Step Functions를 사용하여 Amazon EKS 클러스터 생성 및 관리

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

Step Functions를 Amazon EKS와 통합하여 Kubernetes 클러스터를 관리하는 방법을 알아봅니다. Step Functions는 Amazon Elastic Kubernetes Service와 통합할 수 있도록 두 가지 유형의 서비스 통합 API를 제공합니다. 하나는 Amazon EKS API를 사용하여 Amazon EKS 클러스터를 만들고 관리할 수 있도록 합니다. 다른 하나는 Kubernetes API를 사용하여 클러스터와 상호 작용하고 작업을 애플리케이션 워크플로의 일부로 실행할 수 있도록 합니다.

Step Functions를 사용하여 만든 Amazon EKS 클러스터, eksctl 도구 또는 Amazon EKS 콘솔로 만든 Amazon EKS 클러스터 또는 유사한 방법으로 Kubernetes API 통합을 사용할 수 있습니다. 자세한 내용은 Amazon EKS 사용 설명서의 Amazon EKS 클러스터 생성을 참조하세요.

Step Functions의 AWS 서비스와 통합하는 방법에 대한 자세한 내용은 서비스 통합 및 섹션을 참조하세요Step Functions의 서비스 API에 파라미터 전달.

Step Functions는 실행이 중지된 경우 Amazon EKS 클러스터를 자동으로 종료하지 않습니다. Amazon EKS 클러스터가 종료되기 전에 상태 시스템이 중지하면 클러스터가 무기한 계속 실행될 수 있으므로 추가 요금이 발생할 수 있습니다. 이를 방지하려면 생성된 모든 Amazon EKS 클러스터를 올바르게 종료해야 합니다. 자세한 내용은 다음을 참조하세요.

Kubernetes API 통합

Step Functions는 다음 Kubernetes API를 지원합니다.

RunJob

eks:runJob 서비스 통합을 사용하면 Amazon EKS 클러스터에서 작업을 실행할 수 있습니다. 이 eks:runJob.sync 변형을 사용하면 작업이 완료될 때까지 기다릴 수 있으며 선택적으로 로그를 검색할 수 있습니다.

Kubernetes API 서버는 상태 시스템에서 사용하는 IAM 역할에 권한을 부여해야 합니다. 자세한 내용은 권한 단원을 참조하십시오.

작업 실행(.sync) 패턴의 경우 작업 상태는 폴링을 통해 결정됩니다. Step Functions는 처음에 1분당 약 1회 속도로 폴링합니다. 결국 이 속도는 5분당 약 1회 폴링으로 느려집니다. 더 자주 폴링해야 하거나 폴링 전략을 더 세밀하게 제어해야 하는 경우 eks:call 통합을 사용하여 작업 상태를 쿼리하면 됩니다.

eks:runJob 통합은 batch/v1 Kubernetes 작업에만 해당됩니다. 자세한 내용은 Kubernetes 문서의 작업을 참조하세요. 사용자 지정 리소스를 포함하여 다른 Kubernetes 리소스를 관리하려면 eks:call 서비스 통합을 사용합니다. Lambda 및를 사용한 작업 상태 폴링 AWS Batch 샘플 프로젝트에 나와 있는 것처럼 Step Functions를 사용하여 폴링 루프를 빌드할 수 있습니다.

지원되는 파라미터는 다음과 같습니다.

다음 예제에는 작업을 실행하고 작업이 완료될 때까지 기다린 다음 작업 로그를 검색하는 Task 상태가 포함됩니다.

