AWS Load Balancer Controller使用清單進行安裝

使用建立IAM角色 eksctl

• 使用叢集名稱取代 my-cluster，並使用帳戶 ID 取代 111122223333，然後執行命令。如果您的叢集位於 AWS GovCloud (美國東部) 或 AWS GovCloud (美國西部) AWS 區域，請取代arn:aws:為. arn:aws-us-gov:

  $ eksctl create iamserviceaccount \
    --cluster=my-cluster \
    --namespace=kube-system \
    --name=aws-load-balancer-controller \
    --role-name AmazonEKSLoadBalancerControllerRole \
    --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
    --approve

使用 AWS CLI 和建立IAM角色 kubectl

1. 擷取叢集的 OIDC 供應商 ID 並將其存放在變數中。

   oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)
   

2. 判斷擁有叢集 ID 的IAMOIDC提供者是否已在您的帳戶中。您需要OIDC針對叢集和IAM.

   aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4
   

   如果傳回輸出，表示您已有叢集的IAMOIDC提供者。如果沒有傳回任何輸出，則必須為叢集建立IAMOIDC提供者。如需詳細資訊，請參閱為您的叢集建立IAMOIDC提供者。

3. 將以下內容複製到您的裝置。使用您的帳戶 ID 取代 111122223333。region-code以叢集所 AWS 區域 在的位置取代。 使用前一個步驟傳回的輸出取代 EXAMPLED539D4633E53DE1B71EXAMPLE。如果您的叢集位於 AWS GovCloud (美國東部) 或 AWS GovCloud (美國西部) AWS 區域，請取代arn:aws:為. arn:aws-us-gov: 取代文字後，請執行已修改的命令以建立 load-balancer-role-trust-policy.json 檔案。

   cat >load-balancer-role-trust-policy.json <<EOF
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Principal": {
                   "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                   "StringEquals": {
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                       "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                   }
               }
           }
       ]
   }
   EOF
   

4. 建立IAM角色。

   aws iam create-role \
     --role-name AmazonEKSLoadBalancerControllerRole \
     --assume-role-policy-document file://"load-balancer-role-trust-policy.json"
   

5. 將必要的 Amazon EKS 受管IAM政策附加到該IAM角色。使用您的帳戶 ID 取代 111122223333。

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
     --role-name AmazonEKSLoadBalancerControllerRole
   

6. 將以下內容複製到您的裝置。使用您的帳戶 ID 取代 111122223333。如果您的叢集位於 AWS GovCloud (美國東部) 或 AWS GovCloud (美國西部) AWS 區域，請取代arn:aws:為. arn:aws-us-gov: 取代文字後，請執行已修改的命令以建立 aws-load-balancer-controller-service-account.yaml 檔案。

   cat >aws-load-balancer-controller-service-account.yaml <<EOF
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     labels:
       app.kubernetes.io/component: controller
       app.kubernetes.io/name: aws-load-balancer-controller
     name: aws-load-balancer-controller
     namespace: kube-system
     annotations:
       eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
   EOF
   

7. 在您的叢集上建立 Kubernetes 服務帳戶。名為的Kubernetes服務帳戶aws-load-balancer-controller會以您建立的名稱為AmazonEKSLoadBalancerControllerRole的IAM角色加上註解。

   $ kubectl apply -f aws-load-balancer-controller-service-account.yaml
   

cert-manager使用 Quay.io 進行安裝

• 如果您的節點可以存取 quay.io 容器登錄檔，請安裝 cert-manager 以將憑證組態注入 Webhook。

  $ kubectl apply \
      --validate=false \
      -f https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
  

cert-manager使用 Amazon 安裝 ECR

1. 使用以下其中一個方法安裝 cert-manager，將憑證組態注入 Webhook。如需詳細資訊，請參閱 cert-managercert-manager 文件上的入門。

2. 下載清單檔案。

   curl -Lo cert-manager.yaml https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml
   

3. 提取以下映像並將其推送到節點可存取的儲存庫。有關如何提取、標記映像並將其推送到您儲存庫的詳細資訊，請參閱 將容器映像從一個儲存庫複製到另一個儲存庫。

   quay.io/jetstack/cert-manager-cainjector:v1.13.5
   quay.io/jetstack/cert-manager-controller:v1.13.5
   quay.io/jetstack/cert-manager-webhook:v1.13.5

4. 使用您的登錄檔名稱取代清單檔案中三個映像的 quay.io。以下命令假定私有儲存庫的名稱與來源儲存庫的名稱相同。將 111122223333.dkr.ecr.region-code.amazonaws.com 取代為您的私有登錄檔。

   $ sed -i.bak -e 's|quay.io|111122223333.dkr.ecr.region-code.amazonaws.com|' ./cert-manager.yaml

5. 套用清單檔案。

   $ kubectl apply \
       --validate=false \
       -f ./cert-manager.yaml