Preparare le credenziali per i nodi ibridi

ROLE_NAMESostituiscilo con il nome del tuo ruolo IAM Hybrid Nodes. Per impostazione predefinita, il CloudFormation modello utilizza AmazonEKSHybridNodesRole come nome del ruolo creato se non si specifica un nome.

TAG_KEYSostituiscilo con la chiave del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, l'impostazione predefinita è. CloudFormation TAG_KEY EKSClusterARN

Sostituisci TAG_VALUE con il valore del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l'impostazione predefinita TAG_KEY diEKSClusterARN, passa l'ARN del cluster EKS come. TAG_VALUE I cluster EKS ARNs hanno il formatoarn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Per utilizzare una risorsa CA AWS privata, apri la console AWS Private Certificate Authority. Segui le istruzioni nella Guida per l'utente di AWS Private CA.

Per utilizzare una CA esterna, segui le istruzioni fornite dalla CA. L'ente del certificato viene fornito in un passaggio successivo.

I certificati emessi dal pubblico CAs non possono essere utilizzati come ancoraggi di fiducia.

ROLE_NAMESostituiscilo con il nome del tuo ruolo IAM Hybrid Nodes. Per impostazione predefinita, il CloudFormation modello utilizza AmazonEKSHybridNodesRole come nome del ruolo creato se non si specifica un nome.

CERT_ATTRIBUTESostituiscilo con l'attributo di certificato per computer che identifica in modo univoco l'host. L'attributo del certificato utilizzato deve corrispondere al nodeName utilizzato per la nodeadm configurazione quando si connettono nodi ibridi al cluster. Per ulteriori informazioni, consulta la nodeadmRiferimento ai nodi ibridi. Per impostazione predefinita, il CloudFormation modello utilizza ${aws:PrincipalTag/x509Subject/CN} comeCERT_ATTRIBUTE, che corrisponde al campo CN dei certificati per computer. In alternativa puoi passare $(aws:PrincipalTag/x509SAN/Name/CN} come tuo. CERT_ATTRIBUTE

Sostituiscilo CA_CERT_BODY con l'ente del certificato della tua CA senza interruzioni di riga. CA_CERT_BODYDeve essere in formato Privacy Enhanced Mail (PEM). Se disponi di un certificato CA in formato PEM, rimuovi le interruzioni di riga e le righe BEGIN CERTIFICATE e END CERTIFICATE prima di inserire il corpo del certificato CA nel file. cfn-iamra-parameters.json

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

AWS_REGIONSostituiscila con la AWS regione per l'attivazione ibrida SSM AWS .

AWS_ACCOUNT_IDSostituiscilo con l'ID AWS del tuo account.

Sostituisci TAG_KEY con la chiave del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, l'impostazione predefinita è. CloudFormation TAG_KEY EKSClusterARN

Sostituisci TAG_VALUE con il valore del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l'impostazione predefinita TAG_KEY diEKSClusterARN, passa l'ARN del cluster EKS come. TAG_VALUE I cluster EKS ARNs hanno il formatoarn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtra le azioni DescribeClustere seleziona l'azione DescribeClusterLeggi.

Scegli Next (Successivo).

Inserisci un nome per la tua politica, ad esempioEKSDescribeClusterPolicy.

Scegli Create Policy (Crea policy).

Scegli Next (Successivo).

Inserisci un nome per la tua politica, ad esempio EKSHybridSSMPolicy

Scegliere Create Policy (Crea policy).

Nella sezione Tipo di entità affidabile, scegli Politica di fiducia personalizzata. Incolla quanto segue nell'editor delle politiche di fiducia personalizzate. Sostituiscilo AWS_REGION con la AWS regione dell'attivazione ibrida AWS SSM e AWS_ACCOUNT_ID con l'ID AWS del tuo account.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

Scegli Next (Successivo).

Nella casella Filtra politicheEKSDescribeClusterPolicy, inserisci o il nome della politica che hai creato sopra. Seleziona la casella di controllo a sinistra del nome della polizza nei risultati della ricerca.

Nella casella Filtra le politicheEKSHybridSSMPolicy, inserisci o il nome della politica che hai creato sopra. Seleziona la casella di controllo a sinistra del nome della polizza nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra AmazonEC2ContainerRegistryPullOnly nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonSSMManagedInstanceCore. Seleziona la casella di controllo a sinistra dei AmazonSSMManagedInstanceCore risultati della ricerca.

Scegli Next (Successivo).

Per Role name (Nome ruolo), inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegliere Crea ruolo.

Nella sezione Tipo di entità affidabile, scegli Politica di fiducia personalizzata. Incolla quanto segue nell'editor delle politiche di fiducia personalizzate. Sostituisci TRUST_ANCHOR ARN con l'ARN del trust anchor che hai creato nei passaggi. Configura AWS IAM Roles Anywhere La condizione contenuta in questa policy di fiducia limita la capacità di AWS IAM Roles Anywhere di assumere il ruolo IAM di Hybrid Nodes di scambiare credenziali IAM temporanee solo quando il nome della sessione del ruolo corrisponde al CN nel certificato x509 installato sui nodi ibridi. In alternativa, puoi utilizzare altri attributi del certificato per identificare in modo univoco il tuo nodo. L'attributo del certificato che usi nella policy di fiducia deve corrispondere al nodeName impostato nella configurazione nodeadm. Per ulteriori informazioni, consulta la nodeadmRiferimento ai nodi ibridi.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

Scegli Next (Successivo).

Nella casella Filtra policyEKSDescribeClusterPolicy, inserisci o il nome della policy che hai creato sopra. Seleziona la casella di controllo a sinistra del nome della polizza nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra AmazonEC2ContainerRegistryPullOnly nei risultati della ricerca.

Scegli Next (Successivo).

Per Role name (Nome ruolo), inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegliere Crea ruolo.