Amazon EKS IPv6 クラスターとマネージド Amazon Linux ノードをデプロイする

次のコマンドを実行して、AWS CloudFormation スタック名のための変数を設定します。my-eks-ipv6-vpc は、任意の名前に置き換えることができます。

export vpc_stack_name=my-eks-ipv6-vpc

AWS CloudFormation のテンプレートを使用して IPv6 VPC を作成します。

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

スタックが作成されるまで数分かかります。以下のコマンドを実行します。コマンドの出力が「CREATE_COMPLETE」になるまで、次のステップに進まないでください。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

作成されたパブリックサブネットの ID を取得します。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

出力例は次のとおりです。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

作成されたパブリックサブネットで、IPv6 アドレスの自動割り当てオプションを有効にします。

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

テンプレートによって作成されたサブネットおよびセキュリティグループの名前を、デプロイされた AWS CloudFormation スタックから取得します。これらの名前は、後のステップで使用するために変数に格納しておきます。

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

次のコマンドを実行して、eks-cluster-role-trust-policy.json ファイルを作成します。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

次のコマンドを実行して、ロール名の変数を設定します。myAmazonEKSClusterRole は、任意の名前に置き換えることができます。

export cluster_role_name=myAmazonEKSClusterRole

ロールを作成します。

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

IAM ロールの ARN を取得し、後のステップで使用するために変数に格納します。

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

このロールに、必要な Amazon EKS 管理の IAM ポリシーをアタッチします。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

注意: リクエストで指定したアベイラビリティーゾーンのいずれかに、Amazon EKS クラスターの作成に十分な容量がない場合には、エラーが表示されることがあります。このエラー出力には、新しいクラスターをサポートできるアベイラビリティーゾーンが表示されます。アカウント向けにサポートされているアベイラビリティーゾーンにある 2 つ以上のサブネットを使用して、クラスターを作成します。詳細については、「容量不足」を参照してください。

クラスターが作成されるまでに数分かかります。以下のコマンドを実行します。コマンドの出力が「ACTIVE」になるまで、次のステップに進まないでください。

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

次のコマンドを実行して、vpc-cni-ipv6-policy.json ファイルを作成します。

cat >vpc-cni-ipv6-policy <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

IAM ポリシーを作成します。

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

次のコマンドを実行して、node-role-trust-relationship.json ファイルを作成します。

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

次のコマンドを実行して、ロール名の変数を設定します。AmazonEKSNodeRole は、任意の名前に置き換えることができます。

export node_role_name=AmazonEKSNodeRole

IAM ロールを作成します。

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

IAM ロールに IAM ポリシーをアタッチします。

aws iam attach-role-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

IAM ロールに、2 つの必須なマネージド IAM ポリシーをアタッチします。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

IAM ロールの ARN を取得し、後のステップで使用するために変数に格納します。

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

前のステップで作成したサブネットの ID を表示します。

echo $subnets

出力例は次のとおりです。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

ノードグループを作成します。0a1a56c486EXAMPLE、099e6ca77aEXAMPLE、0377963d69EXAMPLE、および 0c05f819d5EXAMPLE は、前のステップの出力で返された値に置き換えます。次のコマンドでは、前の出力の中でサブネット ID の間にあるカンマを必ず削除して使用します。t3.medium の部分は、任意の AWS Nitro System インスタンスタイプに置き換えることができます。

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

ノードグループの作成には数分かかります。以下のコマンドを実行します。出力が「ACTIVE」を返すまで、次のステップに進まないでください。

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

ここまでの手順を実行したのとは異なるシェルで、このステップを完了する場合は、サンプル値を前の手順を実行した際に指定した値に置き換えながら、すべての変数を前の手順で使用した値に設定します。前の手順を実行したのと同じシェルでこのステップを完了する場合は、このまま次のステップに進みます。

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

ノードグループを削除します。

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

削除には数分かかります。以下のコマンドを実行します。何らかの出力が返された場合は、次のステップに進まないでください。

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

クラスターを削除します。

aws eks delete-cluster --region $region_code --name $cluster_name

クラスターの削除には数分かかります。次に進む前に、下記のコマンドを使用してクラスターが削除されていることを確認します。

aws eks describe-cluster --region $region_code --name $cluster_name

下記のような出力が返されるまで、次のステップに進まないでください。

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

作成した IAM リソースを削除します。前の手順で使用した名前とは異なる名前を選択した場合は、その名で AmazonEKS_CNI_IPv6_Policy を置き換えます。

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

VPC を作成した AWS CloudFormation スタックを削除します。

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name