アマゾン EKS クラスターを作成します。

既にクラスター IAM ロールがある場合、または eksctl を使用してクラスターを作成する場合はこのステップはスキップできます。デフォルトではeksctl により、ロールが自動的に作成されます。

IAM 信頼ポリシー用の JSON ファイルを作成するには次のコマンドを実行してください。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

アマゾン EKS クラスターの IAM ロールを作成します。必要であれば、前のステップでファイルを書き込んだコンピュータ上のパスを eks-cluster-role-trust-policy.json の前につけます。このコマンドは前のステップで作成した信頼ポリシーをロールに関連付けます。IAM ロールを作成するにはロールを作成する IAM プリンシパルに iam:CreateRole アクション (許可) を割り当てる必要があります。

aws iam create-role --role-name myAmazonEKSClusterRole --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

アマゾン EKS 管理のポリシーを割り当てるか、独自のカスタムポリシーを作成できます。カスタムポリシーで使用する必要がある最小限の許可については「Amazon EKS クラスター の IAM ロール」を参照してください。

アマゾンEKSクラスターポリシー という名前の アマゾン EKS マネージド型ポリシーをロールにアタッチします。IAM ポリシーを IAM プリンシパルにアタッチするにはポリシーのアタッチを行っているプリンシパルに、次のいずれかの IAM アクション (許可) を割り当てる必要があります: iam:AttachUserPolicy または iam:AttachRolePolicy。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name myAmazonEKSClusterRole

デバイスまたは AWS クラウドシェル にインストールされている eksctl コマンドラインツールのバージョン 0.199.0 以降が必要です。eksctl をインストールまたはアップグレードするにはeksctl ドキュメントの「インストール」を参照してください。

デフォルトの AWS リージョンに、アマゾン EKS デフォルトの Kubernetes バージョンを使用して、アマゾン EKS IPv4 クラスターを作成します。コマンドを実行する前に、次の置き換えを行います：

地域コード はクラスターを作成する AWS リージョンに置き換えます。

マイクラスター の部分は自分のクラスター名に置き換えます。この名前には英数字 (大文字と小文字が区別されます) とハイフンのみを使用できます。先頭の文字は英数字である必要があります。また、100 文字より長くすることはできません。名前はクラスターを作成する AWS リージョンおよび AWS アカウント内で一意である必要があります。

1.29 を アマゾン EKS がサポートする任意のバージョンに置き換えます。

要件を満たすように vpc-private-subnets の値を変更します。さらに ID を追加することもできます。少なくとも 2 つのサブネット ID を指定する必要があります。パブリックサブネットを指定する場合は--vpc-private-subnets を --vpc-public-subnets に変更できます。パブリックサブネットにはインターネットゲートウェイへのルートに関連付けられたルートテーブルがありますが、プライベートサブネットには関連付けられたルートテーブルがありません。可能な限り、プライベートサブネットを使用することをお勧めします。

選択するサブネットは アマゾン EKS サブネットの要件を満たす必要があります。サブネットを選択する前に、アマゾン EKS VPC およびサブネットの要件と考慮事項をすべて理解しておくことをお勧めします。

次のコマンドを実行してください：

eksctl create cluster --name my-cluster --region region-code --version 1.29 --vpc-private-subnets subnet-ExampleID1,subnet-ExampleID2 --without-nodegroup

クラスターのプロビジョニングには数分かかります。クラスターの作成中は数行の出力が表示されます。出力の最後の行は次のサンプル行のようになります。

[✓]  EKS cluster "my-cluster" in "region-code" region is ready

「ステップ 3: kubeconfig を更新する」に進みます

アマゾン EKS コンソールを開きます。

[クラスターを追加]、[作成] の順にクリックします。

[設定オプション] で [カスタム設定] を選択してください。

[EKS 自動モードl] で、[EKS 自動モードl を使用する] をオフに切り替えます。

[クラスターの設定] ページで、次のフィールドに入力します：

[クラスターの設定] ページの [クラスターアクセス] セクションで、次のフィールドに入力します：

[ネットワーキングの指定] ページで、次のフィールドの値を選択してください：

このオプションを指定できるのはIPv4 アドレスファミリーを使用してクラスターを作成するときのみです。これを指定しない場合、Kubernetes は10.100.0.0/16 または 172.20.0.0/16 のいずれかの CIDR ブロックからサービス IP アドレスを割り当てます。

(オプション) [オブザーバビリティの設定] ページで、有効にする [メトリクス] と [コントロールプレーンのロギング] オプションを選択してください。デフォルトではそれぞれのログタイプは無効化されています。

このページを読み終えたら、[次へ] を選択してください。

[アドオンの選択] ページで、クラスターに追加するアドオンを選択してください。特定のアドオンが事前に選択されています。[アマゾン EKS アドオン] と [AWS マーケットプレイス アドオン] は必要な数だけ選択できます。インストールする AWS マーケットプレイス アドオンがリストされていない場合はページ番号をクリックして追加のページ結果を表示するか、または検索ボックスにテキストを入力して使用可能な AWS マーケットプレイス アドオンを検索できます。[カテゴリ]、[ベンダー]、または [料金モデル] でフィルタリングして、検索結果からアドオンを選択することもできます。クラスターを作成する際に、「EKS Pod Identity がポッドに AWS サービスへのアクセス権を付与する方法を学ぶ」で詳述されているように、EKS ポッドアイデンティティー をサポートするアドオンを表示、選択、インストールできます。

このページを読み終えたら、[次へ] を選択してください。

アマゾン VPC CNI、CoreDNS、kube-proxy などの一部のアドオンはデフォルトでインストールされます。デフォルトのアドオンのいずれかを無効にすると、Kubernetes アプリケーションを実行する機能に影響する場合があります。

