Amazon EKS ノードの IAM ロール

IAM コンソール のhttps://console.aws.amazon.com/iam/ 開きます

左のナビゲーションペインで、[ロール] を選択してください。

[ロール] ページで、[ロールの作成] を選択してください。

[信頼されたエンティティを選択] ページで、以下の操作を実行します。

[アクセス許可を追加] ページで、カスタムポリシーをアタッチするか、以下の操作を行います。

[名前を付けて、レビューし、作成する] ページで、以下の操作を実行します。

次のコマンドを実行して、node-role-trust-relationship.json ファイルを作成します。

cat >node-role-trust-relationship.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "sts:AssumeRole"
            ],
            "Principal": {
                "Service": [
                    "ec2.amazonaws.com"
                ]
            }
        }
    ]
}
EOF

IAM ロールを作成します。

aws iam create-role \
  --role-name AmazonEKSNodeRole \
  --assume-role-policy-document file://"node-role-trust-relationship.json"

IAM ロールに、2 つの必須なマネージド IAM ポリシーをアタッチします。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name AmazonEKSNodeRole
aws iam attach-role-policy \
  --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly \
  --role-name AmazonEKSNodeRole

クラスターを作成した IP ファミリーに応じて、次の IAM ポリシーの 1 つを IAM ロールにアタッチします。このポリシーは、このロール、または、Kubernetes の aws-node サービスアカウントに関連付けられたロールにアタッチされる必要があります。これらのロールは、Amazon VPC CNI plugin for Kubernetes で使用されます。このポリシーは、Kubernetes サービスアカウントに関連付けられたロールにを割り当てることをお勧めします。Kubernetes サービスアカウントに関連付けられたロールへのポリシーの割り当てについては、「IRSA を使用するように Amazon VPC CNI プラグインを設定する」を参照しください。