기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Amazon EKS 액세스 항목 인증

Amazon EKS는 클러스터의 Kubernetes API를 호출할 수 있는 권한을 IAM 보안 주체에 부여하는 두 가지 메커니즘, 즉 레거시 aws-auth ConfigMap과 최신 액세스 항목 API를 지원합니다. 액세스 항목은 두 메커니즘 중 하나를 통해 클러스터에 인증할 수 있는 ConfigMap. AWS Batch can을 편집할 필요 없이 IAM 보안 주체에 대한 Kubernetes API 액세스 권한을 부여합니다.

컴퓨팅 환경에서를 ENABLED eksConfiguration.accessEntry.desiredState로 설정하면 AWS Batch 가 클러스터에서 해당 컴퓨팅 환경의 액세스 항목을 관리할 수 있습니다. 더 이상 aws-auth ConfigMap을 수동으로 편집할 필요가 없습니다.

가 액세스 항목을 AWS Batch 프로비저닝하는지 여부는 AWS Batch 컴퓨팅 환경과 Amazon EKS 클러스터 구성에 따라 달라집니다. 세부 정보는 클러스터의와 상호 작용 authenticationMode 섹션을 참조하세요.

accessEntry.desiredState에 대한 값

의 desiredState 필드는 컴퓨팅 환경에 대해 원하는 액세스 항목 상태를 EksAccessEntry 선언합니다. 유효값은 다음과 같습니다.

또한 컴퓨팅 환경은 DescribeComputeEnvironments 응답에 읽기 전용 accessEntry.status 필드를 노출합니다. ACTIVE는 컴퓨팅 환경에 대한 AWS Batch관리형 액세스 항목이 클러스터에 존재하고 ConfigMap보다 우선한다는 의미입니다. aws-auth는 AWS Batch관리형 액세스 항목이 없음을 INACTIVE 의미합니다. 이는 desiredState, 클러스터DISABLED를 대상으로 하는 컴퓨팅 환경이 아직에 동의하지 않거나 항목이 아직 프로비저닝되지 desiredState않았기 때문일 수 있습니다. 이 accessEntry.status인 경우 INACTIVE배치는 클러스터 액세스에 aws-auth ConfigMap을 사용합니다.

클러스터의와 상호 작용 authenticationMode

의 AWS Batch 동작 방식은 클러스터의 인증 모드에 desiredState 따라 달라집니다. 다음 표는 CreateComputeEnvironment 및 모두에 적용됩니다UpdateComputeEnvironment.

가 컴퓨팅 환경 desiredState 간에 AWS Batch 를 조정하는 방법

단일 Amazon EKS 클러스터는 여러 AWS Batch 컴퓨팅 환경을 지원할 수 있으므로 클러스터의 액세스 구성은 공유 리소스입니다. AWS Batch 따라서는 해당 컴퓨팅 환경에서 기록된 desiredState 값을 조정하거나 비교 및 해결합니다.

클러스터의이 인 경우 API_AND_CONFIG_MAPauthenticationMode는 클러스터를 대상으로 하는 동일한 AWS 계정 및 AWS 리전의 모든 컴퓨팅 환경에 대해 desiredState 기록된를 AWS Batch 비교합니다.는이 비교를 AWS Batch 사용하여를 지정하는 각 CreateComputeEnvironment 또는 UpdateComputeEnvironment 작업에 액세스 항목을 추가 또는 제거할지 여부를 결정합니다desiredState.

가 클러스터에 AWS Batch 생성하는 내용

AWS Batch 는 위의 조건을 충족하는 클러스터당 하나의 액세스 항목을 생성한 다음 AWSBatchClusterPolicy Amazon EKS 액세스 정책을 해당 액세스 항목과 연결합니다. 액세스 항목은 컴퓨팅 환경이 아닌 클러스터당이므로 동일한 클러스터를 대상으로 하는 모든 AWS Batch 컴퓨팅 환경이 이를 공유합니다.

액세스 항목만으로는 클러스터에서 작업을 실행하기에 충분하지 않습니다. 직접 구성해야 하는 Kubernetes 권한 및 노드 액세스는 섹션을 참조하세요여전히 제공해야 하는 클러스터 구성.

필수 권한

AWS Batch 는 CreateComputeEnvironment 또는 UpdateComputeEnvironment 작업을 호출하는 IAM 자격 증명의 자격 증명을 사용하여 액세스 항목을 관리합니다. 이 자격 증명은 다음 Amazon EKS 작업을 수행할 수 있어야 합니다.