[選択したアドオン設定の構成] ページで、インストールするバージョンを選択し、[次へ] を選択してください。クラスターを作成した後はいつでも新しいバージョンに更新できます。

EKS ポッドアイデンティティー をサポートするアドオンの場合、コンソールを使用して、アドオン専用に事前入力された名前、AWS マネージドポリシー、信頼ポリシーを使用してロールを自動的に生成できます。既存のロールを再利用したり、サポートされているアドオン用の新しいロールを作成したりできます。コンソールを使用して EKS ポッドアイデンティティー をサポートするアドオンのロールを作成するためのステップについては「アドオンの作成 (AWS コンソール）」を参照してください。アドオンが EKS Pod Identity をサポートしていない場合、クラスターの作成後にウィザードを使用してサービスアカウント用の IAM ロール (IRSA 作成する手順を示すメッセージが表示されます。

クラスターの作成後に、各アドオンの設定を更新できます。アドオンの設定の詳細については「アマゾン EKS アドオンを更新する」を参照してください。このページを読み終えたら、[次へ] を選択してください。

[確認と作成] ページで、前のページで入力または選択した情報を確認します。変更する必要がある場合は[編集] を選択してください。そのままでよければ、[作成] を選択してください。クラスターがプロビジョニングされている間、[ステータス] フィールドに [作成中] と表示されます。

クラスターのプロビジョニングには数分かかります。

「ステップ 3: kubeconfig を更新する」に進みます

下記のコマンドを使用して、クラスターを作成します。コマンドを実行する前に、次の置き換えを行います：

このオプションを指定できるのはIPv4 アドレスファミリーを使用してクラスターを作成するときのみです。これを指定しない場合、Kubernetes は10.100.0.0/16 または 172.20.0.0/16 のいずれかの CIDR ブロックからサービス IP アドレスを割り当てます。

クラスターがプロビジョニングされるまでに数分かかります。クラスターのステータスのクエリを実行するには次のコマンドを使用します。

aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status"

出力が「ACTIVE」を返すまで、次のステップに進まないでください。

「ステップ 3: kubeconfig を更新する」に進みます

eksctl を使用してクラスターを作成した場合、このステップはスキップできます。eksctl によってこのステップはすでに完了しているからです。新しいコンテキストを kubectl config ファイルに追加して、kubectl がクラスターと通信できるようにします。ファイルを作成および更新する方法の詳細については「kubeconfig ファイルを作成して kubectl を EKS クラスターに接続する」を参照してください。

aws eks update-kubeconfig --region region-code --name my-cluster

出力例は次のとおりです。

Added new context arn:aws:eks:region-code:111122223333:cluster/my-cluster to /home/username/.kube/config

次のコマンドを実行して、クラスターとの通信を確認します。

kubectl get svc

出力例は次のとおりです。

NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   28h

(推奨 アマゾン EKS アドオンを使用するか、固有の AWS アイデンティティとアクセス管理 (IAM アクセス許可を個々の Kubernetes ワークロードに付与できるようにするにはクラスター用に IAM OpenID コネクト (OIDC プロバイダーを作成します。クラスター用に IAM OIDC プロバイダーを作成する必要があるのは 1 回だけです。アマゾン EKS アドオンの詳細については「アマゾン EKS アドオン」を参照してください。ワークロードに特定の IAM アクセス許可を割り当てる方法については「サービスアカウントの IAM ロール」を参照してください。

(推奨 アマゾン EC2 ノードをクラスターにデプロイする前に Amazon VPC CNI plugin for Kubernetes プラグイン用にクラスターを設定します。デフォルトではプラグインはクラスターとともにインストールされています。アマゾン EC2 ノードをクラスターに追加すると、プラグインは追加する各 アマゾン EC2 ノードに自動的にデプロイされます。プラグインでは次の IAM ポリシーのいずれかを IAM ロールにアタッチする必要があります。クラスターが IPv4 ファミリーを使用する場合はアマゾンEKS_CNI_Policy マネージド IAM ポリシーを使用します。クラスターが IPv6 ファミリーを使用している場合、自ら作成した IAM ポリシーを使用します。

ポリシーをアタッチする IAM ロールはノード IAM ロール、またはプラグインにのみ使用される専用ロールです。このロールにポリシーをアタッチすることをお勧めします。ロールの作成の詳細については「IRSA を使用するように アマゾン VPC CNI プラグインを設定する」または「アマゾン EKS ノードの IAM ロール」を参照してください。

AWS Management Console を使用してクラスターをデプロイした場合、このステップはスキップできます。AWS Management Console ではデフォルトで、Amazon VPC CNI plugin for Kubernetes、CoreDNS、および kube-proxy アマゾン EKS アドオンがデプロイされます。

eksctl または AWS CLI のいずれかを使用してクラスターをデプロイする場合、Amazon VPC CNI plugin for Kubernetes、CoreDNS、、および kube-proxy セルフマネージドアドオンがデプロイされます。クラスターとともに アマゾン EKS アドオンにデプロイされる Amazon VPC CNI plugin for Kubernetes、CoreDNS、および kube-proxy セルフマネージド型アドオンを移行できます。詳細については「アマゾン EKS アドオン」を参照してください。

(オプション) まだ作成していない場合はクラスターの Prometheus メトリクスを有効にできます。詳細については「アマゾン プロメテウスのマネージドサービス ユーザーガイド」の「スクレイパーの作成」を参照してください。

アマゾン EBS ボリュームを使用するクラスターにワークロードをデプロイする予定で、1.23 以降のクラスターを作成した場合、ワークロードをデプロイする前に、アマゾン EBS CSI をクラスターにインストールする必要があります。