` aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json ``` 1. Allega la policy IAM al ruolo IAM. Sostituisci *111122223333* con l'ID del tuo account. ``` aws iam attach-role-policy \ --policy-arn arn:aws: iam::111122223333:policy/AmazonEKS_CNI_IPv6_Policy \ --role-name AmazonEKSNodeRole ```