{
  "StartAt": "Run a job on EKS",
  "States": {
    "Run a job on EKS": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:runJob.sync",
      "Parameters": {
        "ClusterName": "MyCluster",
        "CertificateAuthority": "ANPAJ2UCCR6DPCEXAMPLE",
        "Endpoint": "https://AKIAIOSFODNN7EXAMPLE.yl4.us-east-1.eks.amazonaws.com",
        "LogOptions": {
          "RetrieveLogs": true
        },
        "Job": {
          "apiVersion": "batch/v1",
          "kind": "Job",
          "metadata": {
            "name": "example-job"
          },
          "spec": {
            "backoffLimit": 0,
            "template": {
              "metadata": {
                "name": "example-job"
              },
              "spec": {
                "containers": [
                  {
                    "name": "pi-2000",
                    "image": "perl",
                    "command": [ "perl" ],
                    "args": [
                      "-Mbignum=bpi",
                      "-wle",
                      "print bpi(2000)"
                    ]
                  }
                ],
                "restartPolicy": "Never"
              }
            }
          }
        }
      },
      "End": true
    }
  }
}

Call

eks:call 서비스 통합을 사용하면 Kubernetes API를 사용하여 Kubernets API 엔드포인트를 통해 Kubernetes 리소스 객체를 읽고 쓸 수 있습니다.

Kubernetes API 서버는 상태 시스템에서 사용하는 IAM 역할에 권한을 부여해야 합니다. 자세한 내용은 권한 단원을 참조하십시오.

사용 가능한 작업에 대한 자세한 내용은 Kubernetes API 참조를 확인하세요.

지원되는 Call 파라미터는 다음과 같습니다.

다음에는eks:call을 사용하여 example-job 작업에 속하는 포드를 나열하는 Task 상태가 포함됩니다.

{
  "StartAt": "Call EKS",
  "States": {
    "Call EKS": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:call",
      "Parameters": {
        "ClusterName": "MyCluster",
        "CertificateAuthority": "ANPAJ2UCCR6DPCEXAMPLE",
        "Endpoint": "https://444455556666.yl4.us-east-1.eks.amazonaws.com",
        "Method": "GET",
        "Path": "/api/v1/namespaces/default/pods",
        "QueryParameters": {
          "labelSelector": [
            "job-name=example-job"
          ]
        }
      },
      "End": true
    }
  }
}

다음에는 eks:call을 사용하여 example-job 작업을 삭제하고 propagationPolicy를 설정하여 작업 포드도 삭제되었는지 확인하는 Task 상태가 포함됩니다.

{
  "StartAt": "Call EKS",
  "States": {
    "Call EKS": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:call",
      "Parameters": {
        "ClusterName": "MyCluster",
        "CertificateAuthority": "ANPAJ2UCCR6DPCEXAMPLE",
        "Endpoint": "https://444455556666.yl4.us-east-1.eks.amazonaws.com",
        "Method": "DELETE",
        "Path": "/apis/batch/v1/namespaces/default/jobs/example-job",
        "QueryParameters": {
          "propagationPolicy": [
            "Foreground"
          ]
        }
      },
      "End": true
    }
  }
}

최적화된 Amazon EKS APIs

지원되는 Amazon EKS API 및 구문은 다음과 같습니다.

다음에는 Amazon EKS 클러스터를 만드는 Task가 포함됩니다.

{
  "StartAt": "CreateCluster.sync",
  "States": {
    "CreateCluster.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:createCluster.sync",
      "Parameters": {
        "Name": "MyCluster",
        "ResourcesVpcConfig": {
          "SubnetIds": [
            "subnet-053e7c47012341234",
            "subnet-027cfea4b12341234"
          ]
        },
        "RoleArn": "arn:aws:iam::123456789012:role/MyEKSClusterRole"
      },
      "End": true
    }
  }
}

다음에는 Amazon EKS 클러스터를 삭제하는 Task 상태가 포함됩니다.

{
  "StartAt": "DeleteCluster.sync",
  "States": {
    "DeleteCluster.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:deleteCluster.sync",
      "Parameters": {
        "Name": "MyCluster"
      },
      "End": true
    }
  }
}

다음에는 Fargate 프로필을 만드는 Task 상태가 포함됩니다.

