セルフマネージド Amazon Linux ノードを作成する

(オプション) [AmazonEKS_CNI_Policy] が管理する IAM ポリシーが Amazon EKS ノードの IAM ロール にアタッチされている場合は、代わりに Kubernetes aws-node サービスアカウントに関連付けた IAM ロールに割り当てることをお勧めします。詳細については、「IRSA を使用するように Amazon VPC CNI プラグインを設定する」を参照してください。

次のコマンドは、既存のクラスターにノードグループを作成します。al-nodes をノードグループの名前に置き換えます。ノードグループ名は 63 文字以下である必要があります。先頭は文字または数字でなければなりませんが、残りの文字にはハイフンおよびアンダースコアを含めることもできます。my-cluster を自分のクラスター名に置き換えます。この名前には、英数字 (大文字と小文字が区別されます) とハイフンのみを使用できます。先頭の文字は英数字である必要があります。また、100 文字より長くすることはできません。名前は、クラスターを作成する AWS リージョン および AWS アカウント 内で一意である必要があります。残りの example value を独自の値に置き換えてください。デフォルトでは、ノードはコントロールプレーンと同じ Kubernetes バージョンで作成されます。

--node-type の値を選択する前に、「最適な Amazon EC2 ノードインスタンスタイプを選択する」を確認してください。

my-key を Amazon EC2 キーペアまたはパブリックキーの名前に置き換えます。このキーは、起動後のノードに SSH 接続するために使用されます。Amazon EC2 キーペアをまだ持っていない場合は、AWS Management Console で作成できます。詳細については、「Amazon EC2 ユーザーガイド」の「Amazon EC2 キーペア」を参照してください。

次のコマンドを使用して、ノードグループを作成します。

eksctl create nodegroup \
  --cluster my-cluster \
  --name al-nodes \
  --node-type t3.medium \
  --nodes 3 \
  --nodes-min 1 \
  --nodes-max 4 \
  --ssh-access \
  --managed=false \
  --ssh-public-key my-key

次のノードグループをデプロイするには

すべての使用可能なオプションとデフォルト値の一覧を表示するには、次のコマンドを入力します。

eksctl create nodegroup --help

ノードがクラスターに参加できない場合は、トラブルシューティングの章にある「ノードをクラスターに結合できません」を参照してください。

出力例は次のとおりです。ノードの作成中に、複数の行が出力されます。出力の最後の行は、次のサンプル行が表示されます。

[✔]  created 1 nodegroup(s) in cluster "my-cluster"

(オプション) サンプルアプリケーション をデプロイして、クラスターと Linux ノードをテストします。

次の条件が true の場合、IMDS への Pod アクセスをブロックすることをお勧めします。

詳細については、「ワーカーノードに割り当てられたインスタンスプロファイルへのアクセスを制限する」を参照してください。

AWS CloudFormation テンプレートの最新バージョンをダウンロードする

curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2022-12-23/amazon-eks-nodegroup.yaml

クラスターステータスが ACTIVE と表示されるまで待ちます。クラスターがアクティブになる前にノードを起動した場合、ノードはクラスターへの登録に失敗し、再起動する必要があります。

https://console.aws.amazon.com/cloudformation で AWS CloudFormation コンソールを開きます。

[スタックの作成] を選択し、[新しいリソースを使用 (標準)] を選択します。

[テンプレートの指定] で、[テンプレートファイルのアップロード] を選択し、[ファイルを選択] を選択します。

ダウンロードした amazon-eks-nodegroup.yaml ファイルを選択します。

[次へ] を選択します。

[スタックの詳細の指定] ページで、必要に応じて次のパラメータを入力し、[次へ] を選択します。

[スタックオプションの設定] ページで、希望する設定を選択し、[次へ] を選択します。

[AWS CloudFormation が IAM リソースを作成する可能性を認識しています] の左にあるチェックボックスを選択して、[スタックの作成] を選択します。

スタックの作成が完了したら、コンソールで選択し、[出力] を選択します。

作成されたノードグループの [NodeInstanceRole] を記録します。これは、Amazon EKS ノードを設定する際、必要になります。

aws-auth ConfigMap がすでにあるかどうかを確認します。

kubectl describe configmap -n kube-system aws-auth

aws-auth ConfigMap が表示されている場合は、必要に応じて更新してください。

1. 編集する ConfigMap を開きます。

   kubectl edit -n kube-system configmap/aws-auth
   

2. 必要に応じて新しい mapRoles エントリを追加します。rolearn 値を、前の手順で記録した [NodeInstanceRole] 値に設定します。

   [...]
   data:
     mapRoles: |
       - rolearn: <ARN of instance role (not instance profile)>
         username: system:node:{{EC2PrivateDNSName}}
         groups:
           - system:bootstrappers
           - system:nodes
   [...]

3. ファイルを保存し、テキストエディタを終了します。

「Error from server (NotFound): configmaps "aws-auth" not found」というエラーが表示されたら、ストック ConfigMap を適用してください。

1. 設定マップをダウンロードします。

   curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/aws-auth-cm.yaml
   

2. aws-auth-cm.yaml ファイルで、rolearn 値を前の手順で記録した [NodeInstanceRole] 値に設定します。これを行うには、テキストエディタを使用するか、my-node-instance-role を置き換えて次のコマンドを実行します。

   sed -i.bak -e 's|<ARN of instance role (not instance profile)>|my-node-instance-role|' aws-auth-cm.yaml
   

3. 設定を適用します。このコマンドが完了するまで数分かかることがあります。

   kubectl apply -f aws-auth-cm.yaml
   

ノードのステータスを監視し、Ready ステータスになるまで待機します。

kubectl get nodes --watch

Ctrl+C を入力して、シェルプロンプトに戻ります。

ノードがクラスターに参加できない場合は、トラブルシューティングの章にある「ノードをクラスターに結合できません」を参照してください。

(GPU ノードのみ) GPU インスタンスタイプと Amazon EKS 最適化アクセラレーション AMI を選択した場合は、クラスター上の DaemonSet として Kubernetes 用の NVIDIA デバイスプラグインを適用する必要があります。次のコマンドを実行する前に、vX.X.X を必要となる NVIDIA/k8s-device-plugin バージョンに置き換えます。

kubectl apply -f https://raw.githubusercontent.com/NVIDIA/k8s-device-plugin/vX.X.X/deployments/static/nvidia-device-plugin.yml

(オプション) サンプルアプリケーションをデプロイして、クラスターと Linux ノードをテストします。

(オプション) AmazonEKS_CNI_Policy マネージド IAM ポリシー (IPv4 クラスターがある場合)、または(IPv6 クラスターがある場合に、ユーザー自身が作成した) AmazonEKS_CNI_IPv6_Policy が Amazon EKS ノードの IAM ロール に添付されている場合、代わりに Kubernetes aws-node サービスアカウントに関連付けている IAM ロールに割り当てることをお勧めします。詳細については、「IRSA を使用するように Amazon VPC CNI プラグインを設定する」を参照してください。

次の条件が true の場合、IMDS への Pod アクセスをブロックすることをお勧めします。

詳細については、「ワーカーノードに割り当てられたインスタンスプロファイルへのアクセスを制限する」を参照してください。