Creación de una capacidad de ACK mediante eksctl - Amazon EKS
Paso 1: creación de un rol de capacidad de IAMPaso 2: creación de la capacidad de ACKPaso 3: comprobación de la activación de la capacidadPaso 4: comprobación de la disponibilidad de los recursos personalizadosSiguientes pasos

Ayude a mejorar esta página

Para contribuir a esta guía del usuario, elija el enlace Edit this page on GitHub que se encuentra en el panel derecho de cada página.

Creación de una capacidad de ACK mediante eksctl

En este tema, se describe cómo crear una capacidad de Controladores de AWS para Kubernetes (ACK) mediante eksctl.

nota

Los siguientes pasos requieren la versión 0.220.0 o posterior de eksctl. Para comprobar la versión, ejecute eksctl version.

Paso 1: creación de un rol de capacidad de IAM

Cree un archivo de política de confianza:

cat > ack-trust-policy.json << 'EOF'
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}
EOF

Cree el rol de IAM:

aws iam create-role \
  --role-name ACKCapabilityRole \
  --assume-role-policy-document file://ack-trust-policy.json

Adjunte la política administrada de AdministratorAccess al rol:

aws iam attach-role-policy \
  --role-name ACKCapabilityRole \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess
importante

La política AdministratorAccess sugerida otorga amplios permisos y tiene por objeto simplificar el inicio. Para uso en producción, reemplácela por una política personalizada que otorgue solo los permisos necesarios para los servicios de AWS específicos que tiene previsto administrar con ACK. Para obtener orientación sobre la creación de políticas de privilegio mínimo, consulte Configuración de los permisos de ACK y Consideraciones sobre la seguridad para las capacidades de EKS.

importante

Esta política otorga permisos para la administración de buckets de S3 con "Resource": "*", lo que permite llevar a cabo operaciones en todos los buckets de S3.

Para uso en producción: * Restrinja el campo Resource a patrones de nombres o ARN de buckets específicos. * Use claves de condición de IAM para limitar el acceso por etiquetas de recursos. * Otorgue solo los permisos mínimos necesarios para su caso de uso.

Para otros servicios de AWS, consulte Configuración de los permisos de ACK.

Asocie la política al rol:

aws iam attach-role-policy \
  --role-name ACKCapabilityRole \
  --policy-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):policy/ACKS3Policy

Paso 2: creación de la capacidad de ACK

Cree la capacidad de ACK mediante eksctl Reemplace region-code por la región de AWS donde creó el clúster y my-cluster por el nombre de su clúster.

eksctl create capability \
  --cluster [.replaceable]`my-cluster` \
  --region [.replaceable]`region-code` \
  --name ack \
  --type ACK \
  --role-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):role/ACKCapabilityRole \
  --ack-service-controllers s3
nota

La etiqueta --ack-service-controllers es opcional. Si se omite, ACK activa todos los controladores disponibles. Para mejorar el rendimiento y la seguridad, considere la posibilidad de activar solo los controladores que necesite. Puede especificar varios controladores: --ack-service-controllers s3,rds,dynamodb

El comando vuelve inmediatamente, pero la capacidad tarda algún tiempo en activarse.

Paso 3: comprobación de la activación de la capacidad

Compruebe el estado de la capacidad:

eksctl get capability \
  --cluster [.replaceable]`my-cluster` \
  --region [.replaceable]`region-code` \
  --name ack

La capacidad estará lista cuando aparezca el estado ACTIVE.

Paso 4: comprobación de la disponibilidad de los recursos personalizados

Una vez que la capacidad esté activa, compruebe que los recursos personalizados de ACK estén disponibles en el clúster:

kubectl api-resources | grep services.k8s.aws

Deberías ver varias API en la lista de recursos de AWS.

nota

La capacidad de Controladores de AWS para Kubernetes permite instalar varios CRD para distintos recursos de AWS.

Siguientes pasos