{
  "StartAt": "CreateFargateProfile.sync",
  "States": {
    "CreateFargateProfile.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:createFargateProfile.sync",
      "Parameters": {
        "ClusterName": "MyCluster",
        "FargateProfileName": "MyFargateProfile",
        "PodExecutionRoleArn": "arn:aws:iam::123456789012:role/MyFargatePodExecutionRole",
        "Selectors": [{
            "Namespace": "my-namespace",
            "Labels": { "my-label": "my-value" }
          }]
      },
      "End": true
    }
  }
}

다음에는 Fargate 프로필을 삭제하는 Task 상태가 포함됩니다.

{
  "StartAt": "DeleteFargateProfile.sync",
  "States": {
    "DeleteFargateProfile.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:deleteFargateProfile.sync",
      "Parameters": {
        "ClusterName": "MyCluster",
        "FargateProfileName": "MyFargateProfile"
      },
      "End": true
    }
  }
}

다음에는 노드 그룹을 만드는 Task 상태가 포함됩니다.

{
  "StartAt": "CreateNodegroup.sync",
  "States": {
    "CreateNodegroup.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:createNodegroup.sync",
      "Parameters": {
        "ClusterName": "MyCluster",
        "NodegroupName": "MyNodegroup",
        "NodeRole": "arn:aws:iam::123456789012:role/MyNodeInstanceRole",
        "Subnets": ["subnet-09fb51df01234", "subnet-027cfea4b1234"] 
      },
      "End": true
    }
  }
}

다음에는 노드 그룹을 삭제하는 Task 상태가 포함됩니다.

{
  "StartAt": "DeleteNodegroup.sync",
  "States": {
    "DeleteNodegroup.sync": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:deleteNodegroup.sync",
      "Parameters": {
        "ClusterName": "MyCluster",
        "NodegroupName": "MyNodegroup"
      },
      "End": true
    }
  }
}

권한

eks:createCluster 서비스 통합을 통해 Amazon EKS 클러스터가 생성될 때 IAM 역할은 관리자(system:masters 권한이 있음)로 Kubernetes RBAC 인증 테이블에 추가됩니다. 처음에는 해당 IAM 엔터티만 Kubernetes API 서버를 직접적으로 호출할 수 있습니다. 예를 들어 Step Functions 상태 시스템과 동일한 역할을 가정하거나 권한을 추가 IAM 엔티티에 부여하도록 Kubernetes를 구성하지 않는 한 kubectl을 사용하여 Kubernetes API 서버와 상호 작용할 수 없습니다. 자세한 내용은 Amazon EKS 사용 설명서의 클러스터의 사용자 또는 IAM 역할 관리를 참조하세요.

사용자 또는 역할과 같은 추가 IAM 엔티티를 kube-system 네임스페이스의 aws-auth ConfigMap에 추가하여 해당 엔티티에 대한 권한을 추가할 수 있습니다. Step Functions에서 클러스터를 만드는 경우 eks:call 서비스 통합을 사용합니다.

다음에는 aws-auth ConfigMap을 만들고 system:masters 권한을 arn:aws:iam::123456789012:user/my-user 사용자와 IAM 역할 arn:aws:iam::123456789012:role/my-role에 부여하는 Task 상태가 포함됩니다.

{
  "StartAt": "Add authorized user",
  "States": {
    "Add authorized user": {
      "Type": "Task",
      "Resource": "arn:aws:states:::eks:call",
      "Parameters": {
        "ClusterName": "MyCluster",
        "CertificateAuthority": "LS0tLS1CRUd...UtLS0tLQo=",
        "Endpoint": "https://444455556666.yl4.us-east-1.eks.amazonaws.com",
        "Method": "POST",
        "Path": "/api/v1/namespaces/kube-system/configmaps",
        "RequestBody": {
           "apiVersion": "v1",
           "kind": "ConfigMap",
           "metadata": {
              "name": "aws-auth",
              "namespace": "kube-system"
           },
           "data": {
             "mapUsers": "[{ \"userarn\": \"arn:aws:iam::123456789012:user/my-user\", \"username\": \"my-user\", \"groups\": [ \"system:masters\" ] } ]",
             "mapRoles": "[{ \"rolearn\": \"arn:aws:iam::123456789012:role/my-role\", \"username\": \"my-role\", \"groups\": [ \"system:masters\" ] } ]"
           }
        }
      },
      "End": true
    }
  }

