部署 Amazon EKS IPv6 集群和 Amazon Linux 托管节点

运行以下命令设置 AWS CloudFormation 堆栈名称的变量。您可以将 my-eks-ipv6-vpc 替换为选择的任何名称。

export vpc_stack_name=my-eks-ipv6-vpc

使用 AWS CloudFormation 模板创建 IPv6 VPC。

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

堆栈需要几分钟的时间来创建。运行以下命令。在命令的输出变成 CREATE_COMPLETE 之前，请勿继续执行下一步。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

检索创建的公有子网的 ID。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

示例输出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

为创建的公有子网启用自动分配 IPv6 地址选项。

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

从部署的 AWS CloudFormation 堆栈中检索模板创建的子网和安全组的名称，将其存储在变量中，以供后续步骤使用。

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

运行以下命令以创建 eks-cluster-role-trust-policy.json 文件。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

运行以下命令设置角色名称的变量。您可以将 myAmazonEKSClusterRole 替换为选择的任何名称。

export cluster_role_name=myAmazonEKSClusterRole

创建角色。

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

检索 IAM 角色的 ARN 并将其存储在变量中以供后续步骤使用。

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

将所需的 Amazon EKS 托管 IAM 策略附加到角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

注意：您可能会收到一个错误，指示请求中的可用区之一没有足够容量来创建 Amazon EKS 集群。如果发生这种情况，错误输出将包含可支持新集群的可用区。再次尝试使用至少两个位于您账户中支持的可用区的子网创建集群。有关更多信息，请参阅 容量不足。

创建集群需要几分钟时间。运行以下命令。在命令的输出变成 ACTIVE 之前，请勿继续执行下一步。

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

运行以下命令以创建 vpc-cni-ipv6-policy.json 文件。

cat >vpc-cni-ipv6-policy <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

创建 IAM 策略。

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

运行以下命令以创建 node-role-trust-relationship.json 文件。

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

运行以下命令设置角色名称的变量。您可以将 AmazonEKSNodeRole 替换为选择的任何名称。

export node_role_name=AmazonEKSNodeRole

创建 IAM 角色。

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

将 IAM 策略附加到 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

将两个所需的 IAM 托管策略附加到 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

检索 IAM 角色的 ARN 并将其存储在变量中以供后续步骤使用。

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

查看在上一步中创建的子网的 ID。

echo $subnets

示例输出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

创建节点组。将 0a1a56c486EXAMPLE、099e6ca77aEXAMPLE、0377963d69EXAMPLE 和 0c05f819d5EXAMPLE 替换为上一步输出中返回的值。请务必在以下命令之前的输出中删除子网 ID 之间的逗号。您可以将 t3.medium 替换为任何 AWS Nitro 系统实例类型。

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

创建节点组需要几分钟的时间。运行以下命令。在返回的输出为 ACTIVE 之前，请勿继续执行下一步。

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

如果您在与之前步骤不同的 shell 中完成此步骤，请设置之前步骤中使用的所有变量的值，然后将 example values 替换为完成之前步骤时指定的值。如果在完成之前步骤的同一 shell 中完成此步骤，请跳至下一步。

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

删除您的节点组。

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

删除需要花费几分钟的时间。运行以下命令。如果返回任何输出，请勿继续执行下一步。

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

请删除集群。

aws eks delete-cluster --region $region_code --name $cluster_name

删除集群需要几分钟时间。在继续之前，请确保使用以下命令删除集群。

aws eks describe-cluster --region $region_code --name $cluster_name

在输出与以下输出类似之前，请勿继续执行下一步。

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

删除您创建的 IAM 资源。如果您选择的名称与与之前步骤中使用的名称不同，则将 AmazonEKS_CNI_IPv6_Policy 替换为您选择的名称。

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

删除创建 VPC 的 AWS CloudFormation 堆栈。

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name