Criar um cluster do Amazon EKS.

Se já tiver um perfil do IAM de cluster ou se for criar seu cluster com eksctl, você poderá ignorar essa etapa. Por padrão, eksctl cria um perfil para você.

Execute o seguinte comando para criar um arquivo JSON de política de confiança do IAM:

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Crie o perfil do IAM do cluster do Amazon EKS. Se necessário, prefixe eks-cluster-role-trust-policy.json com o caminho no computador no qual você gravou o arquivo na etapa anterior. O comando associa a política de confiança criada na etapa anterior à função. Para criar um perfil do IAM, a entidade principal do IAM que estiver criando o perfil deverá ser atribuída à seguinte ação iam:CreateRole (permissão):

aws iam create-role --role-name myAmazonEKSClusterRole --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Você pode atribuir a política gerenciada do Amazon EKS ou criar sua própria política personalizada. Para obter as permissões mínimas que você deve usar em sua política personalizada, consulte Função do IAM do cluster do Amazon EKS.

Anexe a política gerenciada do Amazon EKS chamada AmazonEKSClusterPolicy à perfil. Para anexar uma política do IAM a uma entidade principal do IAM a entidade principal do IAM que está anexando a política deve receber uma das seguintes ações do IAM (permissões): iam:AttachUserPolicy ou iam:AttachRolePolicy.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name myAmazonEKSClusterRole

Você precisa da versão 0.199.0 ou posterior da ferramenta de linha de comando da eksctl instalada no seu dispositivo ou AWS CloudShell. Para instalar ou atualizar o eksctl, consulte Instalação na documentação do eksctl.

Crie um cluster do Amazon EKS IPv4 com a versão padrão do Amazon EKS Kubernetes em sua região padrão AWS. Antes da execução do comando, realize as seguintes substituições:

Substitua region-code pela região AWS na qual você deseja criar o cluster.

Substitua my-cluster por um nome para seu cluster. O nome só pode conter caracteres alfanuméricos (sensíveis a maiúsculas e minúsculas) e hifens. Ele deve começar com um caractere alfanumérico e não pode ter mais de 100 caracteres. O nome deve ser exclusivo na região da AWS e na conta da AWS em que você está criando o cluster.

Substitua 1.29 por qualquer versão compatível do Amazon EKS.

Altere os valores para vpc-private-subnets para atender às suas necessidades. Também é possível adicionar outras IDs. Você deve especificar pelo menos dois IDs de sub-rede. Se preferir especificar sub-redes públicas, poderá alterar --vpc-private-subnets para --vpc-public-subnets. Sub-redes públicas têm uma tabela de rotas associada a uma rota para um gateway da Internet, mas sub-redes privadas não têm tabelas de rotas associadas. Convém utilizar sub-redes privadas sempre que possível.

As sub-redes escolhidas devem atender aos Requisitos para sub-redes do Amazon EKS. Antes de selecionar sub-redes, convém estar familiarizado com todos os Requisitos e considerações sobre VPCs e sub-redes do Amazon EKS.

Execute o seguinte comando:

eksctl create cluster --name my-cluster --region region-code --version 1.29 --vpc-private-subnets subnet-ExampleID1,subnet-ExampleID2 --without-nodegroup

O provisionamento de cluster leva alguns minutos. Durante a criação do cluster, várias linhas de saída são exibidas. A última linha do resultado é semelhante ao exemplo de linha a seguir.

[✓]  EKS cluster "my-cluster" in "region-code" region is ready

Continue com Etapa 3: atualizar o kubeconfig

Abra o console do Amazon EKS.

Escolha Add cluster (Adicionar cluster) e, em seguida, Create (Criar).

Em Opções de configuração, selecione Configuração personalizada.

Em Modo Automático do EKS, desative a opção Usar Modo Automático do EKS.

Na página Configure cluster (Configurar cluster), preencha os seguintes campos:

Na seção Acesso ao cluster da página de configuração do cluster, preencha os seguintes campos:

Na página Specify networking (Especificar redes), selecione valores para os seguintes campos:

Apenas é possível especificar essa opção ao utilizar a família de endereços IPv4 e somente ao criar o cluster. Se isso não for especificado, o Kubernetes atribuirá endereços IP de serviço de qualquer um dos blocos CIDR 10.100.0.0/16 ou 172.20.0.0/16.

(Opcional) Na página Configurar observabilidade, escolha quais opções de Métricas e Log do ambiente de gerenciamento deseja ativar. Por padrão, o cada tipo de log está desativado.

Após terminar com essa página, escolha Próximo.

Na página Select add-ons (Selecionar complementos), escolha os complementos que você deseja adicionar ao cluster. Alguns complementos são pré-selecionados. Você pode escolher quantos complementos do Amazon EKS e do AWS Marketplace desejar. Se os complementos do AWS Marketplace que você deseja instalar não estiverem listados, será possível clicar na numeração da página para visualizar resultados de páginas adicionais ou pesquisar os complementos disponíveis no AWS Marketplace inserindo algum texto na caixa de pesquisa. Você também poderá pesquisar por categoria, fornecedor ou modelo de preços e depois escolher os complementos nos resultados da pesquisa. Ao criar um cluster, é possível visualizar, selecionar e instalar qualquer complemento que ofereça suporte às Identidade de Pods do EKS, conforme detalhado em Saiba como a EKS Pod Identity concede aos pods acesso aos serviços da AWS.

Após terminar com essa página, escolha Próximo.

Alguns complementos, como Amazon VPC CNI, CoreDNS e kube-proxy, são instalados por padrão. Se você desabilitar qualquer um dos complementos padrão, isso poderá afetar sua capacidade de executar aplicações do Kubernetes.

