Installa AWS Load Balancer Controller con manifesti

Replace (Sostituisci) my-cluster con il nome del tuo cluster, 111122223333 con l'ID del tuo account, quindi esegui il comando. Se il cluster si trova nelle AWS regioni AWS GovCloud (Stati Uniti orientali) o AWS GovCloud (Stati Uniti occidentali), arn:aws: sostituiscilo con. arn:aws-us-gov:

$ eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

Recupera i dati del tuo cluster OIDC ID del provider e memorizzalo in una variabile.

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

Determina se un IAM OIDC il provider con l'ID del cluster è già presente nel tuo account. Hai bisogno OIDC configurato sia per il cluster che perIAM.

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

Se viene restituito un output, allora hai già un IAM OIDC provider per il tuo cluster. Se non viene restituito alcun output, è necessario creare un IAM OIDC provider per il tuo cluster. Per ulteriori informazioni, consulta Crea un IAM OIDC provider per il tuo cluster.

Copia i seguenti contenuti sul dispositivo. Replace (Sostituisci) 111122223333 con l'ID del tuo account. Replace (Sostituisci) region-code con la AWS regione in cui si trova il cluster. Replace (Sostituisci) EXAMPLED539D4633E53DE1B71EXAMPLE con l'output restituito nel passaggio precedente. Se il cluster si trova nelle AWS regioni AWS GovCloud (Stati Uniti orientali) o AWS GovCloud (Stati Uniti occidentali), arn:aws: sostituiscilo con. arn:aws-us-gov: Dopo aver sostituito il testo, esegui il comando modificato per creare il file load-balancer-role-trust-policy.json.

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

Crea il ruolo. IAM

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

Allega la IAM policy EKS gestita di Amazon richiesta al IAM ruolo. Replace (Sostituisci) 111122223333 con l'ID del tuo account.

aws iam attach-role-policy \
  --policy-arn arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

Copia i seguenti contenuti sul dispositivo. Replace (Sostituisci) 111122223333 con l'ID del tuo account. Se il tuo cluster si trova nelle AWS regioni AWS GovCloud (Stati Uniti orientali) o AWS GovCloud (Stati Uniti occidentali), arn:aws: sostituiscilo con. arn:aws-us-gov: Dopo aver sostituito il testo, esegui il comando modificato per creare il file aws-load-balancer-controller-service-account.yaml.

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws: iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

Crea il Kubernetes account di servizio sul tuo cluster. Il Kubernetes l'account di servizio denominato aws-load-balancer-controller è annotato con il nome del IAM ruolo che hai creato AmazonEKSLoadBalancerControllerRole.

$ kubectl apply -f aws-load-balancer-controller-service-account.yaml