하이브리드 노드에 대한 자격 증명 준비

하이브리드 노드용 AWS SSM CloudFormation 템플릿을 다운로드합니다.

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ssm-cfn.yaml'

다음과 같은 옵션으로 cfn-ssm-parameters.json을 생성합니다.

CloudFormation 스택 배포 STACK_NAME을 CloudFormation 스택의 이름으로 바꿉니다.

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ssm-cfn.yaml \
    --parameter-overrides file://cfn-ssm-parameters.json \
    --capabilities CAPABILITY_NAMED_IAM

인증 기관(CA)을 설정하려면

하이브리드 노드용 AWS IAM Roles Anywhere CloudFormation 템플릿을 다운로드합니다.

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ira-cfn.yaml'

다음과 같은 옵션으로 cfn-iamra-parameters.json을 생성합니다.

CloudFormation 템플릿을 배포합니다. STACK_NAME을 CloudFormation 스택의 이름으로 바꿉니다.

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ira-cfn.yaml \
    --parameter-overrides file://cfn-iamra-parameters.json
    --capabilities CAPABILITY_NAMED_IAM

다음 콘텐츠를 가진 eks-describe-cluster-policy.json이라는 파일을 생성합니다:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster"
            ],
            "Resource": "*"
        }
    ]
}

다음 명령을 사용하여 정책을 생성합니다.

aws iam create-policy \
    --policy-name EKSDescribeClusterPolicy \
    --policy-document file://eks-describe-cluster-policy.json

다음 콘텐츠를 가진 eks-hybrid-ssm-policy.json이라는 파일을 생성합니다: 이 정책은 ssm:DescribeInstanceInformation 및 ssm:DeregisterManagedInstance 두 작업에 대한 권한을 부여합니다. 이 정책은 신뢰 정책에 지정한 리소스 태그를 기반으로 AWS SSM 하이브리드 활성화와 연결된 AWS SSM 관리형 인스턴스에 대한 ssm:DeregisterManagedInstance 권한을 제한합니다.

다음 명령을 사용하여 정책을 생성합니다.

aws iam create-policy \
    --policy-name EKSHybridSSMPolicy \
    --policy-document file://eks-hybrid-ssm-policy.json

eks-hybrid-ssm-trust.json이라는 이름의 파일을 만듭니다. AWS_REGION을 AWS SSM 하이브리드 활성화의 AWS 리전으로 바꾸고 AWS_ACCOUNT_ID를 AWS 계정 ID로 바꿉니다.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

다음 명령을 사용하여 역할을 생성합니다.

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-ssm-trust.json

이전 단계에서 생성한 EKSDescribeClusterPolicy와 EKSHybridSSMPolicy를 연결합니다. AWS_ACCOUNT_ID을 AWS 계정 ID로 바꿉니다.

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSHybridSSMPolicy

AmazonEC2ContainerRegistryPullOnly 및 AmazonSSMManagedInstanceCore AWS 관리형 정책을 연결합니다.

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

eks-hybrid-iamra-trust.json이라는 이름의 파일을 만듭니다. TRUST_ANCHOR ARN을 AWS IAM Roles Anywhere 설정 단계에서 생성한 트러스트 앵커의 ARN으로 바꿉니다. 이 신뢰 정책의 조건은 역할 세션 이름이 하이브리드 노드에 설치된 x509 인증서의 CN과 일치하는 경우에만 AWS IAM Roles Anywhere가 하이브리드 노드 IAM 역할을 수임하여 임시 IAM 자격 증명을 교환하는 기능을 제한합니다. 또는 다른 인증서 속성을 사용하여 노드를 고유하게 식별할 수 있습니다. 신뢰 정책에서 사용하는 인증서 속성은 nodeadm 구성에서 설정한 nodeName과 일치해야 합니다. 자세한 내용은 하이브리드 노드 nodeadm 참조을 참조하세요.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

다음 명령을 사용하여 역할을 생성합니다.

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-iamra-trust.json

이전 단계에서 생성한 EKSDescribeClusterPolicy를 연결합니다. AWS_ACCOUNT_ID을 AWS 계정 ID로 바꿉니다.

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

AmazonEC2ContainerRegistryPullOnly AWS 관리형 정책을 연결합니다.

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

Amazon IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 정책을 선택합니다.

정책 페이지에서 정책 생성을 선택합니다.

권한 지정 페이지의 서비스 선택 패널에서 EKS를 선택합니다.

검토 및 생성 페이지에서

Amazon IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 정책을 선택합니다.

정책 페이지에서 정책 생성을 선택합니다.

권한 지정 페이지의 정책 편집기 오른쪽 상단에서 JSON을 선택합니다. 다음 조각을 붙여 넣습니다. AWS_REGION을 AWS SSM 하이브리드 활성화의 AWS 리전으로 바꾸고 AWS_ACCOUNT_ID를 AWS 계정 ID로 바꿉니다. TAG_KEY 및 TAG_VALUE를 AWS SSM 하이브리드 활성화를 생성할 때 사용한 AWS SSM 리소스 태그 키로 바꿉니다.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

검토 및 생성 페이지에서

왼쪽 탐색 창에서 역할을 선택합니다.

역할 페이지에서 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 선택 페이지에서 다음을 수행합니다.

권한 추가 페이지에서 사용자 지정 정책을 연결하거나 다음과 같이 합니다.

이름, 검토 및 생성 페이지에서 다음을 수행합니다.

Amazon IAM 콘솔을 엽니다.

왼쪽 탐색 창에서 역할을 선택합니다.

역할 페이지에서 역할 생성을 선택합니다.

신뢰할 수 있는 엔터티 선택 페이지에서 다음을 수행합니다.

권한 추가 페이지에서 사용자 지정 정책을 연결하거나 다음과 같이 합니다.

이름, 검토 및 생성 페이지에서 다음을 수행합니다.