매니페스트를 사용하여 AWS Load Balancer Controller 설치

my-cluster를 사용자 클러스터 이름으로 바꾸고 111122223333을 계정 ID로 바꾼 다음 명령을 실행합니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우, arn:aws: 를 arn:aws-us-gov:로 대체합니다.

$ eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

클러스터의 OIDC 제공업체 ID를 검색하고 변수에 저장합니다.

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

클러스터 ID를 가진 IAM OIDC 제공업체가 이미 계정에 있는지 확인합니다. 클러스터와 IAM 모두에 OIDC를 구성해야 합니다.

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

출력이 반환되면 해당 클러스터에 대한 IAM OIDC 제공업체가 이미 있는 것입니다. 출력이 반환되지 않은 경우 해당 클러스터에 대한 IAM OIDC 제공업체를 생성해야 합니다. 자세한 내용은 클러스터에 대한 IAM OIDC 공급자 생성 단원을 참조하십시오.

다음 콘텐츠를 디바이스에 복사합니다. 111122223333을 계정 ID로 바꿉니다. region-code를 클러스터가 있는 AWS 리전으로 바꿉니다. EXAMPLED539D4633E53DE1B71EXAMPLE을 이전 단계에서 반환된 출력으로 바꿉니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우, arn:aws: 를 arn:aws-us-gov:로 대체합니다. 텍스트를 바꾼 후 수정된 명령을 실행하여 load-balancer-role-trust-policy.json 파일을 생성합니다.

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

IAM 역할을 생성합니다.

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

필요한 Amazon EKS 관리형 IAM 정책을 IAM 역할에 연결합니다. 111122223333을 계정 ID로 바꿉니다.

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

다음 콘텐츠를 디바이스에 복사합니다. 111122223333을 계정 ID로 바꿉니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우, arn:aws: 를 arn:aws-us-gov:로 대체합니다. 텍스트를 바꾼 후 수정된 명령을 실행하여 aws-load-balancer-controller-service-account.yaml 파일을 생성합니다.

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

클러스터에 Kubernetes 서비스 계정을 생성합니다. aws-load-balancer-controller라는 이름의 Kubernetes 서비스 계정에는 AmazonEKSLoadBalancerControllerRole이라는 이름으로 생성한 IAM 역할이 주석으로 지정되어 있습니다.

$ kubectl apply -f aws-load-balancer-controller-service-account.yaml