Preparazione delle credenziali per i nodi ibridi

Sostituisci ROLE_NAME con il nome del ruolo IAM dei nodi ibridi. Per impostazione predefinita, il CloudFormation modello utilizza AmazonEKSHybridNodesRole come nome del ruolo creato se non si specifica un nome.

Sostituiscilo TAG_KEY con la chiave del tag di risorsa AWS SSM che hai utilizzato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione per consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, il valore predefinito è. CloudFormation TAG_KEY EKSClusterARN

Sostituiscilo TAG_VALUE con il valore del tag di risorsa AWS SSM che hai utilizzato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione per consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l’impostazione predefinita TAG_KEY di EKSClusterARN, passa l’ARN del cluster EKS come TAG_VALUE. Gli ARN del cluster EKS hanno il formato arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Per utilizzare una risorsa CA AWS privata, apri la console AWS Private Certificate Authority. Segui le istruzioni contenute in AWS Private CA User Guide.

Per utilizzare una CA esterna, segui le istruzioni fornite dalla CA. Fornisci l’ente di certificazione in una fase successiva.

I certificati emessi da CA pubbliche non possono essere utilizzati come ancoraggi di fiducia.

Sostituisci ROLE_NAME con il nome del ruolo IAM dei nodi ibridi. Per impostazione predefinita, il CloudFormation modello utilizza AmazonEKSHybridNodesRole come nome del ruolo creato se non si specifica un nome.

Sostituisci CERT_ATTRIBUTE con l’attributo del certificato per computer che identifica in modo univoco l’host. L’attributo del certificato utilizzato deve corrispondere al nodeName utilizzato per la configurazione nodeadm quando si connettono i nodi ibridi al cluster. Per ulteriori informazioni, consulta Nodi ibridi di riferimento nodeadm. Per impostazione predefinita, il CloudFormation modello utilizza ${aws:PrincipalTag/x509Subject/CN} comeCERT_ATTRIBUTE, che corrisponde al campo CN dei certificati per macchina. In alternativa puoi passare $(aws:PrincipalTag/x509SAN/Name/CN} come tuo CERT_ATTRIBUTE.

Sostituisci CA_CERT_BODY con l’ente del certificato della tua CA senza interruzioni di riga. Il CA_CERT_BODY deve essere in formato Privacy-Enhanced Mail (PEM). Se disponi di un certificato CA in formato PEM, rimuovi le interruzioni di riga e le righe BEGIN CERTIFICATE e END CERTIFICATE prima di inserire l’ente del certificato CA nel file cfn-iamra-parameters.json.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

AWS_REGIONSostituiscila con la AWS Regione per l'attivazione ibrida SSM AWS .

Sostituisci AWS_ACCOUNT_ID con l'ID AWS del tuo account.

Sostituiscila TAG_KEY con la chiave tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione per consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, il valore predefinito è. CloudFormation TAG_KEY EKSClusterARN

Sostituiscilo TAG_VALUE con il valore del tag di risorsa AWS SSM che hai utilizzato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione per consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l’impostazione predefinita TAG_KEY di EKSClusterARN, passa l’ARN del cluster EKS come TAG_VALUE. Gli ARN del cluster EKS hanno il formato arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtra le azioni DescribeCluster e seleziona l'azione DescribeCluster Leggi.

Scegli Next (Successivo).

Immetti un Nome policy per la tua policy, come EKSDescribeClusterPolicy.

Scegli Crea policy.

Scegli Next (Successivo).

Immetti un nome Policy per la tua policy, come EKSHybridSSMPolicy.

Scegli Crea policy.

Nel sezione Tipo di entità attendibile, scegli Policy di attendibilità personalizzata. Incolla quanto segue nell’editor della policy di attendibilità personalizzata. AWS_REGIONSostituiscila con la AWS regione di attivazione ibrida AWS SSM e AWS_ACCOUNT_ID con l'ID del tuo AWS account.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

Scegli Next (Successivo).

Nella casella Filtra policy, inserisci EKSDescribeClusterPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci EKSHybridSSMPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra di AmazonEC2ContainerRegistryPullOnly nei risultati di ricerca.

Nella casella Filtra policy, inserisci AmazonSSMManagedInstanceCore. Seleziona la casella di controllo a sinistra della AmazonSSMManagedInstanceCore nei risultati di ricerca.

Scegli Successivo.

Per Nome ruolo, inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegli Crea ruolo.

Nel sezione Tipo di entità attendibile, scegli Policy di attendibilità personalizzata. Incolla quanto segue nell’editor della policy di attendibilità personalizzata. Sostituisci TRUST_ANCHOR ARN con l’ARN dell’ancora di fiducia che hai creato nei passaggi Configurazione AWS IAM Roles Anywhere. La condizione di questa policy di fiducia limita la capacità di AWS IAM Roles Anywhere di assumere il ruolo IAM di Hybrid Nodes di scambiare credenziali IAM temporanee solo quando il nome della sessione del ruolo corrisponde al CN nel certificato x509 installato sui nodi ibridi. In alternativa, puoi utilizzare altri attributi del certificato per identificare in modo univoco il tuo nodo. L’attributo del certificato che usi nella policy di fiducia deve corrispondere al nodeName che hai impostato nella configurazione bideadm. Per ulteriori informazioni, consulta Nodi ibridi di riferimento nodeadm.

{
    "Version":"2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

Scegli Next (Successivo).

Nella casella Filtra policy, inserisci EKSDescribeClusterPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra della AmazonEC2ContainerRegistryPullOnly nei risultati di ricerca.

Scegli Successivo.

Per Nome ruolo, inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegli Crea ruolo.