部署 Amazon EKS IPv6叢集和受管 Amazon Linux 節點

執行下列命令來設定 AWS CloudFormation 堆疊名稱的變數。您可以取代 my-eks-ipv6-vpc 任何您選擇的名稱。

export vpc_stack_name=my-eks-ipv6-vpc

使用 IPv6 VPC 範本建立 AWS CloudFormation 。

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

堆疊需要幾分鐘的時間建立。執行下列命令。在命令的輸出為 之前，請勿繼續下一個步驟CREATE_COMPLETE。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

擷取已建立之公有子網路的 IDs。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

範例輸出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

為已建立的公有子網啟用自動指派 IPv6 地址選項。

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

從部署的 AWS CloudFormation 堆疊中擷取範本建立的子網路和安全群組名稱，並將其存放在變數中，以供後續步驟使用。

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

執行下列命令以建立 eks-cluster-role-trust-policy.json 檔案。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

執行下列命令，以設定角色名稱的變數。您可以取代 myAmazonEKSClusterRole 任何您選擇的名稱。

export cluster_role_name=myAmazonEKSClusterRole

建立角色。

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

擷取 ARN 角色的 IAM，並將其存放在變數中以供後續步驟使用。

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

將所需的 Amazon EKS 受管 IAM 政策連接至角色。

aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

NOTE：您可能會收到錯誤，表示請求中的其中一個可用區域沒有足夠的容量來建立 Amazon EKS 叢集。如果發生這種情況，錯誤輸出包含的可用區域可支援新的叢集。使用至少兩個位於帳戶的支援可用區域子網路來建立您的叢集。如需詳細資訊，請參閱容量不足。

建立叢集需要幾分鐘才能完成。執行下列命令。在命令的輸出為 之前，請勿繼續下一個步驟ACTIVE。

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

執行下列命令以建立 vpc-cni-ipv6-policy.json 檔案。

cat >vpc-cni-ipv6-policy <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws: ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

建立 IAM 政策。

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

執行下列命令以建立 node-role-trust-relationship.json 檔案。

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

執行下列命令，以設定角色名稱的變數。您可以取代 AmazonEKSNodeRole 任何您選擇的名稱。

export node_role_name=AmazonEKSNodeRole

建立 IAM 角色。

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

將 IAM 政策連接至 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

將兩個必要的 IAM 受管政策連接至 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

擷取 ARN 角色的 IAM，並將其存放在變數中以供後續步驟使用。

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

檢視您在上一個步驟中建立的子網路的 IDs。

echo $subnets

範例輸出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

建立節點群組。Replace (取代) 0a1a56c486EXAMPLE, 099e6ca77aEXAMPLE, 0377963d69EXAMPLE 和 0c05f819d5EXAMPLE 在上一個步驟的輸出中傳回值。請務必從下列命令中的上一個輸出中移除子網路 IDs 之間的逗號。您可以取代 t3.medium 任何 AWS Nitro System 執行個體類型。

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

此節點群組需要幾分鐘的時間建立。執行下列命令。在傳回的輸出為 之前，請勿繼續下一個步驟ACTIVE。

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

如果您要在與完成先前步驟不同的 Shell 中完成此步驟，請設定先前步驟中使用的所有變數值，取代 example values 以及您完成先前步驟時指定的值。如果您在完成先前步驟的相同 shell 中完成此步驟，請跳至下一個步驟。

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

刪除節點群組。

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

刪除需要幾分鐘的時間。執行下列命令。如果傳回任何輸出，請勿繼續下一個步驟。

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

刪除叢集。

aws eks delete-cluster --region $region_code --name $cluster_name

叢集需要幾分鐘的時間刪除。在繼續之前，請務必使用下列命令來確定叢集已被刪除。

aws eks describe-cluster --region $region_code --name $cluster_name

在輸出類似於下列輸出之前，請勿繼續下一個步驟。

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

刪除您建立的 IAM 資源。Replace (取代) AmazonEKS_CNI_IPv6_Policy 如果您選擇與先前步驟中使用的名稱不同的名稱，請使用您選擇的名稱。

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws: iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

刪除建立 AWS CloudFormation 的 VPC 堆疊。

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name