创建自行管理的 Amazon Linux 节点

（可选）如果 AmazonEKS_CNI_Policy 托管 IAM 策略附加到您的 Amazon EKS 节点 IAM 角色，我们建议将其分配给您与 Kubernetes aws-node 服务账户关联的 IAM 角色。有关更多信息，请参阅 配置 Amazon VPC CNI 插件以使用 IRSA。

以下命令在现有集群中创建节点组。将 al-nodes 替换为您的节点组名称。节点组名称的长度不能超过 63 个字符。它必须以字母或数字开头，但也可以包括其余字符的连字符和下划线。将 my-cluster 替换为您的集群名称。名称只能包含字母数字字符（区分大小写）和连字符。该名称必须以字母数字字符开头，且不得超过 100 个字符。对于您在其中创建集群的 AWS 区域 和 AWS 账户，该名称必须在其内具有唯一性。将剩余的 example value 替换为您自己的值。预设情况下，将使用与控制面板相同的 Kubernetes 版本创建节点。

在为 --node-type 选择一个值之前，请查看 选择最优的 Amazon EC2 节点实例类型。

将 my-key 替换为您的 Amazon EC2 密钥对或公有密钥的名称。此密钥用于在节点启动后通过 SSH 进入节点。如果还没有 Amazon EC2 密钥对，可以在 AWS Management Console 中创建一个。有关更多信息，请参阅《Amazon EC2 用户指南》中的 Amazon EC2 密钥对。

使用以下命令创建您的节点组。

eksctl create nodegroup \
  --cluster my-cluster \
  --name al-nodes \
  --node-type t3.medium \
  --nodes 3 \
  --nodes-min 1 \
  --nodes-max 4 \
  --ssh-access \
  --managed=false \
  --ssh-public-key my-key

部署符合以下条件的节点组：

要查看所有可用选项和默认设置的完整列表，请输入以下命令。

eksctl create nodegroup --help

如果节点无法加入集群，则请参阅故障排除一章中的 节点未能加入集群。

示例输出如下。创建节点时会输出几行。输出的最后几行类似于以下示例行。

[✔]  created 1 nodegroup(s) in cluster "my-cluster"

（可选）部署示例应用程序以测试集群和 Linux 节点。

如果满足以下条件，我们建议阻止 Pod 访问 IMDS：

有关更多信息，请参阅限制对分配给工作节点的实例配置文件的访问。

下载最新版本的 AWS CloudFormation 模板。

curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2022-12-23/amazon-eks-nodegroup.yaml

等待集群状态显示为 ACTIVE。如果在集群处于活动状态之前启动节点，则节点将无法向集群注册，您必须重新启动节点。

打开 AWS CloudFormation 控制台，地址：https://console.aws.amazon.com/cloudformation。

选择 Create stack（创建堆栈），然后选择 With new resources (standard)（使用新资源（标准））。

对于 Specify template（指定模板），选择 Upload a template file（上传模板文件），然后选择Choose file（选择文件） 。

选择您下载的 amazon-eks-nodegroup.yaml 文件。

选择下一步。

在 Specify stack details（指定堆栈详细信息）页面上，相应填写以下参数，然后选择 Next（下一步）：

在 Configure stack options（配置堆栈选项）页面上选择所需选项，然后选择 Next（下一步）。

选择 I acknowledge that AWS CloudFormation might create IAM resources.（我了解可能会创建 IAM 资源。）左侧的复选框，然后选择 Create stack（创建堆栈）。

完成创建堆栈后，在控制台中选中它，然后选择 Outputs（输出）。

记录已创建的节点组的 NodeInstanceRole。您在配置 Amazon EKS 节点时需要此值。

检查您是否已经应用拥有 aws-auth ConfigMap。

kubectl describe configmap -n kube-system aws-auth

如果您看到的是 aws-auth ConfigMap，则请根据需要对其进行更新。

1. 打开 ConfigMap 文件进行编辑。

   kubectl edit -n kube-system configmap/aws-auth
   

2. 根据需要添加新的 mapRoles 条目。将 rolearn 值设置为您在上一个步骤中记录的 NodeInstanceRole 值。

   [...]
   data:
     mapRoles: |
       - rolearn: <ARN of instance role (not instance profile)>
         username: system:node:{{EC2PrivateDNSName}}
         groups:
           - system:bootstrappers
           - system:nodes
   [...]

3. 保存文件并退出文本编辑器。

如果您收到错误提示 "Error from server (NotFound): configmaps "aws-auth" not found，则请使用库存 ConfigMap。

1. 下载配置映射。

   curl -O https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/aws-auth-cm.yaml
   

2. 在 aws-auth-cm.yaml 文件中，将 rolearn 值设置为您在上一个步骤中记录的 NodeInstanceRole 值。您可以使用文本编辑器或者通过替换 my-node-instance-role 和运行以下命令来执行此操作：

   sed -i.bak -e 's|<ARN of instance role (not instance profile)>|my-node-instance-role|' aws-auth-cm.yaml
   

3. 应用配置。此命令可能需要几分钟才能完成。

   kubectl apply -f aws-auth-cm.yaml
   

查看节点的状态并等待它们达到 Ready 状态。

kubectl get nodes --watch

输入 Ctrl+C 以返回到 Shell 提示符。

如果节点无法加入集群，则请参阅故障排除一章中的 节点未能加入集群。

（仅限 GPU 节点）如果选择 GPU 实例类型和 Amazon EKS 优化加速型 AMI，则必须在集群上将 适用于 Kubernetes 的 NVIDIA 设备插件 用作 DaemonSet。将 vX.X.X 替换为您需要的 NVIDIA/k8s-device-plugin 版本，然后运行以下命令。

kubectl apply -f https://raw.githubusercontent.com/NVIDIA/k8s-device-plugin/vX.X.X/deployments/static/nvidia-device-plugin.yml

（可选）部署示例应用程序以测试集群和 Linux 节点。

（可选）如果 AmazonEKS_CNI_Policy 托管 IAM 策略（如果您拥有 IPv4 集群）或 AmazonEKS_CNI_IPv6_Policy（如果您拥有 IPv6 集群时自行创建）附加到 Amazon EKS 节点 IAM 角色，我们建议将其分配到关联到 Kubernetes aws-node 服务账户的 IAM 角色。有关更多信息，请参阅 配置 Amazon VPC CNI 插件以使用 IRSA。

如果满足以下条件，我们建议阻止 Pod 访问 IMDS：

有关更多信息，请参阅限制对分配给工作节点的实例配置文件的访问。