在 AWS Outposts 上准备本地 Amazon EKS 集群以防断网

创建证书签名请求。

1. 生成证书签名请求。

   openssl req -new -newkey rsa:4096 -nodes -days 365 \
       -keyout admin.key -out admin.csr -subj "/CN=admin"
   

2. 在 Kubernetes 中创建证书签名请求。

   BASE64_CSR=$(cat admin.csr | base64 -w 0)
   cat << EOF > admin-csr.yaml
   apiVersion: certificates.k8s.io/v1
   kind: CertificateSigningRequest
   metadata:
     name: admin-csr
   spec:
     signerName: kubernetes.io/kube-apiserver-client
     request: ${BASE64_CSR}
     usages:
     - client auth
   EOF
   

使用 kubectl 创建证书签名请求。

kubectl create -f admin-csr.yaml

检查证书签名请求的状态。

kubectl get csr admin-csr

示例输出如下。

NAME       AGE   REQUESTOR                       CONDITION
admin-csr  11m   kubernetes-admin                Pending

Kubernetes 已创建证书签名请求。

批准证书签名请求。

kubectl certificate approve admin-csr

重新检查证书签名请求状态是否为已批准。

kubectl get csr admin-csr

示例输出如下。

NAME       AGE   REQUESTOR                     CONDITION
admin-csr  11m   kubernetes-admin              Approved

检索并验证证书。

1. 检索证书。

   kubectl get csr admin-csr -o jsonpath='{.status.certificate}' | base64 --decode > admin.crt
   

2. 验证证书。

   cat admin.crt
   

为 admin 用户创建集群角色绑定。

kubectl create clusterrolebinding admin --clusterrole=cluster-admin \
    --user=admin --group=system:masters

为断开连接状态生成用户范围的 kubeconfig。

您可以使用已下载的 admin 证书生成 kubeconfig 文件。替换以下命令中的 my-cluster 和 apiserver-endpoint。

aws eks describe-cluster --name my-cluster \
    --query "cluster.certificateAuthority" \
    --output text | base64 --decode > ca.crt

kubectl config --kubeconfig admin.kubeconfig set-cluster my-cluster \
    --certificate-authority=ca.crt --server apiserver-endpoint --embed-certs

kubectl config --kubeconfig admin.kubeconfig set-credentials admin \
    --client-certificate=admin.crt --client-key=admin.key --embed-certs

kubectl config --kubeconfig admin.kubeconfig set-context admin@my-cluster \
    --cluster my-cluster --user admin

kubectl config --kubeconfig admin.kubeconfig use-context admin@my-cluster

查看您的 kubeconfig 文件。

kubectl get nodes --kubeconfig admin.kubeconfig

如果您的 Outpost 上已有投入生产中的服务，请跳过此步骤。如果 Amazon EKS 是在您的 Outpost 上运行的唯一服务，并且 Outpost 当前未投入生产，则您可以模拟网络断开连接。在使用本地集群投入生产之前，请模拟断开连接，以确保在集群处于断开连接状态时可以访问该集群。

1. 在将您的 Outpost 连接到 AWS 区域 的联网设备上应用防火墙规则。这将断开 Outpost 的服务链接。您无法创建任何新实例。当前正在运行的实例将断开与 AWS 区域 和互联网的连接。

2. 您可以使用 x509 证书在断开连接时测试与您的本地集群的连接。确保将 kubeconfig 更改为您在上一步创建的 admin.kubeconfig。将 my-cluster 替换为您的本地集群的名称。

   kubectl config use-context admin@my-cluster --kubeconfig admin.kubeconfig
   

如果您在本地集群处于断开连接状态时发现其存在任何问题，则我们建议开具支持票证。