本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。
使用 Kubernetes 在 Amazon EKS 工作者節點上安裝 SSM 代理程式 DaemonSet
創建者:馬亨德拉雷瓦納西達帕 (AWS)
環境:PoC 或試點 | 技術:容器與微服務 DevOps;基礎架構 | AWS 服務:Amazon EKS;AWS Systems Manager |
Summary
請注意,2021 年 9 月:最新的 Amazon EKS 最佳化 AMI 會自動安裝 SSM 代理程式。如需詳細資訊,請參閱 2021 年 6 月 AMI 的發行說明
在 Amazon Elastic Kubernetes Service (Amazon EKS) 中,基於安全準則的原因,工作者節點沒有附加安全殼層 (SSH) 金鑰配對。此模式顯示如何使用 Kubernetes DaemonSet 資源類型在所有工作節點上安裝 AWS Systems Manager 代理程式 (SSM 代理程式),而不需手動安裝或取代節點的 Amazon 機器映像 (AMI)。 DaemonSet 使用背景工作節點上的 cron 工作來排程 SSM 代理程式的安裝。您也可以使用此模式在 Worker 節點上安裝其他套件。
當您對叢集中的問題進行疑難排解時,依需求安裝 SSM Agent 可讓您在不使用安全殼層金鑰配對的情況下與 Worker 節點建立 SSH 工作階段、收集記錄或查看執行個體設定。
先決條件和限制
先決條件
具有亞馬遜彈性運算雲端 (Amazon EC2) 工作者節點的現有 Amazon EKS 叢集。
容器執行個體應具有與 SSM 服務通訊的必要權限。AWS Identity and Access Management (IAM) 受管角色 AmazonSSM 可為 SSM 代理程式在 EC2 執行個體上執行ManagedInstanceCore提供所需的許可。如需詳細資訊,請參閱 AWS Systems Manager 文件。
限制
此模式不適用於 AWS Fargate,因為 Fargate 平台 DaemonSets 不支援。
此模式僅適用於以 Linux 為基礎的工作者節點。
DaemonSet 網繭會以特殊權限模式執行。如果 Amazon EKS 叢集具有以特殊權限模式封鎖網繭的 Webhook,將不會安裝 SSM 代理程式。
架構
下圖說明此模式的架構。
![使用 Kubernetes DaemonSet 在 Amazon EKS 工作者節點上安裝 SSM 代理程式。](images/pattern-img/016d53f3-45c1-4913-b542-67124e1462b8/images/3a6dfd00-e54b-44d5-843a-4c26ce9826c9.png)
工具
工具
kubectl 是一種命令列公用程式,可用來與 Amazon EKS 叢集互動。此模式用
kubectl
於在 Amazon EKS 叢集 DaemonSet 上部署,該叢集將在所有工作節點上安裝 SSM 代理程式。Amazon EKS 可讓您輕鬆在 AWS 上執行 Kubernetes,而無需安裝、操作和維護自己的 Kubernetes 控制平面或節點。Kubernetes 是一套開放原始碼系統,用於容器化應用程式的自動化部署、擴展與管理。
AWS Systems Manager 工作階段管理員可讓您透過互動式、按一下瀏覽器型殼層或 AWS Command Line Interface (AWS CLI) (AWS CLI) 管理 EC2 執行個體、現場部署執行個體和虛擬機器 (VM)。
Code
使用下列程式碼建立將在 Amazon EKS 叢集上安裝 SSM 代理程式的 DaemonSet 組態檔案。請按照「史詩」部分中的說明進行操作。
cat << EOF > ssm_daemonset.yaml apiVersion: apps/v1 kind: DaemonSet metadata: labels: k8s-app: ssm-installer name: ssm-installer namespace: kube-system spec: selector: matchLabels: k8s-app: ssm-installer template: metadata: labels: k8s-app: ssm-installer spec: containers: - name: sleeper image: busybox command: ['sh', '-c', 'echo I keep things running! && sleep 3600'] initContainers: - image: amazonlinux imagePullPolicy: Always name: ssm command: ["/bin/bash"] args: ["-c","echo '* * * * * root yum install -y https://s3.amazonaws.com/ec2-downloads-windows/SSMAgent/latest/linux_amd64/amazon-ssm-agent.rpm & rm -rf /etc/cron.d/ssmstart' > /etc/cron.d/ssmstart"] securityContext: allowPrivilegeEscalation: true volumeMounts: - mountPath: /etc/cron.d name: cronfile terminationMessagePath: /dev/termination-log terminationMessagePolicy: File volumes: - name: cronfile hostPath: path: /etc/cron.d type: Directory dnsPolicy: ClusterFirst restartPolicy: Always schedulerName: default-scheduler terminationGracePeriodSeconds: 30 EOF
史诗
任務 | 描述 | 所需技能 |
---|---|---|
安裝並設定 kubectl 以存取 EKS 叢集。 | 如果尚 | DevOps |
任務 | 描述 | 所需技能 |
---|---|---|
建立組 DaemonSet 態檔案。 | 使用此模式稍早「程式碼」區段中的程式碼建立名為的 DaemonSet 組態檔案 由啟動的網繭 DaemonSet 具有主容器和 init 容器完成後,主容器會等待 60 分鐘,然後再結束。60 分鐘後,會啟動新的 Pod。此網繭會安裝 SSM 代理程式 (如果遺失),或將 SSM 代理程式更新為最新版本。 如果需要,您可以修改命 | DevOps |
在 Amazon EKS 叢集 DaemonSet 上部署。 | 若要在 Amazon EKS 叢集上部署您在上一個步驟中建立的 DaemonSet 組態檔案,請使用下列命令:
此命令會建立一個 DaemonSet 在背景工作節點上執行網繭,以安裝 SSM 代理程式。 | DevOps |