Criar nós autogerenciados do Amazon Linux

(Opcional) Se a política gerenciada do IAM, AmazonEKS_CNI_Policy, estiver anexada à Perfil do IAM em nós do Amazon EKS, recomendamos atribuí-la a um perfil do IAM que você associa à conta de serviço Kubernetes aws-node do Kubernetes. Para ter mais informações, consulte Configurar o plug-in CNI da Amazon VPC para usar IRSA.

O comando a seguir cria um grupo de nós em um cluster existente. Substitua al-nodes por um nome para o seu grupo de nós. O nome do grupo de nós não pode exceder 63 caracteres. Deve começar com uma letra ou um dígito, mas pode incluir hifens e sublinhados para os demais caracteres. Substitua o my-cluster pelo nome do cluster. O nome só pode conter caracteres alfanuméricos (sensíveis a maiúsculas e minúsculas) e hifens. Ele deve começar com um caractere alfanumérico e não pode ter mais de 100 caracteres. O nome deve ser exclusivo dentro da Região da AWS e da Conta da AWS na qual você está criando o cluster. Substitua os valores de example value restantes pelos seus próprios valores. Os nós são criados com a mesma versão do Kubernetes que o ambiente de gerenciamento, por padrão.

Antes de escolher um valor para --node-type, revise Escolher um tipo de instância de nó do Amazon EC2 ideal.

Substituir my-key pelo nome do par de chaves do Amazon EC2 ou da chave pública. Essa chave é usada para SSH em seus nós depois que eles forem iniciados. Se ainda não tiver um par de chaves do Amazon EC2, você poderá criar um no AWS Management Console. Para obter mais informações, consulte Pares de chaves do Amazon EC2, no Guia do usuário do Amazon EC2.

Crie seu grupo de nós com o comando a seguir.

eksctl create nodegroup \
  --cluster my-cluster \
  --name al-nodes \
  --node-type t3.medium \
  --nodes 3 \
  --nodes-min 1 \
  --nodes-max 4 \
  --ssh-access \
  --managed=false \
  --ssh-public-key my-key

Para implantar um grupo de nós que:

Para obter uma lista completa de todas as opções e padrões disponíveis, digite o comando a seguir.

eksctl create nodegroup --help

Se os nós não conseguirem se juntar ao cluster, consulte Worker nodes fail to join cluster (Falha nos nós ao ingressar no cluster) no capítulo Solução de problemas.

Veja um exemplo de saída abaixo. Várias linhas são emitidas enquanto os nós são criados. Uma das últimas linha de saída é o exemplo de linha a seguir.

[✔]  created 1 nodegroup(s) in cluster "my-cluster"

(Opcional) Implante uma aplicação de amostra para testar o cluster e os nós do Linux.

Convém bloquear o acesso para Pod ao IMDS se as condições a seguir forem verdadeiras:

Para obter mais informações, consulte Restringir o acesso ao perfil da instância atribuído ao nó de processamento.

Faça download da versão mais recente do modelo AWS CloudFormation.

curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2022-12-23/amazon-eks-nodegroup.yaml

Aguarde até que o status do cluster seja exibido como ACTIVE. Se você executar os nós antes que o cluster esteja ativo, o registro dos nós no cluster falhará, e você terá de executá-los novamente.

Abra o console do AWS CloudFormation em https://console.aws.amazon.com/cloudformation.

Selecione Create stack (Criar pilha) e With new resources (standard) (Com novos recursos, padrão).

Para Specify template (Especificar modelo), selecione Upload a template file (Fazer upload de um arquivo de modelo) e depois Choose file (Escolher arquivo).

Selecione o arquivo amazon-eks-nodegroup.yaml que você baixou.

Escolha Próximo.

Na página Specify stack details (Especificar detalhes da pilha), insira os parâmetros de acordo e escolha Next (Próximo):

Selecione as opções desejadas na página Configure stack options (Configurar opções de pilha) e depois escolha Next (Próximo).

Marque a caixa de seleção à esquerda de I acknowledge that AWS CloudFormation might create IAM resources. (Reconheço que o pode criar recursos do IAM) e escolha Create stack (Criar pilha).

Quando a criação da pilha for concluída, selecione-a no console e escolha Outputs (Saídas).

Registre o valor de NodeInstanceRole para o grupo de nós criado. Você precisará dele ao configurar os nós do Amazon EKS.

Verifique se você já tem um aws-auth ConfigMap.

kubectl describe configmap -n kube-system aws-auth

Se você receber um aws-auth ConfigMap, atualize-o conforme necessário.

1. Abra o ConfigMap para edição.

   kubectl edit -n kube-system configmap/aws-auth
   

2. Adicione uma nova mapRoles entrada conforme necessário. Defina o valor rolearn para o valor NodeInstanceRole que você registrou no procedimento anterior.

   [...]
   data:
     mapRoles: |
       - rolearn: <ARN of instance role (not instance profile)>
         username: system:node:{{EC2PrivateDNSName}}
         groups:
           - system:bootstrappers
           - system:nodes
   [...]

3. Salve o arquivo e saia do seu editor de texto.

Se você recebeu um erro informando "Error from server (NotFound): configmaps "aws-auth" not found, aplique o estoqueConfigMap.

1. Faça download do mapa de configuração.

   curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/aws-auth-cm.yaml
   

2. No arquivo aws-auth-cm.yaml, configure o valor rolearn para o valor NodeInstanceRole que você registrou no procedimento anterior. É possível fazer isso com um editor de texto ou substituindo my-node-instance-role e executando o seguinte comando:

   sed -i.bak -e 's|<ARN of instance role (not instance profile)>|my-node-instance-role|' aws-auth-cm.yaml
   

3. Aplique a configuração. Esse comando pode demorar alguns minutos para ser concluído.

   kubectl apply -f aws-auth-cm.yaml
   

Observe o status de seus nós e aguarde até que eles atinjam o status Ready.

kubectl get nodes --watch

Insira Ctrl+C para retornar a um prompt de shell.

Se os nós não conseguirem se juntar ao cluster, consulte Worker nodes fail to join cluster (Falha nos nós ao ingressar no cluster) no capítulo Solução de problemas.

(Somente nós de GPU) Se tiver escolhido um tipo de instância de GPU e a AMI acelerada otimizada para o Amazon EKS, você deverá aplicar o Plug-in de dispositivo NVIDIA para Kubernetes como um DaemonSet no cluster. Substitua vX.X.X pela versão desejada de NVIDIA/k8s-device-plugin antes de executar o comando a seguir.

kubectl apply -f https://raw.githubusercontent.com/NVIDIA/k8s-device-plugin/vX.X.X/deployments/static/nvidia-device-plugin.yml

(Opcional) Implante uma aplicação de amostra para testar o cluster e os nós do Linux.

(Opcional) Se a política do IAM gerenciada AmazonEKS_CNI_Policy (se você tiver um cluster IPv4) ou a AmazonEKS_CNI_IPv6_Policy (que você mesmo criou caso tenha um cluster IPv6) estiver anexada à Perfil do IAM em nós do Amazon EKS, é recomendável atribuí-la a um perfil do IAM que você associará à conta de serviço aws-node do Kubernetes. Para ter mais informações, consulte Configurar o plug-in CNI da Amazon VPC para usar IRSA.

Convém bloquear o acesso para Pod ao IMDS se as condições a seguir forem verdadeiras:

Para obter mais informações, consulte Restringir o acesso ao perfil da instância atribuído ao nó de processamento.