准备用于混合节点的凭证

下载适用于混合节点的 AWS SSM CloudFormation 模板：

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ssm-cfn.yaml'

使用以下选项创建 cfn-ssm-parameters.json：

部署 CloudFormation 堆栈。请将 STACK_NAME 替换 CloudFormation 堆栈的名称。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ssm-cfn.yaml \
    --parameter-overrides file://cfn-ssm-parameters.json \
    --capabilities CAPABILITY_NAMED_IAM

设置证书颁发机构（CA）

下载适用于混合节点的 AWS IAM Roles Anywhere CloudFormation 模板

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ira-cfn.yaml'

使用以下选项创建 cfn-iamra-parameters.json：

部署 CloudFormation 模板。请将 STACK_NAME 替换 CloudFormation 堆栈的名称。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ira-cfn.yaml \
    --parameter-overrides file://cfn-iamra-parameters.json
    --capabilities CAPABILITY_NAMED_IAM

使用以下内容创建名为 eks-describe-cluster-policy.json 的文件：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster"
            ],
            "Resource": "*"
        }
    ]
}

使用以下命令创建此策略：

aws iam create-policy \
    --policy-name EKSDescribeClusterPolicy \
    --policy-document file://eks-describe-cluster-policy.json

使用以下内容创建名为 eks-hybrid-ssm-policy.json 的文件。此策略将授予对 ssm:DescribeInstanceInformation 和 ssm:DeregisterManagedInstance 这两个操作的权限。此策略将根据您在信任策略中指定的资源标签，将 ssm:DeregisterManagedInstance 权限范围限定为与您的 AWS SSM 混合激活关联的 AWS SSM 托管式实例。

使用以下命令创建此策略

aws iam create-policy \
    --policy-name EKSHybridSSMPolicy \
    --policy-document file://eks-hybrid-ssm-policy.json

创建一个名为 eks-hybrid-ssm-trust.json的文件。请将 AWS_REGION 替换为您的 AWS SSM 混合激活所在的 AWS 区域，将 AWS_ACCOUNT_ID 替换为您的 AWS 账户 ID。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

使用以下命令创建此角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-ssm-trust.json

附加您在之前步骤中创建的 EKSDescribeClusterPolicy 和 EKSHybridSSMPolicy。将 AWS_ACCOUNT_ID 替换为您的AWS账户 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSHybridSSMPolicy

附加 AmazonEC2ContainerRegistryPullOnly 和 AmazonSSMManagedInstanceCore AWS 托管式策略。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

创建一个名为 eks-hybrid-iamra-trust.json的文件。请将 TRUST_ANCHOR ARN 替换为您在“设置 AWS IAM Roles Anywhere”步骤中创建的信任锚的 ARN。只有当角色会话名称与混合节点上安装的 x509 证书中的 CN 一致时，此信任策略中的条件才会将 AWS IAM Roles Anywhere 代入混合节点 IAM 角色的权限范围限定为仅交换临时 IAM 凭证。您也可以使用其他证书属性来唯一标识节点。您在信任策略中使用的证书属性必须与您在 nodeadm 配置中设置的 nodeName 对应。有关更多信息，请参阅 混合节点 nodeadm 参考。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

使用以下命令创建此角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-iamra-trust.json

附加您在之前步骤中创建的 EKSDescribeClusterPolicy。将 AWS_ACCOUNT_ID 替换为您的AWS账户 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

附加 AmazonEC2ContainerRegistryPullOnly AWS 托管式策略

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

打开 Amazon IAM 控制台

在左侧导航窗格中，选择 Policies（策略）。

在策略页面上，选择创建策略。

在“指定权限”页面的“选择服务”面板中，选择 EKS。

在检查并创建页面上

打开 Amazon IAM 控制台

在左侧导航窗格中，选择 Policies（策略）。

在策略页面上，选择创建策略。

在指定权限页面右上角的策略编辑器导航中，选择 JSON。粘贴以下代码段。请将 AWS_REGION 替换为您的 AWS SSM 混合激活所在的 AWS 区域，并将 AWS_ACCOUNT_ID 替换为您的 AWS 账户 ID。请将 TAG_KEY 和 TAG_VALUE 替换为您在创建 AWS SSM 混合激活时使用的 AWS SSM 资源标签键。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

在检查并创建页面上，

在左侧导航窗格中，选择 Roles（角色）。

在 Roles（角色）页面上，选择 Create role（创建角色）。

在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：

在添加权限页面上，附加自定义策略或执行以下操作：

在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：

打开 Amazon IAM 控制台

在左侧导航窗格中，选择 Roles（角色）。

在 Roles（角色）页面上，选择 Create role（创建角色）。

在 Select trusted entity（选择受信任的实体）页面上，请执行以下操作：

在添加权限页面上，附加自定义策略或执行以下操作：

在 Name, review, and create（命名、查看和创建）页面中，请执行以下操作：