Na página Configurar opções de complementos selecionados, selecione a versão que deseja instalar. Você sempre pode atualizar para uma versão posterior após a criação do cluster.

Para complementos com suporte para Identidade de Pods do EKS, é possível usar o console para gerar automaticamente o perfil com o nome, a política gerenciada pela AWS e a política de confiança pré-preenchidos especificamente para o complemento. É possível reutilizar perfis existentes ou criar novos perfis para complementos com suporte. Para obter as etapas de uso do console para criar perfis para complementos que ofereçam suporte às Identidades de Pods do EKS, consulte Criar complemento (console do AWS). Se um complemento não oferecer suporte à Identidade de Pods do EKS, uma mensagem será exibida com instruções para usar o assistente para criar os perfis do IAM para contas de serviço (IRSA) após a criação do cluster.

Você pode atualizar a configuração de cada complemento após a criação do cluster. Para obter mais informações sobre a configuração de complementos, consulte Atualizar um complemento do Amazon EKS. Após terminar com essa página, escolha Próximo.

Na página Review and create (Revisar e criar), revise as informações que você inseriu ou selecionou nas páginas anteriores. Se precisar fazer alterações, escolha Edit (Editar). Quando estiver satisfeito, escolha Criar. O campo Status mostra o campo CREATING (Criando) enquanto o cluster é provisionado.

O provisionamento de cluster leva alguns minutos.

Continue com Etapa 3: atualizar o kubeconfig

Crie o cluster usando o comando a seguir. Antes da execução do comando, realize as seguintes substituições:

Apenas é possível especificar essa opção ao utilizar a família de endereços IPv4 e somente ao criar o cluster. Se isso não for especificado, o Kubernetes atribuirá endereços IP de serviço de qualquer um dos blocos CIDR 10.100.0.0/16 ou 172.20.0.0/16.

Leva alguns minutos para provisionar o cluster. Você pode consultar o status do cluster com o comando a seguir.

aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status"

Não prossiga para a próxima etapa até que a saída recebida esteja ACTIVE.

Continue com Etapa 3: atualizar o kubeconfig

Se você criou seu cluster usando eksctl, pode ignorar esta etapa. Isso ocorre porque eksctl já concluiu essa etapa para você. Habilite o kubectl para se comunicar com o cluster adicionando um novo contexto ao arquivo kubectl config. Para obter mais informações sobre como criar e atualizar o arquivo, consulte Conectar o kubectl a um cluster do EKS criando um arquivo kubeconfig.

aws eks update-kubeconfig --region region-code --name my-cluster

Veja um exemplo de saída abaixo.

Added new context arn:aws:eks:region-code:111122223333:cluster/my-cluster to /home/username/.kube/config

Confirme a comunicação com o cluster, executando o seguinte comando:

kubectl get svc

Veja um exemplo de saída abaixo.

NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   28h

(Recomendado) Para usar alguns complementos do Amazon EKS ou para permitir que workloads individuais do Kubernetes tenham permissões específicas do AWS Identity and Access Management (IAM), crie um provedor IAM OpenID Connect (OIDC) para seu cluster. Você só precisa criar um provedor de OIDC do IAM para o cluster uma vez. Para saber mais sobre os complementos do Amazon EKS, consulte Complementos do Amazon EKS. Para saber mais sobre a atribuição de permissões específicas do IAM às workloads, consulte Perfis do IAM para contas de serviço.

(Recomendado) Configure o cluster para o plugin Amazon VPC CNI plugin for Kubernetes antes de implantar nós do Amazon EC2 no cluster. Por padrão, o plugin foi instalado com o seu cluster. Quando nós do Amazon EC2 são adicionados ao cluster, o plugin é implantado automaticamente em cada nó do Amazon EC2 que você adicionar. O plugin requer a anexação de uma das seguintes políticas do IAM a um perfil do IAM. Se o seu cluster usar a família IPv4, use a política do IAM gerenciada AmazonEKS_CNI_Policy. Se o seu cluster usar a família IPv6, use uma política do IAM criada por você.

O perfil do IAM ao qual a política é anexada pode ser o perfil do IAM do nó ou um perfil dedicado utilizado apenas para o plugin. Convém anexar a política a esse perfil. Para obter mais informações sobre como criar o perfil, consulte Configurar o plug-in CNI da Amazon VPC para usar IRSA ou perfil do IAM de nó do Amazon EKS.

Se você implantou seu cluster usando o AWS Management Console, pode ignorar esta etapa. O AWS Management Console implanta os complementos Amazon VPC CNI plugin for Kubernetes, CoreDNS e kube-proxy do Amazon EKS por padrão.

Se você implementar o cluster usando o eksctl ou a AWS CLI, os complementos autogerenciados Amazon VPC CNI plugin for Kubernetes, CoreDNS e kube-proxy serão implantados. É possível migrar os complementos autogerenciados Amazon VPC CNI plugin for Kubernetes, CoreDNS e kube-proxy, que são implantados com seu cluster, para complementos do Amazon EKS. Para ter mais informações, consulte Complementos do Amazon EKS.

(Opcional) Se você ainda não fez isso, poderá habilitar as métricas do Prometheus para seu cluster. Para obter mais informações, consulte Criar um extrator no Guia do usuário do Amazon Managed Service for Prometheus.

Se você planeja implementar workloads em seu cluster que usam volumes do Amazon EBS e criou um cluster 1.23 ou posterior, deverá instalar o Amazon EBS CSI em seu cluster antes de implementar as workloads.