Implementazione di un EKS IPv6 cluster Amazon e nodi Amazon Linux gestiti

Esegui il comando seguente per impostare una variabile per il nome AWS CloudFormation dello stack. Puoi sostituire my-eks-ipv6-vpc con qualsiasi nome tu scelga.

export vpc_stack_name=my-eks-ipv6-vpc

Crea e IPv6 VPC utilizza un AWS CloudFormation modello.

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

La creazione dello stack richiede alcuni minuti. Esegui il comando seguente. Non proseguite con il passaggio successivo finché l'output del comando non sarà raggiuntoCREATE_COMPLETE.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

Recupera le IDs sottoreti pubbliche che sono state create.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

Di seguito viene riportato un output di esempio:

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

Abilitare l'opzione di assegnazione automatica dell'indirizzo IPv6 per le sottoreti pubbliche create.

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

Recupera i nomi delle sottoreti e dei gruppi di sicurezza creati dal modello dallo AWS CloudFormation stack distribuito e memorizzali in variabili da utilizzare in un passaggio successivo.

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

Per creare il file eks-cluster-role-trust-policy.json, emetti il seguente comando:

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Eseguire questo comando per impostare una variabile per il nome del ruolo. Puoi sostituire myAmazonEKSClusterRole con qualsiasi nome tu scelga.

export cluster_role_name=myAmazonEKSClusterRole

Crea il ruolo.

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Recupera ARN il IAM ruolo e memorizzalo in una variabile per un passaggio successivo.

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

Allega la IAM policy EKS gestita di Amazon richiesta al ruolo.

aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

NOTE: Potresti ricevere un errore che indica che una delle zone di disponibilità nella tua richiesta non ha una capacità sufficiente per creare un EKS cluster Amazon. In questo caso, l'output di errore contiene le zone di disponibilità in grado di supportare un nuovo cluster. Riprova a creare il cluster con almeno due sottoreti che si trovano nelle zone di disponibilità supportate per il tuo account. Per ulteriori informazioni, consulta Capacità insufficiente.

La creazione del cluster richiede diversi minuti. Esegui il comando seguente. Non continuare con il passaggio successivo finché l'output del comando non è disponibileACTIVE.

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

Per creare il file vpc-cni-ipv6-policy.json, emetti il seguente comando:

cat >vpc-cni-ipv6-policy <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws: ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

Crea la IAM politica.

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

Per creare il file node-role-trust-relationship.json, emetti il seguente comando:

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Eseguire questo comando per impostare una variabile per il nome del ruolo. Puoi sostituire AmazonEKSNodeRole con qualsiasi nome tu scelga.

export node_role_name=AmazonEKSNodeRole

Crea il IAM ruolo.

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

Allega la IAM policy al IAM ruolo.

aws iam attach-role-policy --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

Allega due politiche IAM gestite obbligatorie al IAM ruolo.

aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

Recupera ARN il IAM ruolo e memorizzalo in una variabile per un passaggio successivo.

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

Visualizza le IDs sottoreti che hai creato in un passaggio precedente.

echo $subnets

Di seguito viene riportato un output di esempio:

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

Creare il gruppo di nodi. Replace (Sostituisci) 0a1a56c486EXAMPLE, 099e6ca77aEXAMPLE, 0377963d69EXAMPLEe 0c05f819d5EXAMPLE con i valori restituiti nell'output del passaggio precedente. Assicurati di rimuovere le virgole tra subnet IDs dall'output precedente nel comando seguente. È possibile sostituire t3.medium con qualsiasi tipo di istanza di AWS Nitro System.

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

La creazione del gruppo di nodi richiede alcuni minuti. Esegui il comando seguente. Non procedere al passaggio successivo finché non viene ACTIVE restituito l'output.

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

Se stai completando questo passaggio in una shell diversa da quella in cui hai completato i passaggi precedenti, imposta i valori di tutte le variabili utilizzate nei passaggi precedenti, sostituendo il example values con i valori che hai specificato quando hai completato i passaggi precedenti. Se stai completando questo passaggio nella stessa shell in cui hai completato i passaggi precedenti, passa al passaggio successivo.

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

Eliminare il gruppo di nodi.

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

L'eliminazione richiede pochi minuti. Esegui il comando seguente. Non procedere al passaggio successivo se viene restituito un output.

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

Elimina il cluster.

aws eks delete-cluster --region $region_code --name $cluster_name

L'eliminazione del cluster richiede alcuni minuti. Prima di continuare, accertarsi che il cluster sia eliminato con il comando seguente:

aws eks describe-cluster --region $region_code --name $cluster_name

Non procedete al passaggio successivo finché l'output non sarà simile a quello successivo.

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

Eliminate le IAM risorse che avete creato. Replace (Sostituisci) AmazonEKS_CNI_IPv6_Policy con il nome che hai scelto, se hai scelto un nome diverso da quello usato nei passaggi precedenti.

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

Elimina lo AWS CloudFormation stack che ha creato ilVPC.

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name