使用清单安装 AWS Load Balancer Controller

使用 eksctl 创建 IAM 角色

• 请将 my-cluster 替换为您的集群的名称，将 111122223333 替换为您的账户 ID，然后运行命令。如果您的集群位于 AWS GovCloud（美国东部）或 AWS GovCloud（美国西部）AWS 区域，则将 arn:aws: 替换为 arn:aws-us-gov:。

  $ eksctl create iamserviceaccount \
    --cluster=my-cluster \
    --namespace=kube-system \
    --name=aws-load-balancer-controller \
    --role-name AmazonEKSLoadBalancerControllerRole \
    --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
    --approve

使用 AWS CLI 和 kubectl 创建 IAM 角色

1. 检索集群的 OIDC 提供商 ID 并将其存储在变量中。

   oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)
   

2. 确定您的账户中是否已存在具有您的集群 ID 的 IAM OIDC 提供商。您需要为集群和 IAM 配置 OIDC。

   aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4
   

   如果返回输出，则您已有集群的 IAM OIDC 提供商。如果没有返回输出，则您必须为集群创建 IAM OIDC 提供商。有关更多信息，请参阅 为集群创建 IAM OIDC 提供商。

3. 将以下内容复制到您的设备。请将 111122223333 替换为您的账户 ID。将 region-code 替换为集群所在的 AWS 区域。将 EXAMPLED539D4633E53DE1B71EXAMPLE 替换为上一步中返回的输出。如果您的集群位于 AWS GovCloud（美国东部）或 AWS GovCloud（美国西部）AWS 区域，则将 arn:aws: 替换为 arn:aws-us-gov:。替换文本后，运行修改后的命令可创建 load-balancer-role-trust-policy.json 文件。

   cat >load-balancer-role-trust-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                   }
               }
           }
       ]
   }
   EOF
   

4. 创建 IAM 角色。

   aws iam create-role \
     --role-name AmazonEKSLoadBalancerControllerRole \
     --assume-role-policy-document file://"load-balancer-role-trust-policy.json"
   

5. 将所需的 Amazon EKS 托管 IAM 策略附加到 IAM 角色。请将 111122223333 替换为您的账户 ID。

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
     --role-name AmazonEKSLoadBalancerControllerRole
   

6. 将以下内容复制到您的设备。请将 111122223333 替换为您的账户 ID。如果您的集群位于 AWS GovCloud（美国东部）或 AWS GovCloud（美国西部）AWS 区域，则将 arn:aws: 替换为 arn:aws-us-gov:。替换文本后，运行修改后的命令可创建 aws-load-balancer-controller-service-account.yaml 文件。

   cat >aws-load-balancer-controller-service-account.yaml <<EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/component: controller
       app.kubernetes.io/name: aws-load-balancer-controller
     name: aws-load-balancer-controller
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
   EOF
   

7. 在集群上创建 Kubernetes 服务账户。使用您创建的名为 AmazonEKSLoadBalancerControllerRole 的 IAM 角色注释名为 aws-load-balancer-controller 的 Kubernetes 服务账户。

   $ kubectl apply -f aws-load-balancer-controller-service-account.yaml
   

使用 Quay.io 安装 cert-manager

• 如果您的节点有权访问 quay.io 容器注册表，请安装 cert-manager 以将证书配置注入 Webhook。

  $ kubectl apply \
      --validate=false \
      -f https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
  

使用 Amazon ECR 安装 cert-manager

1. 使用以下方法之一安装 cert-manager 以将证书配置注入 Webhook。有关更多信息，请参阅 cert-manager 文档中的 入门。

2. 下载清单。

   curl -Lo cert-manager.yaml https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
   

3. 请提取以下镜像并将其推送到节点有权访问的存储库。有关如何提取、标记和推送镜像到您自己的存储库的更多信息，请参阅 将容器镜像从一个存储库复制到另一个存储库。

   quay.io/jetstack/cert-manager-cainjector:v1.13.5
   quay.io/jetstack/cert-manager-controller:v1.13.5
   quay.io/jetstack/cert-manager-webhook:v1.13.5

4. 请将三个镜像的清单中的 quay.io 替换为您自己的注册表名称。以下命令假定您的私有存储库名称与源存储库的名称相同。将 111122223333.dkr.ecr.region-code.amazonaws.com 替换为您的私有注册表。

   $ sed -i.bak -e 's|quay.io|111122223333.dkr.ecr.region-code.amazonaws.com|' ./cert-manager.yaml

5. 运用该清单。

   $ kubectl apply \
       --validate=false \
       -f ./cert-manager.yaml