Einrichtung des Amazon-EKS-Pod-Identity-Agenten - Amazon EKS
ÜberlegungenErstellen des Amazon EKS Pod Identity Agent

Unterstützung für die Verbesserung dieser Seite beitragen

Um zu diesem Benutzerhandbuch beizutragen, klicken Sie auf den Link Diese Seite auf GitHub bearbeiten, der sich im rechten Bereich jeder Seite befindet.

Einrichtung des Amazon-EKS-Pod-Identity-Agenten

Amazon-EKS-Pod-Identity-Zuordnungen bieten die Möglichkeit, Anmeldeinformationen für Ihre Anwendungen zu verwalten, ähnlich wie Amazon-EC2-Instance-Profile Anmeldeinformationen für Amazon-EC2-Instances bereitstellen.

Amazon EKS Pod Identity bietet Anmeldeinformationen für Ihre Workloads mit einer zusätzlichen EKS-Auth-API und einem Agent-Pod, der auf jedem Knoten ausgeführt wird.

Tipp

Es ist nicht erforderlich, den EKS-Pod-Identity-Agent auf EKS-Auto-Mode-Clustern zu installieren. Diese Funktion ist in EKS Auto Mode integriert.

Überlegungen

  • Standardmäßig ist der EKS-Pod-Identity-Agent auf EKS-Auto-Mode-Clustern vorinstalliert. Weitere Informationen hierzu finden Sie unter Automatisieren der Cluster-Infrastruktur mit EKS Auto Mode.

  • Standardmäßig überwacht der EKS-Pod-Identity-Agent eine IPv4- und IPv6-Adresse auf Pods, die Anmeldeinformationen anfordern. Der Agent verwendet die Loopback-IP-Adresse (localhost) 169.254.170.23 für IPv4 und die localhost-IP-Adresse [fd00:ec2::23] für IPv6.

  • Wenn Sie IPv6-Adressen deaktivieren oder localhost-IP-Adressen IPv6 anderweitig verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die IPv6 nicht verwenden können, befolgen Sie die Schritte unter Deaktivierung von IPv6 im EKS-Pod-Identity-Agent, um die IPv6-Konfiguration zu deaktivieren.

Erstellen des Amazon EKS Pod Identity Agent

Voraussetzungen für den Agent

  • Ein vorhandener Amazon-EKS-Cluster. Informationen zum Bereitstellen finden Sie unter Erste Schritte mit Amazon EKS. Die Cluster-Version und die Plattformversion müssen mit den in den EKS-Pod-Identity-Cluster-Versionen aufgeführten Versionen übereinstimmen oder höher sein.

  • Die Knotenrolle verfügt über Berechtigungen für den Agent, um die AssumeRoleForPodIdentity-Aktion in der EKS-Auth-API auszuführen. Sie können die AWS-verwaltete Richtlinie AmazonEKSWorkerNodePolicy verwenden oder eine benutzerdefinierte Richtlinie hinzufügen, die der folgenden ähnelt:

    {
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks-auth:AssumeRoleForPodIdentity"
            ],
            "Resource": "*"
        }
    ]
}

    Diese Aktion kann durch Tags beschränkt werden, um einzuschränken, welche Rollen von Pods übernommen werden können, die den Agent verwenden.

  • Die Knoten können auf Amazon ECR zugreifen und Images von Amazon ECR herunterladen. Das Container-Image für das Add-On befindet sich in den Registies, die unter Amazon-Container-Image-Registries für Amazon-EKS-Add-Ons anzeigen aufgeführt sind.

    Beachten Sie, dass Sie den Speicherort des Images ändern und imagePullSecrets für EKS-Add-Ons in den Optionalen Konfigurationseinstellungen in der AWS-Managementkonsole und in den --configuration-values in der AWS-CLI angeben können.

  • Die Knoten können die Amazon-EKS-Auth-API erreichen. Für private Cluster ist der eks-auth-Endpunkt in AWS PrivateLink erforderlich.

Agent mit der AWS-Konsole einrichten

  1. Öffnen Sie die Amazon-EKS-Konsole.

  2. Wählen Sie im linken Navigationsbereich Cluster aus. Wählen Sie anschließend den Namen des Clusters aus, für den Sie das Add-on „EKS Pod Identity Agent“ konfigurieren möchten.

  3. Wählen Sie die Registerkarte Add-ons.

  4. Wählen Sie Weitere Add-Ons erhalten.

  5. Wählen Sie das Kästchen oben rechts im Add-on-Bereich für EKS Pod Identity Agent aus und gehen Sie dann auf Bearbeiten.

  6. Wählen Sie auf der Seite Konfigurieren ausgewählter Add-on-Einstellungen eine beliebige Version in der Dropdown-Liste Version aus.

  7. (Optional) Erweitern Sie Optionale Konfigurationseinstellungen, um eine zusätzliche Konfiguration einzugeben. Sie können beispielsweise einen alternativen Speicherort für das Container-Image und ImagePullSecrets angeben. Das JSON-Schema mit den akzeptierten Schlüsseln wird im Add-On-Konfigurationsschema angezeigt.

    Geben Sie die Konfigurationsschlüssel und Werte in das Feld Konfigurationswerte ein

  8. Wählen Sie Weiter aus.

  9. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Zuordnung einer IAM-Rolle einem Kubernetes-Servicekonto.

Agent mit der AWS CLI einrichten

  1. Führen Sie den folgenden AWS-CLI-Befehl aus. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

    aws eks create-addon --cluster-name my-cluster --addon-name eks-pod-identity-agent --addon-version v1.0.0-eksbuild.1
    Anmerkung

    Der EKS-Pod-Identity-Agent verwendet den service-account-role-arn nicht für IAM-Rollen für Servicekonten. Sie müssen dem EKS Pod Identity Agent Berechtigungen für die Knotenrolle gewähren.

  2. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Zuordnung einer IAM-Rolle einem Kubernetes-Servicekonto.