ハイブリッドノードの認証情報を準備する

ハイブリッドノード用の AWS SSM CloudFormation テンプレートをダウンロードします。

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ssm-cfn.yaml'

以下のオプションを使用して cfn-ssm-parameters.json を作成します。

CloudFormation スタックをデプロイします。STACK_NAME は、その CloudFormation スタックに付けた任意の名前に置き換えてください。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ssm-cfn.yaml \
    --parameter-overrides file://cfn-ssm-parameters.json \
    --capabilities CAPABILITY_NAMED_IAM

認証機関 (CA) のセットアップ

ハイブリッドノード用の AWS IAM Roles Anywhere CloudFormation テンプレートをダウンロードします

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ira-cfn.yaml'

以下のオプションを使用して cfn-iamra-parameters.json を作成します。

CloudFormation テンプレートをデプロイする。STACK_NAME は、その CloudFormation スタックに付けた任意の名前に置き換えてください。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ira-cfn.yaml \
    --parameter-overrides file://cfn-iamra-parameters.json
    --capabilities CAPABILITY_NAMED_IAM

次の内容で、eks-describe-cluster-policy.json という名前のファイルを作成します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster"
            ],
            "Resource": "*"
        }
    ]
}

次のコマンドを使用してポリシーを作成します。

aws iam create-policy \
    --policy-name EKSDescribeClusterPolicy \
    --policy-document file://eks-describe-cluster-policy.json

次の内容で、eks-hybrid-ssm-policy.json という名前のファイルを作成します。このポリシーは、ssm:DescribeInstanceInformation と ssm:DeregisterManagedInstance の 2 つのアクションのアクセス許可を付与します。このポリシーは、ssm:DeregisterManagedInstance へのアクセス許可の範囲を、信頼ポリシーで指定したリソースタグに基づき、AWS SSM ハイブリッドアクティベーションに関連付けられた AWS SSM マネージドインスタンスに制限します。

次のコマンドを使用してポリシーを作成します。

aws iam create-policy \
    --policy-name EKSHybridSSMPolicy \
    --policy-document file://eks-hybrid-ssm-policy.json

eks-hybrid-ssm-trust.json という名前のファイルを作成します。AWS_REGION を AWS SSM ハイブリッドアクティベーションの AWS リージョンに、AWS_ACCOUNT_ID をお使いの AWS アカウント ID に置き換えます。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

次のコマンドを使用してロールを作成します。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-ssm-trust.json

前のステップで作成した EKSDescribeClusterPolicy と EKSHybridSSMPolicy をアタッチします。AWS_ACCOUNT_ID を AWS アカウント ID に置き換えます。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSHybridSSMPolicy

AmazonEC2ContainerRegistryPullOnly と AmazonSSMManagedInstanceCore AWS マネージドポリシーをアタッチします。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

eks-hybrid-iamra-trust.json という名前のファイルを作成します。TRUST_ANCHOR ARN を、AWS IAM Roles Anywhere の設定 のステップで作成したトラストアンカーの ARN に置き換えます。この信頼ポリシーの条件は、AWS IAM Roles Anywhere がハイブリッドノードの IAM ロールを引き受けて一時的な IAM 認証情報を交換する機能を、ロールセッション名がハイブリッドノードにインストールされている x509 証明書の CN と一致する場合のみに制限します。別の方法として、他の証明書属性を使用してノードを一意に識別することもできます。信頼ポリシーで使用する証明書属性は、nodeadm 設定で設定した nodeName に対応している必要があります。詳細については、「ハイブリッドノード nodeadm 参照」を参照してください。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

次のコマンドを使用してロールを作成します。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-iamra-trust.json

前のステップで作成した EKSDescribeClusterPolicy をアタッチします。AWS_ACCOUNT_ID を AWS アカウント ID に置き換えます。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

AmazonEC2ContainerRegistryPullOnly AWS マネージドポリシーをアタッチします。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

Amazon IAM コンソールを開きます。

左のナビゲーションペインの [ポリシー] を選択します。

[ポリシー] ページで、[ポリシーの作成] を選択します。

[アクセス許可を指定] ページの [サービスの選択] パネルで、[EKS] を選択します。

[確認と作成] ページで以下を行います。

Amazon IAM コンソールを開きます。

左のナビゲーションペインの [ポリシー] を選択します。

[ポリシー] ページで、[ポリシーの作成] を選択します。

[アクセス許可を指定] ページの [ポリシーエディタ] の右上のナビゲーションで、[JSON] を選択します。以下のスニペットを貼り付けます。AWS_REGION を AWS SSM ハイブリッドアクティベーションの AWS リージョンに置き換え、AWS_ACCOUNT_ID をお使いの AWS アカウント ID に置き換えます。TAG_KEY と TAG_VALUE を、AWS SSM ハイブリッドアクティベーションの作成時に使用した AWS SSM リソースのタグキーに置き換えます。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

[確認と作成] ページで以下を行います。

左のナビゲーションペインで、[ロール] を選択します。

[ロール] ページで、[ロールの作成] を選択します。

[信頼されたエンティティを選択] ページで、以下の操作を実行します。

[アクセス許可を追加] ページで、カスタムポリシーをアタッチするか、以下の操作を行います。

[名前を付けて、レビューし、作成する] ページで、以下の操作を実行します。

Amazon IAM コンソールを開きます。

左のナビゲーションペインで、[ロール] を選択します。

[ロール] ページで、[ロールの作成] を選択します。

[信頼されたエンティティを選択] ページで、以下の操作を実行します。

[アクセス許可を追加] ページで、カスタムポリシーをアタッチするか、以下の操作を行います。

[名前を付けて、レビューし、作成する] ページで、以下の操作を実行します。