準備混合節點的登入資料

下載混合節點的 AWS SSM CloudFormation 範本：

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ssm-cfn.yaml'

cfn-ssm-parameters.json 使用下列選項建立 ：

部署 CloudFormation 堆疊。STACK_NAME 將 取代為 CloudFormation 堆疊的名稱。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ssm-cfn.yaml \
    --parameter-overrides file://cfn-ssm-parameters.json \
    --capabilities CAPABILITY_NAMED_IAM

設定憑證授權機構 (CA)

下載 AWS IAM混合節點的 Roles Anywhere CloudFormation 範本

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ira-cfn.yaml'

cfn-iamra-parameters.json 使用下列選項建立 ：

部署 CloudFormation 範本。STACK_NAME 將 取代為 CloudFormation 堆疊的名稱。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ira-cfn.yaml \
    --parameter-overrides file://cfn-iamra-parameters.json
    --capabilities CAPABILITY_NAMED_IAM

使用下列內容建立名為 eks-describe-cluster-policy.json 的檔案：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster"
            ],
            "Resource": "*"
        }
    ]
}

使用下列命令建立政策：

aws iam create-policy \
    --policy-name EKSDescribeClusterPolicy \
    --policy-document file://eks-describe-cluster-policy.json

使用下列內容建立名為 eks-hybrid-ssm-policy.json 的檔案。政策會授予兩個動作 ssm:DescribeInstanceInformation和 的許可ssm:DeregisterManagedInstance。此政策會根據您在 AWS SSM信任政策中指定的資源標籤，將ssm:DeregisterManagedInstance許可限制為 AWS SSM與混合啟用相關聯的受管執行個體。

使用下列命令建立政策

aws iam create-policy \
    --policy-name EKSHybridSSMPolicy \
    --policy-document file://eks-hybrid-ssm-policy.json

建立名為 eks-hybrid-ssm-trust.json 的檔案。AWS_REGION 將 取代為 AWS SSM混合啟用 AWS 的區域，並將 AWS_ACCOUNT_ID取代為 AWS 您的帳戶 ID。

{
   "Version":"2012-10-17",
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"AWS_ACCOUNT_ID"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:*"
            }
         }
      }
   ]
}

使用下列命令建立角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-ssm-trust.json

連接EKSHybridSSMPolicy您在先前步驟中建立的 EKSDescribeClusterPolicy和 。將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSHybridSSMPolicy

連接 AmazonEC2ContainerRegistryPullOnly和 AmazonSSMManagedInstanceCore AWS 受管政策。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore

建立名為 eks-hybrid-iamra-trust.json 的檔案。TRUST_ANCHOR ARN 將 取代為您在隨處設定 AWS IAM角色步驟中建立ARN的信任錨的 。此信任政策中的條件限制 Roles Anywhere 擔任混合節點IAM角色的能力 AWS IAM，只有在角色工作階段名稱符合安裝在混合節點上的 x509 憑證中的 CN 時，才能交換臨時IAM憑證。或者，您可以使用其他憑證屬性來唯一識別節點。您在信任政策中使用的憑證屬性必須對應nodeName至您在nodeadm組態中設定的 。如需詳細資訊，請參閱 混合節點節點廣告參考。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "TRUST_ANCHOR_ARN"
                }
            }
        }
    ]
}

使用下列命令建立角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-iamra-trust.json

連接EKSDescribeClusterPolicy您在先前步驟中建立的 。將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

連接 AmazonEC2ContainerRegistryPullOnly AWS 受管政策

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

開啟 Amazon IAM主控台

在左側導覽窗格中選擇 Policies (政策)。

在政策頁面上，選擇建立政策。

在指定許可頁面的選取服務面板中，選擇 EKS。

在檢閱和建立頁面上

開啟 Amazon IAM主控台

在左側導覽窗格中選擇 Policies (政策)。

在政策頁面上，選擇建立政策。

在指定許可頁面上，於右上角的政策編輯器導覽中，選擇 JSON。貼上下列程式碼片段。AWS_REGION 將 取代為混合啟用 AWS 的區域 AWS SSM，並將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。TAG_VALUE 將 TAG_KEY AWS SSM和 取代為您建立 AWS SSM混合啟用時使用的資源標籤金鑰。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": ""
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:AWS_REGION:AWS_ACCOUNT_ID:managed-instance/",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

在檢閱和建立頁面上。

在左側導覽窗格中，選擇 Roles (角色)。

在 Roles (角色) 頁面上，選擇 Create role (建立角色)。

在 Select trusted entity (選取信任的實體) 頁面上，執行以下作業：

在新增許可頁面上，連接自訂政策或執行下列動作：

在 Name, review, and create (命名、檢閱和建立) 頁面上，執行以下作業：

開啟 Amazon IAM主控台

在左側導覽窗格中，選擇 Roles (角色)。

在 Roles (角色) 頁面上，選擇 Create role (建立角色)。

在 Select trusted entity (選取信任的實體) 頁面上，執行以下作業：

在新增許可頁面上，連接自訂政策或執行下列動作：

在 Name, review, and create (命名、檢閱和建立) 頁面上，執行以下作業：