安裝 AWS Load Balancer Controller 含清單清單

Replace (取代) my-cluster 使用叢集的名稱 111122223333 使用您的帳戶 ID，然後執行 命令。如果您的叢集位於 AWS GovCloud （美國東部） 或 AWS GovCloud （美國西部） AWS 區域，則 arn:aws: 以 取代 arn:aws-us-gov:。

$ eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

擷取叢集的 OIDC 提供者 ID，並將其儲存在變數中。

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

判斷 IAM 是否 OIDC 具有叢集 ID 的 提供者已存在於您的帳戶中。您需要 OIDC 已針對叢集和 IAM 設定 。

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

如果傳回輸出，則表示您已經有 IAM OIDC 叢集的 提供者。如果未傳回輸出，則必須建立 IAM OIDC 叢集的 提供者。如需詳細資訊，請參閱建立 IAM OIDC 叢集的 提供者。

將以下內容複製到您的裝置。Replace (取代) 111122223333 使用您的帳戶 ID。Replace (取代) region-code 叢集所在的 AWS 區域。Replace (取代) EXAMPLED539D4633E53DE1B71EXAMPLE 在上一個步驟中傳回的輸出。如果您的叢集位於 AWS GovCloud （美國東部） 或 AWS GovCloud （美國西部） AWS 區域，則 arn:aws: 以 取代 arn:aws-us-gov:。取代文字後，請執行已修改的命令以建立 load-balancer-role-trust-policy.json 檔案。

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws: iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

建立 IAM 角色。

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

將必要的 Amazon EKS 受管 IAM 政策連接至 IAM 角色。Replace (取代) 111122223333 使用您的帳戶 ID。

aws iam attach-role-policy \
  --policy-arn arn:aws: iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

將以下內容複製到您的裝置。Replace (取代) 111122223333 使用您的帳戶 ID。如果您的叢集位於 AWS GovCloud （美國東部） 或 AWS GovCloud （美國西部） AWS 區域，則 arn:aws: 以 取代 arn:aws-us-gov:。取代文字後，請執行已修改的命令以建立 aws-load-balancer-controller-service-account.yaml 檔案。

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws: iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

建立 Kubernetes 叢集上的 服務帳戶。所以此 Kubernetes 名為 的服務帳戶會以您建立的 IAM 角色aws-load-balancer-controller標註 AmazonEKSLoadBalancerControllerRole.

$ kubectl apply -f aws-load-balancer-controller-service-account.yaml