Preparar as credenciais para nós híbridos

Substitua ROLE_NAME pelo nome do perfil do IAM de nós híbridos. Por padrão, o modelo do CloudFormation usa o AmazonEKSHybridNodesRole como nome do perfil que ele cria, caso você não especifique um nome.

Substitua TAG_KEY pela chave de tag de recurso do AWS SSM que você usou ao criar a ativação híbrida do AWS SSM. A combinação da chave e do valor da tag é usada na condição de ssm:DeregisterManagedInstance para permitir que somente o perfil do IAM de nós híbridos cancele o registro das instâncias gerenciadas pelo AWS SSM associadas à ativação híbrida do AWS SSM. No modelo do CloudFormation, TAG_KEY é definido como EKSClusterARN.

Substitua TAG_VALUE pelo valor da tag de recurso do AWS SSM que você usou ao criar a ativação híbrida do AWS SSM. A combinação da chave e do valor da tag é usada na condição de ssm:DeregisterManagedInstance para permitir que somente o perfil do IAM de nós híbridos cancele o registro das instâncias gerenciadas pelo AWS SSM associadas à ativação híbrida do AWS SSM. Caso esteja usando o padrão TAG_KEY de EKSClusterARN, passe o ARN do cluster do EKS como TAG_VALUE. Os ARNs dos clusters do EKS têm o formato arn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Para usar um recurso do AWS Private CA, abra o console do AWS Private Certificate Authority. Siga as instruções no Guia do usuário do AWS Private CA.

Para usar uma CA externa, siga as instruções fornecidas pela CA. Você fornece o corpo do certificado em uma etapa posterior.

Os certificados emitidos por CAs públicas não podem ser usados como âncoras de confiança.

Substitua ROLE_NAME pelo nome do perfil do IAM de nós híbridos. Por padrão, o modelo do CloudFormation usa o AmazonEKSHybridNodesRole como nome do perfil que ele cria, caso você não especifique um nome.

Substitua CERT_ATTRIBUTE pelo atributo de certificado por máquina que identifica exclusivamente o host. O atributo de certificado que você usa deve corresponder ao nodeName que você usa para a configuração de nodeadm ao conectar nós híbridos ao cluster. Para obter mais informações, consulte Referência do nodeadm para nós híbridos. Por padrão, o modelo do CloudFormation usa ${aws:PrincipalTag/x509Subject/CN} como CERT_ATTRIBUTE, o que corresponde ao campo CN dos certificados por máquina. Como alternativa, você pode passar $(aws:PrincipalTag/x509SAN/Name/CN} como CERT_ATTRIBUTE.

Substitua CA_CERT_BODY pelo corpo do certificado da CA sem quebras de linha. CA_CERT_BODY deve estar no formato Privacy Enhanced Mail (PEM). Se você tiver um certificado CA no formato PEM, remova as quebras de linha e as linhas BEGIN CERTIFICATE e END CERTIFICATE antes de colocar o corpo do certificado CA no arquivo cfn-iamra-parameters.json.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

Substitua AWS_REGION pela região da AWS da ativação híbrida do AWS SSM.

Substitua AWS_ACCOUNT_ID pelo ID de sua conta da AWS.

Substitua TAG_KEY pela chave de tag de recurso do AWS SSM que você usou ao criar a ativação híbrida do AWS SSM. A combinação da chave e do valor da tag é usada na condição de ssm:DeregisterManagedInstance para permitir que somente o perfil do IAM de nós híbridos cancele o registro das instâncias gerenciadas pelo AWS SSM associadas à ativação híbrida do AWS SSM. No modelo do CloudFormation, TAG_KEY é definido como EKSClusterARN.

Substitua TAG_VALUE pelo valor da tag de recurso do AWS SSM que você usou ao criar a ativação híbrida do AWS SSM. A combinação da chave e do valor da tag é usada na condição de ssm:DeregisterManagedInstance para permitir que somente o perfil do IAM de nós híbridos cancele o registro das instâncias gerenciadas pelo AWS SSM associadas à ativação híbrida do AWS SSM. Caso esteja usando o padrão TAG_KEY de EKSClusterARN, passe o ARN do cluster do EKS como TAG_VALUE. Os ARNs dos clusters do EKS têm o formato arn:aws:eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtre as ações de DescribeCluster e selecione a ação de leitura DescribeCluster.

Escolha Próximo.

Insira um Nome de política para a política, como EKSDescribeClusterPolicy.

Escolha Criar política.

Escolha Próximo.

Insira um nome de Política para a política, como EKSHybridSSMPolicy.

Escolha Criar política.

Na Seção do tipo de entidade confiável, escolha Política de confiança personalizada. Cole o indicado abaixo no editor de políticas de confiança personalizadas. Substitua AWS_REGION pela região da AWS da ativação híbrida do AWS SSM e AWS_ACCOUNT_ID pelo ID da conta da AWS.

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

Escolha Next (próximo).

Na caixa Filtrar políticas, insira EKSDescribeClusterPolicy ou o nome da política que você criou acima. Marque a caixa de seleção à esquerda do nome da política nos resultados da pesquisa.

Na caixa Filtrar políticas, insira EKSHybridSSMPolicy ou o nome da política que você criou acima. Marque a caixa de seleção à esquerda do nome da política nos resultados da pesquisa.

Na caixa Filter policies (Políticas de filtro) insira AmazonEC2ContainerRegistryPullOnly. Marque a caixa de seleção à esquerda de AmazonEC2ContainerRegistryPullOnly nos resultados da pesquisa.

Na caixa Filter policies (Políticas de filtro) insira AmazonSSMManagedInstanceCore. Marque a caixa de seleção à esquerda de AmazonSSMManagedInstanceCore nos resultados da pesquisa.

Escolha Próximo.

Em Role name (Nome da função), insira um nome exclusivo para a função, como AmazonEKSHybridNodesRole.

Em Description (Descrição), substitua o texto atual por um texto descritivo como Amazon EKS - Hybrid Nodes role.

Selecione Criar perfil.

Na Seção do tipo de entidade confiável, escolha Política de confiança personalizada. Cole o indicado abaixo no editor de políticas de confiança personalizadas. Substitua TRUST_ANCHOR ARN pelo ARN da âncora de confiança criada nas etapas de Configurar o AWS IAM Roles Anywhere. A condição nessa política de confiança restringe a capacidade do AWS IAM Roles Anywhere de assumir o perfil do IAM de nós híbridos para trocar as credenciais temporárias do IAM somente quando o nome da sessão do perfil corresponder ao CN no certificado x509 instalado nos nós híbridos. Como alternativa, você pode usar outros atributos de certificado para identificar o nó de forma exclusiva. O atributo de certificado que você usa na política de confiança deve corresponder ao nodeName definido na configuração de nodeadm. Para obter mais informações, consulte Referência do nodeadm para nós híbridos.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

Escolha Next (próximo).

Na caixa Filtrar políticas, insira EKSDescribeClusterPolicy ou o nome da política que você criou acima. Marque a caixa de seleção à esquerda do nome da política nos resultados da pesquisa.

Na caixa Filter policies (Políticas de filtro) insira AmazonEC2ContainerRegistryPullOnly. Marque a caixa de seleção à esquerda de AmazonEC2ContainerRegistryPullOnly nos resultados da pesquisa.

Escolha Próximo.

Em Role name (Nome da função), insira um nome exclusivo para a função, como AmazonEKSHybridNodesRole.

Em Description (Descrição), substitua o texto atual por um texto descritivo como Amazon EKS - Hybrid Nodes role.

Selecione Criar perfil.