Amazon EKS 节点 IAM 角色

在 IAM 控制台中创建您的Amazon EKS 节点角色

1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在左侧导航窗格中，选择 Roles（角色）。

3. 在 Roles（角色）页面上，选择 Create role（创建角色）。

4. 在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：

   1. 在 Trusted entity type（受信任的实体类型）部分中，选择 AWS service（服务）。

   2. 在 Use case（使用案例）下，选择 EC2。

   3. 选择下一步。

5. 在添加权限页面上，附加自定义策略或执行以下操作：

   1. 在 Filter policies (筛选器策略) 框中，输入 AmazonEKSWorkerNodePolicy。

   2. 选中搜索结果中的 AmazonEKSWorkerNodePolicy 左侧的复选框。

   3. 请选择 Clear filters（清除筛选条件）。

   4. 在 Filter policies (筛选器策略) 框中，输入 AmazonEC2ContainerRegistryReadOnly。

   5. 选中搜索结果中的 AmazonEC2ContainerRegistryReadOnly 左侧的复选框。

      AmazonEKS_CNI_Policy 托管策略或您创建的 IPv6 策略还必须附加到此角色或映射到 aws-node Kubernetes 服务账户的其他角色。我们建议将策略分配到与 Kubernetes 服务账户关联的角色，而不是将其分配到此角色。有关更多信息，请参阅 配置 Amazon VPC CNI 插件以使用 IRSA。

   6. 选择下一步。

6. 在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：

   1. 对于 Role name（角色名称），请为角色输入唯一名称，例如 AmazonEKSNodeRole。

   2. 对于 Description（说明），请将当前文本替换为描述性文本，例如 Amazon EKS - Node role。

   3. 在添加标签（可选）下，将标签作为键值对附加，以将元数据添加到角色。有关在 IAM 中使用标签的更多信息，请参阅 《IAM 用户指南》 中的标记 IAM 资源。

   4. 选择创建角色。

1. 运行以下命令以创建 node-role-trust-relationship.json 文件。

   cat >node-role-trust-relationship.json <<EOF
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }
   EOF
   

2. 创建 IAM 角色。

   aws iam create-role \
     --role-name AmazonEKSNodeRole \
     --assume-role-policy-document file://"node-role-trust-relationship.json"
   

3. 将两个所需的 IAM 托管策略附加到 IAM 角色。

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
     --role-name AmazonEKSNodeRole
   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
     --role-name AmazonEKSNodeRole
   

4. 根据创建集群时使用的 IP 系列，将以下 IAM policy 之一附加到 IAM 角色。该策略必须附加到此角色或与用于 Amazon VPC CNI plugin for Kubernetes 的 Kubernetes aws-node 服务账户关联的角色。我们建议将策略分配到与 Kubernetes 服务账户关联的角色。要将策略分配到与 Kubernetes 服务账户关联的角色，请参阅 配置 Amazon VPC CNI 插件以使用 IRSA。

   • IPv4

     aws iam attach-role-policy \
       --policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy \
       --role-name AmazonEKSNodeRole
     

   • IPv6

     1. 复制以下文本并将其保存到名为 vpc-cni-ipv6-policy.json 的文件。

        {
            "Version": "2012-10-17",
            "Statement": [
                {
                    "Effect": "Allow",
                    "Action": [
                        "ec2:AssignIpv6Addresses",
                        "ec2:DescribeInstances",
                        "ec2:DescribeTags",
                        "ec2:DescribeNetworkInterfaces",
                        "ec2:DescribeInstanceTypes"
                    ],
                    "Resource": "*"
                },
                {
                    "Effect": "Allow",
                    "Action": [
                        "ec2:CreateTags"
                    ],
                    "Resource": [
                        "arn:aws:ec2:*:*:network-interface/*"
                    ]
                }
            ]
        }
        

     2. 创建 IAM policy。

        aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json
        

     3. 将 IAM policy 附加到 IAM 角色。请将 111122223333 替换为您的账户 ID。

        aws iam attach-role-policy \
          --policy-arn arn:aws:iam::111122223333:policy/AmazonEKS_CNI_IPv6_Policy \
          --role-name AmazonEKSNodeRole