在 EKS 集群上部署 Windows 节点

如果您的集群中没有 Amazon Linux 节点并且对Pods使用了安全组，请跳至下一步。否则，请确认 AmazonEKSVPCResourceController 托管策略是否已附加到您的集群角色。请将 eksClusterRole 替换为集群角色的名称。

aws iam list-attached-role-policies --role-name eksClusterRole

示例输出如下。

{
    "AttachedPolicies": [
        {
            "PolicyName": "AmazonEKSClusterPolicy",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonEKSClusterPolicy"
        },
        {
            "PolicyName": "AmazonEKSVPCResourceController",
            "PolicyArn": "arn:aws:iam::aws:policy/AmazonEKSVPCResourceController"
        }
    ]
}

如果像前面的输出中那样已经附加了策略，请跳过下一步。

将 AmazonEKSVPCResourceController 托管策略附加到您的 Amazon EKS 集群 IAM 角色。请将 eksClusterRole 替换为集群角色的名称。

aws iam attach-role-policy \
  --role-name eksClusterRole \
  --policy-arn arn:aws:iam::aws:policy/AmazonEKSVPCResourceController

创建名为 vpc-resource-controller-configmap.yaml 的文件，具有以下内容。

apiVersion: v1
kind: ConfigMap
metadata:
  name: amazon-vpc-cni
  namespace: kube-system
data:
  enable-windows-ipam: "true"

将 ConfigMap 应用于集群。

kubectl apply -f vpc-resource-controller-configmap.yaml

验证 aws-auth ConfigMap 是否包含 Windows 节点的实例角色映射，以包含 eks:kube-proxy-windows RBAC 权限组。您可以通过运行以下命令进行验证。

kubectl get configmap aws-auth -n kube-system -o yaml

示例输出如下。

apiVersion: v1
kind: ConfigMap
metadata:
  name: aws-auth
  namespace: kube-system
data:
  mapRoles: |
    - groups:
      - system:bootstrappers
      - system:nodes
      - eks:kube-proxy-windows # This group is required for Windows DNS resolution to work
      rolearn: arn:aws:iam::111122223333:role/eksNodeRole
      username: system:node:{{EC2PrivateDNSName}}
[...]

您应该会看到组下面列出的 eks:kube-proxy-windows。如果未指定组，则需要更新 ConfigMap 或进行创建，以包含所需的组。有关 aws-auth ConfigMap 的更多信息，请参阅 将 aws-authConfigMap 应用到集群。