매니페스트를 사용하여 AWS Load Balancer Controller 설치

eksctl을 사용하여 IAM 역할 생성

• my-cluster를 사용자 클러스터 이름으로 바꾸고 111122223333을 계정 ID로 바꾼 다음 명령을 실행합니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우 arn:aws:를 arn:aws-us-gov:로 바꿉니다.

  $ eksctl create iamserviceaccount \
    --cluster=my-cluster \
    --namespace=kube-system \
    --name=aws-load-balancer-controller \
    --role-name AmazonEKSLoadBalancerControllerRole \
    --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
    --approve

AWS CLI 및 kubectl을 사용하여 IAM 역할 생성

1. 클러스터의 OIDC 제공업체 ID를 검색하고 변수에 저장합니다.

   oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)
   

2. 클러스터 ID를 가진 IAM OIDC 제공업체가 이미 계정에 있는지 확인합니다. 클러스터와 IAM 모두에 OIDC를 구성해야 합니다.

   aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4
   

   출력이 반환되면 해당 클러스터에 대한 IAM OIDC 제공업체가 이미 있는 것입니다. 출력이 반환되지 않은 경우 해당 클러스터에 대한 IAM OIDC 제공업체를 생성해야 합니다. 자세한 내용은 클러스터에 대한 IAM OIDC 공급자 생성 단원을 참조하십시오.

3. 다음 콘텐츠를 디바이스에 복사합니다. 111122223333을 계정 ID로 바꿉니다. region-code를 클러스터가 있는 AWS 리전으로 바꿉니다. EXAMPLED539D4633E53DE1B71EXAMPLE을 이전 단계에서 반환된 출력으로 바꿉니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우 arn:aws:를 arn:aws-us-gov:로 바꿉니다. 텍스트를 바꾼 후 수정된 명령을 실행하여 load-balancer-role-trust-policy.json 파일을 생성합니다.

   cat >load-balancer-role-trust-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                   }
               }
           }
       ]
   }
   EOF
   

4. IAM 역할을 생성합니다.

   aws iam create-role \
     --role-name AmazonEKSLoadBalancerControllerRole \
     --assume-role-policy-document file://"load-balancer-role-trust-policy.json"
   

5. 필요한 Amazon EKS 관리형 IAM 정책을 IAM 역할에 연결합니다. 111122223333을 계정 ID로 바꿉니다.

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
     --role-name AmazonEKSLoadBalancerControllerRole
   

6. 다음 콘텐츠를 디바이스에 복사합니다. 111122223333을 계정 ID로 바꿉니다. 클러스터가 AWS GovCloud(미국 동부) 또는 AWS GovCloud(미국 서부) AWS 리전에 있는 경우 arn:aws:를 arn:aws-us-gov:로 바꿉니다. 텍스트를 바꾼 후 수정된 명령을 실행하여 aws-load-balancer-controller-service-account.yaml 파일을 생성합니다.

   cat >aws-load-balancer-controller-service-account.yaml <<EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/component: controller
       app.kubernetes.io/name: aws-load-balancer-controller
     name: aws-load-balancer-controller
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
   EOF
   

7. 클러스터에 Kubernetes 서비스 계정을 생성합니다. aws-load-balancer-controller라는 이름의 Kubernetes 서비스 계정에는 AmazonEKSLoadBalancerControllerRole 이름으로 생성된 IAM 역할을 사용하여 주석을 추가합니다.

   $ kubectl apply -f aws-load-balancer-controller-service-account.yaml
   

Quay.io를 사용하여 cert-manager 설치

• 노드에 quay.io 컨테이너 레지스트리에 대한 액세스 권한이 있는 경우, cert-manager를 설치한 다음 Webhook에 인증서 구성을 주입합니다.

  $ kubectl apply \
      --validate=false \
      -f https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
  

Amazon ECR을 사용하여 cert-manager 설치

1. 다음 방법 중 하나를 사용하여 cert-manager를 설치한 다음 인증서 구성을 Webhook에 주입합니다. 자세한 내용은 cert-manager 설명서의 시작하기를 참조하세요.

2. 매니페스트를 다운로드합니다.

   curl -Lo cert-manager.yaml https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
   

3. 다음 이미지를 가져와서 노드가 액세스할 수 있는 리포지토리로 푸시합니다. 이미지를 가져오기, 태그 지정 및 자체 리포지토리로 푸시하는 방법에 대한 자세한 내용은 한 리포지토리에서 다른 리포지토리로 컨테이너 이미지 복사 단원을 참조하세요.

   quay.io/jetstack/cert-manager-cainjector:v1.13.5
   quay.io/jetstack/cert-manager-controller:v1.13.5
   quay.io/jetstack/cert-manager-webhook:v1.13.5

4. 자체 레지스트리 이름으로 세 개의 이미지에 대한 매니페스트 quay.io를 바꿉니다. 다음 명령은 개인 리포지토리의 이름이 원본 리포지토리와 같다고 가정합니다. 111122223333.dkr.ecr.region-code.amazonaws.com을 개인 레지스트리로 바꿉니다.

   $ sed -i.bak -e 's|quay.io|111122223333.dkr.ecr.region-code.amazonaws.com|' ./cert-manager.yaml

5. 매니페스트를 적용합니다.

   $ kubectl apply \
       --validate=false \
       -f ./cert-manager.yaml