翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Amazon EKS アクセスエントリ認証

Amazon EKS は、クラスターの Kubernetes API を呼び出すアクセス許可を IAM プリンシパルに付与するための 2 つのメカニズムをサポートしています。レガシー aws-auth ConfigMap と新しいアクセスエントリ API です。アクセスエントリは、いずれかのメカニズムを通じてクラスターに対して認証できる ConfigMap. AWS Batch can を編集しなくても、KubernetesAPI アクセスを IAM プリンシパルに付与します。

コンピューティング環境で eksConfiguration.accessEntry.desiredStateを に設定するENABLEDと、 はクラスター上のそのコンピューティング環境のアクセスエントリを管理 AWS Batch できます。ConfigMap aws-auth を手動で編集する必要がなくなりました。

がアクセスエントリを AWS Batch プロビジョニングするかどうかは、 AWS Batch コンピューティング環境と Amazon EKS クラスター設定によって異なります。詳細については、「クラスターの とのやり取り authenticationMode」を参照してください。

accessEntry.desiredState の値

の desiredStateフィールドは、コンピューティング環境に必要なアクセスエントリの状態をEksAccessEntry宣言します。次の値を指定できます。

コンピューティング環境では、DescribeComputeEnvironments レスポンスの読み取り専用accessEntry.statusフィールドも公開されます。 ACTIVE は、コンピューティング環境の AWS Batchマネージドアクセスエントリがクラスターに存在し、ConfigMap aws-auth よりも優先されることを意味します。 は AWS Batch、マネージドアクセスエントリが存在しないINACTIVEことを意味します。これは、 desiredStateが であるためDISABLED、クラスターをターゲットとするコンピューティング環境がまだ に同意していないためdesiredState、またはエントリがまだプロビジョニングされていないためです。accessEntry.status が の場合INACTIVE、Batch はクラスターアクセスに aws-auth ConfigMap を使用します。

クラスターの とのやり取り authenticationMode

特定の の動作 AWS Batch は、クラスターの認証モードdesiredStateによって異なります。次の表は、 CreateComputeEnvironmentと の両方に適用されますUpdateComputeEnvironment。

がコンピューティング環境desiredState間で AWS Batch 調整する方法

単一の Amazon EKS クラスターは複数の AWS Batch コンピューティング環境をバックアップできるため、クラスターのアクセス設定は共有リソースです。 AWS Batch したがって、 はそれらのコンピューティング環境全体で記録されたdesiredState値を調整または比較して解決します。

クラスターの authenticationModeが の場合API_AND_CONFIG_MAP、 はクラスターをターゲットとする同じ AWS アカウントと AWS リージョン内のすべてのコンピューティング環境についてdesiredState記録された AWS Batch を比較します。 はこの比較 AWS Batch を使用して、 を指定する各 CreateComputeEnvironment または UpdateComputeEnvironmentオペレーションでアクセスエントリを追加または削除するかどうかを決定しますdesiredState。

がクラスターに AWS Batch 作成する内容

AWS Batch は、上記の条件を満たすクラスターごとに 1 つのアクセスエントリを作成し、AWSBatchClusterPolicyAmazon EKS アクセスポリシーをそのアクセスエントリに関連付けます。アクセスエントリはコンピューティング環境ごとではなくクラスターごとであるため、同じクラスターをターゲットとするすべての AWS Batch コンピューティング環境で共有されます。

アクセスエントリだけでは、クラスターでジョブを実行するのに十分ではありません。自分で設定する必要があるKubernetesアクセス許可とノードアクセスについては、「」を参照してくださいそれでも提供する必要があるクラスター設定。

必要なアクセス許可

AWS Batch は、 CreateComputeEnvironmentまたは UpdateComputeEnvironmentオペレーションを呼び出す IAM ID の認証情報を使用してアクセスエントリを管理します。この ID は、次の Amazon EKS アクションを実行することを許可されている必要があります。

アクセスエントリを設定する

CreateComputeEnvironment API または UpdateComputeEnvironment API の eksConfiguration.accessEntryフィールドを使用して、コンピューティング環境でアクセスエントリを設定できます。

