使用 Amazon EBS 存放Kubernetes磁碟區

複製以下程式碼並貼到新 kms-key-for-encryption-on-ebs.json 檔案中。將 custom-key-arn 取代為自訂 KMS 金鑰 ARN。

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

建立政策。您可以將 KMS_Key_For_Encryption_On_EBS_Policy 變更為不同的名稱。但是，如果您這樣做，請務必在稍後的步驟中也進行變更。

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

使用以下命令將 IAM 政策連接至角色。使用您的帳戶 ID 取代 111122223333。

aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole

在 Trusted entity type (信任的實體類型) 區段中，選擇 Web identity (Web 身分)。

對於身分提供者，選擇叢集的OpenID Connect提供者 URL （如 Amazon EKS 中的概觀所示）。

針對 Audience (對象)，選擇 sts.amazonaws.com。

選擇 Next (下一步)。

在 Filter policies (篩選政策) 方塊中，輸入 AmazonEBSCSIDriverPolicy。

勾選在搜尋中傳回的 AmazonEBSCSIDriverPolicy 左側的核取方塊。

選擇 Next (下一步)。

針對角色名稱，輸入角色的唯一名稱，例如 AmazonEKS_EBS_CSI_DriverRole。

藉由連接標籤做為鍵值對，在新增標籤 (選用) 下將中繼資料新增至角色。如需有關在 IAM 中使用標籤的詳細資訊，請參閱《IAM 使用者指南》中的標記 IAM 資源。

選擇建立角色。

在左側導覽窗格中選擇 Policies (政策)。

在 Policies (政策) 頁面上，選擇 Create a policy (建立政策)。

在建立政策頁面上，選擇 JSON 標籤。

將下列程式碼複製並貼到編輯器中，以自訂 KMS 金鑰 ARN 取代 custom-key-arn。

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

選擇下一步：標籤。

在 Add tags (Optional) (新增標籤 (選用)) 頁面上，選擇 Next: Review (下一步：檢閱)。

針對名稱，輸入政策的唯一名稱 （例如 KMS_Key_For_Encryption_On_EBS_Policy)。

選擇 建立政策。

在左側導覽窗格中，選擇 Roles (角色)。

在主控台中選擇 AmazonEKS_EBS_CSI_DriverRole 以開啟它進行編輯。

在新增許可下拉式清單中，選擇連接政策。

在篩選政策方塊中，輸入 KMS_Key_For_Encryption_On_EBS_Policy。

選取搜尋中傳回的 KMS_Key_For_Encryption_On_EBS_Policy 左側的核取方塊。

選擇連接政策。

將下列內容複製到名為 的檔案aws-ebs-csi-driver-trust-policy.json。使用您的帳戶 ID 取代 111122223333。將 EXAMPLED539D4633E53DE1B71EXAMPLE 和 region-code 取代為上一個步驟中傳回的值。

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
          },
          "Action": "sts:AssumeRoleWithWebIdentity",
          "Condition": {
            "StringEquals": {
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
              "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:ebs-csi-controller-sa"
            }
          }
        }
      ]
    }

建立角色。您可以將 AmazonEKS_EBS_CSI_DriverRole 變更為不同的名稱。若要變更名稱，請務必在稍後的步驟中進行變更。

aws iam create-role \
      --role-name AmazonEKS_EBS_CSI_DriverRole \
      --assume-role-policy-document file://"aws-ebs-csi-driver-trust-policy.json"

複製以下程式碼並貼到新 kms-key-for-encryption-on-ebs.json 檔案中。將 custom-key-arn 取代為自訂 KMS 金鑰 ARN。

{
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Action": [
            "kms:CreateGrant",
            "kms:ListGrants",
            "kms:RevokeGrant"
          ],
          "Resource": ["custom-key-arn"],
          "Condition": {
            "Bool": {
              "kms:GrantIsForAWSResource": "true"
            }
          }
        },
        {
          "Effect": "Allow",
          "Action": [
            "kms:Encrypt",
            "kms:Decrypt",
            "kms:ReEncrypt*",
            "kms:GenerateDataKey*",
            "kms:DescribeKey"
          ],
          "Resource": ["custom-key-arn"]
        }
      ]
    }

建立政策。您可以將 KMS_Key_For_Encryption_On_EBS_Policy 變更為不同的名稱。但是，如果您這樣做，請務必在稍後的步驟中也進行變更。

aws iam create-policy \
      --policy-name KMS_Key_For_Encryption_On_EBS_Policy \
      --policy-document file://kms-key-for-encryption-on-ebs.json

使用以下命令將 IAM 政策連接至角色。使用您的帳戶 ID 取代 111122223333。

aws iam attach-role-policy \
      --policy-arn arn:aws: iam::111122223333:policy/KMS_Key_For_Encryption_On_EBS_Policy \
      --role-name AmazonEKS_EBS_CSI_DriverRole