클러스터를 처음 만들 때는 aws-auth ConfigMap이 존재하지 않지만 Fargate 프로필을 만들면 자동으로 추가됩니다. aws-auth의 현재 값을 검색하고 추가 권한을 추가하고, 새 버전을 PUT할 수 있습니다. 일반적으로 Fargate 프로필 전에 aws-auth를 만드는 것이 더 쉽습니다.

클러스터가 Step Functions 외부에서 생성된 경우 Kubernetes API 서버와 통신하려면 kubectl을 구성하면 됩니다. 그런 다음 kubectl apply -f aws-auth.yaml을 사용하여 새 aws-auth ConfigMap을 만들거나 kubectl edit -n kube-system configmap/aws-auth를 사용하여 이미 있는 서버를 편집합니다. 자세한 내용은 다음을 참조하세요.

Kubernetes에 IAM 역할에 대한 충분한 권한이 없으면 eks:call 또는 eks:runJob 서비스 통합이 실패하고 다음 오류가 발생합니다.

Error:
EKS.401

Cause:
{
  "ResponseBody": {
    "kind": "Status",
    "apiVersion": "v1",
    "metadata": {},
    "status": "Failure",
    "message": "Unauthorized",
    "reason": "Unauthorized",
    "code": 401
  },
  "StatusCode": 401,
  "StatusText": "Unauthorized"
}

            

Amazon EKS 호출을 위한 IAM 정책

다음 예제 템플릿은가 상태 시스템 정의의 리소스를 기반으로 IAM 정책을 AWS Step Functions 생성하는 방법을 보여줍니다. 자세한 내용은 Step Functions가 통합 서비스용 IAM 정책을 생성하는 방법 및 Step Functions에서 서비스 통합 패턴 검색 단원을 참조하세요.

CreateCluster

리소스

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:CreateCluster"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster",
                "eks:DeleteCluster"
            ],
            "Resource": "arn:aws:eks:sa-east-1:444455556666:cluster/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::444455556666:role/StepFunctionsSample-EKSClusterManag-EKSServiceRole-ANPAJ2UCCR6DPCEXAMPLE"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "eks.amazonaws.com"
                }
            }
        }
    ]
}

CreateNodeGroup

리소스

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:DescribeSubnets",
                "eks:CreateNodegroup"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeNodegroup",
                "eks:DeleteNodegroup"
            ],
            "Resource": "arn:aws:eks:sa-east-1:444455556666:nodegroup/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "iam:GetRole",
                "iam:ListAttachedRolePolicies"
            ],
            "Resource": "arn:aws:iam::444455556666:role/*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": [
                "arn:aws:iam::444455556666:role/StepFunctionsSample-EKSClusterMan-NodeInstanceRole-ANPAJ2UCCR6DPCEXAMPLE"
            ],
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": "eks.amazonaws.com"
                }
            }
        }
    ]
}

DeleteCluster

리소스

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DeleteCluster",
                "eks:DescribeCluster"
            ],
            "Resource": [
                "arn:aws:eks:sa-east-1:444455556666:cluster/ExampleCluster"
            ]
        }
    ]
}

DeleteNodegroup

리소스

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DeleteNodegroup",
                "eks:DescribeNodegroup"
            ],
            "Resource": [
                "arn:aws:eks:sa-east-1:444455556666:nodegroup/ExampleCluster/ExampleNodegroup/*"
            ]
        }
    ]
}

Step Functions에서 Amazon EKS 사용에 대한 자세한 내용은 Step Functions를 사용하여 Amazon EKS 클러스터 생성 및 관리 섹션을 참조하세요.