Den Amazon EKS Pod Identity Agent einrichten - Amazon EKS
ÜberlegungenErstellen des Amazon EKS Pod Identity Agent

Hilf mit, diese Seite zu verbessern

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wenn Sie zu diesem Benutzerhandbuch beitragen möchten, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Den Amazon EKS Pod Identity Agent einrichten

Amazon EKS Pod Identity-Verknüpfungen bieten die Möglichkeit, Anmeldeinformationen für Ihre Anwendungen zu verwalten, ähnlich wie EC2 Amazon-Instance-Profile Anmeldeinformationen für EC2 Amazon-Instances bereitstellen.

Amazon EKS Pod Identity bietet Anmeldeinformationen für Ihre Workloads mit einer zusätzlichen EKS-Auth-API und einem Agent-Pod, der auf jedem Knoten ausgeführt wird.

Tipp

Sie müssen den EKS Pod Identity Agent nicht auf EKS-Auto-Mode-Clustern installieren. Diese Funktion ist in den EKS Auto Mode integriert.

Überlegungen

  • Standardmäßig ist der EKS Pod Identity Agent auf EKS-Auto-Mode-Clustern vorinstalliert. Weitere Informationen hierzu finden Sie unter Automatisieren Sie die Cluster-Infrastruktur mit dem EKS Auto Mode.

  • Standardmäßig überwacht der EKS Pod Identity Agent eine IPv4 IPv6 AND-Adresse für Pods, um Anmeldeinformationen anzufordern. Der Agent verwendet die Loopback-IP-Adresse (localhost) 169.254.170.23 für IPv4 und die Localhost-IP-Adresse für. [fd00:ec2::23] IPv6

  • Wenn Sie IPv6 Adressen deaktivieren oder auf andere Weise IPv6 Localhost-IP-Adressen verhindern, kann der Agent nicht gestartet werden. Um den Agenten auf Knoten zu starten, die nicht verwendet werden könnenIPv6, folgen Sie den Schritten unter IPv6Im EKS Pod Identity Agent deaktivieren So deaktivieren Sie die IPv6 Konfiguration.

Erstellen des Amazon EKS Pod Identity Agent

Voraussetzungen für den Agent

  • Ein vorhandener Amazon-EKS-Cluster. Informationen zum Bereitstellen finden Sie unter Erste Schritte mit Amazon EKS. Die Clusterversion und die Plattformversion müssen mit den in den EKS Pod Identity-Clusterversionen aufgeführten Versionen identisch oder höher sein.

  • Die Knotenrolle verfügt über Berechtigungen für den Agent, um die AssumeRoleForPodIdentity-Aktion in der EKS-Auth-API auszuführen. Sie können die AWS verwaltete Richtlinie verwenden: Amazon EKSWorker NodePolicy oder eine benutzerdefinierte Richtlinie hinzufügen, die der folgenden ähnelt:

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks-auth:AssumeRoleForPodIdentity"
            ],
            "Resource": "*"
        }
    ]
}

    Diese Aktion kann durch Tags beschränkt werden, um einzuschränken, welche Rollen von Pods übernommen werden können, die den Agent verwenden.

  • Die Knoten können auf Amazon ECR zugreifen und Images von Amazon ECR herunterladen. Das Container-Image für das Add-on befindet sich in den Registern, die unter Amazon-Container-Image-Registrierungen für Amazon EKS-Add-Ons anzeigen aufgeführt sind.

    Beachten Sie, dass Sie den Speicherort des Images ändern und EKS-Add-Ons in den optionalen Konfigurationseinstellungen in der AWS Management Console und --configuration-values in der AWS CLI bereitstellen imagePullSecrets können.

  • Die Knoten können die Amazon-EKS-Auth-API erreichen. Für private Cluster ist der eks-auth Endpunkt-IN AWS PrivateLink erforderlich.

Agent mit AWS Konsole einrichten

  1. Öffnen Sie die Amazon-EKS-Konsole.

  2. Wählen Sie im linken Navigationsbereich Cluster aus. Wählen Sie anschließend den Namen des Clusters aus, für den Sie das Add-on „EKS Pod Identity Agent“ konfigurieren möchten.

  3. Wählen Sie die Registerkarte Add-ons.

  4. Wählen Sie Weitere Add-Ons erhalten.

  5. Wählen Sie das Kästchen oben rechts im Add-on-Bereich für EKS Pod Identity Agent aus und gehen Sie dann auf Bearbeiten.

  6. Wählen Sie auf der Seite Konfigurieren ausgewählter Add-on-Einstellungen eine beliebige Version in der Dropdown-Liste Version aus.

  7. (Optional) Erweitern Sie Optionale Konfigurationseinstellungen, um eine zusätzliche Konfiguration einzugeben. Sie können beispielsweise einen alternativen Speicherort für das Container-Image und ImagePullSecrets angeben. Das JSON-Schema mit den akzeptierten Schlüsseln wird im Konfigurationsschema des Add-ons angezeigt.

    Geben Sie die Konfigurationsschlüssel und Werte in das Feld Konfigurationswerte ein

  8. Wählen Sie Weiter aus.

  9. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Weisen Sie einem Kubernetes-Dienstkonto eine IAM-Rolle zu.

Agent mit AWS CLI einrichten

  1. Führen Sie den folgenden AWS CLI-Befehl aus. Ersetzen Sie my-cluster mit dem Namen Ihres Clusters.

    aws eks create-addon --cluster-name my-cluster --addon-name eks-pod-identity-agent --addon-version v1.0.0-eksbuild.1
    Anmerkung

    Der EKS Pod Identity Agent verwendet die vier service-account-role-arn IAM-Rollen nicht für Dienstkonten. Sie müssen dem EKS Pod Identity Agent Berechtigungen für die Knotenrolle gewähren.

  2. Vergewissern Sie sich, dass die EKS-Pod-Identity-Pods auf Ihrem Cluster ausgeführt werden.

    kubectl get pods -n kube-system | grep 'eks-pod-identity-agent'

    Eine Beispielausgabe sieht wie folgt aus.

    eks-pod-identity-agent-gmqp7                                          1/1     Running   1 (24h ago)   24h
eks-pod-identity-agent-prnsh                                          1/1     Running   1 (24h ago)   24h

    Sie können jetzt EKS-Pod-Identity-Zuordnungen in Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Weisen Sie einem Kubernetes-Dienstkonto eine IAM-Rolle zu.