AWS CLI

コンピューティング環境の作成時に AWS Batchマネージドアクセスエントリを有効にする

$ aws batch create-compute-environment \
    --compute-environment-name my-eks-ce \
    --type MANAGED \
    --eks-configuration 'eksClusterArn=arn:aws:eks:us-east-1:123456789012:cluster/my-cluster,kubernetesNamespace=my-aws-batch-namespace,accessEntry={desiredState=ENABLED}' \
    --compute-resources 'type=EC2,maxvCpus=128,subnets=subnet-a123456b,securityGroupIds=sg-a12b3456,instanceRole=arn:aws:iam::123456789012:instance-profile/my-node-instance-profile'

既存のコンピューティング環境で AWS Batchマネージドアクセスエントリを有効にする

$ aws batch update-compute-environment \
    --compute-environment my-eks-ce \
    --eks-configuration 'accessEntry={desiredState=ENABLED}'

ステータスを確認する

$ aws batch describe-compute-environments \
    --compute-environments my-eks-ce \
    --query "computeEnvironments[0].eksConfiguration.accessEntry"

レスポンスにはdesiredState、指定した と観測された の両方が含まれますstatus。

{
    "desiredState": "ENABLED",
    "status": "ACTIVE"
}

注記

AWS Batch はすべての Amazon EKS コンピューティング環境accessEntry.statusに対して を返し、設定したdesiredState場合にのみ を返します。指定したことがないコンピューティング環境は、status単独で accessEntry を返します。

アクセスエントリ AWS Batch の管理を停止するには、DISABLED代わりに desiredStateを に設定します。確認する前に、認証モードが であるクラスターでは クラスターの とのやり取り authenticationMode: DISABLEDが拒否されAPI、認証モードがAPI_AND_CONFIG_MAPアクセスエントリであるクラスターでは、クラスターをターゲットとするすべての AWS Batch コンピューティング環境が に設定された後にのみ削除されますDISABLED。

API

CreateComputeEnvironment または UpdateComputeEnvironment リクエストで eksConfiguration.accessEntry オブジェクトを使用します。

AWS Batchマネージドアクセスエントリを使用してコンピューティング環境を作成する

リクエスト本文accessEntryに を含めます。

{
    "computeEnvironmentName": "my-eks-ce",
    "type": "MANAGED",
    "state": "ENABLED",
    "eksConfiguration": {
        "eksClusterArn": "arn:aws:eks:us-east-1:123456789012:cluster/my-cluster",
        "kubernetesNamespace": "my-aws-batch-namespace",
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    },
    "computeResources": {
        "type": "EC2",
        "maxvCpus": 128,
        "subnets": ["subnet-a123456b"],
        "securityGroupIds": ["sg-a12b3456"],
        "instanceRole": "arn:aws:iam::123456789012:instance-profile/my-node-instance-profile"
    }
}

既存のコンピューティング環境のアクセスエントリを更新する

{
    "computeEnvironment": "my-eks-ce",
    "eksConfiguration": {
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    }
}

詳細については、 AWS Batch API リファレンスのEksAccessEntry「」、CreateComputeEnvironment」、およびUpdateComputeEnvironment」を参照してください。

それでも提供する必要があるクラスター設定

アクセスエントリは、 がクラスターに対して AWS Batch 認証する方法のみを制御します。ジョブの実行に必要な AWS Batch Kubernetesアクセス許可は付与されず、 AWS Batch 起動するインスタンスはクラスターに参加しません。使用する認証メカニズムにかかわらず、以下の両方を設定する必要があります。

ConfigMap aws-auth エントリとアクセスエントリの選択

アクセスエントリ認証は、Amazon EKS コンピューティング環境の新しい AWS Batch に推奨されるパスであり、次の利点があります。

クラスターの authenticationModeが の場合CONFIG_MAP、アクセスエントリは利用できず、ConfigMap aws-auth を介して AWS Batch 認証されます。手順については、「aws-auth ConfigMap のフィールドが正しく設定されていることを確認します」を参照してください。