액세스 항목 구성

CreateComputeEnvironment 또는 UpdateComputeEnvironment API의 eksConfiguration.accessEntry 필드를 통해 컴퓨팅 환경에서 액세스 항목을 구성할 수 있습니다.

AWS CLI

컴퓨팅 환경을 생성할 때 AWS Batch관리형 액세스 항목 활성화

$ aws batch create-compute-environment \
    --compute-environment-name my-eks-ce \
    --type MANAGED \
    --eks-configuration 'eksClusterArn=arn:aws:eks:us-east-1:123456789012:cluster/my-cluster,kubernetesNamespace=my-aws-batch-namespace,accessEntry={desiredState=ENABLED}' \
    --compute-resources 'type=EC2,maxvCpus=128,subnets=subnet-a123456b,securityGroupIds=sg-a12b3456,instanceRole=arn:aws:iam::123456789012:instance-profile/my-node-instance-profile'

기존 컴퓨팅 환경에서 AWS Batch관리형 액세스 항목 활성화

$ aws batch update-compute-environment \
    --compute-environment my-eks-ce \
    --eks-configuration 'accessEntry={desiredState=ENABLED}'

상태 확인

$ aws batch describe-compute-environments \
    --compute-environments my-eks-ce \
    --query "computeEnvironments[0].eksConfiguration.accessEntry"

응답에는 desiredState 지정한와 관찰된이 모두 포함됩니다status.

{
    "desiredState": "ENABLED",
    "status": "ACTIVE"
}

참고

AWS Batch 는 모든 Amazon EKS 컴퓨팅 환경에 accessEntry.status 대해를 반환하고는 사용자가 설정한 desiredState 경우에만를 반환합니다. 지정한 적이 없는 컴퓨팅 환경은 status 단독으로 accessEntry 반환됩니다.

액세스 항목 AWS Batch 관리를 중지하려면 DISABLED 대신를 desiredState로 설정합니다. 이렇게 하기 전에 검토클러스터의와 상호 작용 authenticationMode: 인증 모드DISABLED가 인 클러스터API와 인증 모드가 인 클러스터에서는 클러스터를 대상으로 하는 모든 AWS Batch 컴퓨팅 환경이 로 설정된 후에만 API_AND_CONFIG_MAP 액세스 항목이 제거됩니다DISABLED.

API

CreateComputeEnvironment 또는 UpdateComputeEnvironment 요청에서 eksConfiguration.accessEntry 객체를 사용합니다.

AWS Batch관리형 액세스 항목을 사용하여 컴퓨팅 환경 생성

요청 본문accessEntry에 다음을 포함합니다.

{
    "computeEnvironmentName": "my-eks-ce",
    "type": "MANAGED",
    "state": "ENABLED",
    "eksConfiguration": {
        "eksClusterArn": "arn:aws:eks:us-east-1:123456789012:cluster/my-cluster",
        "kubernetesNamespace": "my-aws-batch-namespace",
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    },
    "computeResources": {
        "type": "EC2",
        "maxvCpus": 128,
        "subnets": ["subnet-a123456b"],
        "securityGroupIds": ["sg-a12b3456"],
        "instanceRole": "arn:aws:iam::123456789012:instance-profile/my-node-instance-profile"
    }
}

기존 컴퓨팅 환경에서 액세스 항목 업데이트

{
    "computeEnvironment": "my-eks-ce",
    "eksConfiguration": {
        "accessEntry": {
            "desiredState": "ENABLED"
        }
    }
}

자세한 내용은 API 참조의 , EksAccessEntry CreateComputeEnvironment 및 UpdateComputeEnvironment를 참조하세요. AWS Batch

여전히 제공해야 하는 클러스터 구성

액세스 항목은가 클러스터에 AWS Batch 대해 인증하는 방법만 제어합니다. 작업을 실행하는 데 필요한 AWS Batch Kubernetes 권한을 부여하지 않으며 AWS Batch 시작하는 인스턴스가 클러스터에 조인하도록 허용하지 않습니다. 사용하는 인증 메커니즘에 관계없이 다음 두 가지를 모두 구성해야 합니다.

aws-auth ConfigMap과 액세스 항목 중에서 선택

액세스 항목 인증은 Amazon EKS 컴퓨팅 환경에서 새로운 AWS Batch 에 권장되는 경로이며 다음과 같은 이점을 제공합니다.

클러스터의이 authenticationMode인 경우 CONFIG_MAP액세스 항목을 사용할 수 없으며 aws-auth ConfigMap을 통해 AWS Batch 인증됩니다. 지침은 aws-auth ConfigMap 필드가 제대로 구성되었는지 확인 섹션을 참조하세요.