Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page sur qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mise à jour des contrôles d’organisation pour le mode automatique EKS

Certains contrôles organisationnels peuvent empêcher le mode automatique EKS de fonctionner correctement. Si tel est le cas, vous devez mettre à jour ces contrôles pour permettre au mode automatique d'EKS de disposer des autorisations nécessaires pour gérer les EC2 instances en votre nom.

Le mode automatique EKS utilise un rôle de service pour lancer les EC2 instances qui soutiennent les nœuds du mode automatique EKS. Un rôle de service est un rôle IAM créé dans votre compte, qu’un service peut assumer afin d’effectuer des actions en votre nom. Les politiques de contrôle des services (SCPs) s'appliquent toujours aux actions effectuées avec des rôles de service. Ainsi, une SCP peut bloquer certaines opérations du mode automatique EKS. L'occurrence la plus courante se produit lorsqu'un SCP est utilisé pour restreindre les Amazon Machine Images (AMIs) qui peuvent être lancées. Pour permettre au mode automatique EKS de fonctionner, modifiez le SCP afin de permettre le lancement à AMIs partir des comptes du mode automatique EKS.

Vous pouvez également utiliser la AMIs fonctionnalité EC2 Autorisé pour limiter la visibilité sur AMIs d'autres comptes. Si vous utilisez cette fonctionnalité, vous devez élargir les critères d’images afin d’inclure également les comptes d’AMI en mode automatique EKS dans les régions concernées.

Exemple de SCP pour tout bloquer AMIs sauf le mode automatique EKS AMIs

L’exemple ci-dessous empêche l’appel de ec2:RunInstances sauf si l’AMI appartient au compte d’AMI en mode automatique EKS pour us-west-2 ou us-east-1.

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "DenyAMI",
      "Effect": "Deny",
      "Action": "ec2:RunInstances",
      "Resource": "arn:*:ec2:*::image/ami-*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceAccount": [
            "767397842682",
            "992382739861"
          ]
        }
      }
    }
  ]
}

Comptes AMI en mode automatique EKS

AWS les comptes qui varient selon les régions hébergent le mode automatique EKS public AMIs.

Association d’une adresse IP publique

Lorsque l’appel ec2:RunInstances est effectué, la valeur du champ AssociatePublicIpAddress lors du lancement d’une instance est déterminée automatiquement en fonction du type de sous-réseau dans lequel l’instance est lancée. Une SCP peut être utilisée pour imposer que cette valeur soit explicitement définie sur « false », quel que soit le sous-réseau utilisé pour le lancement. Dans ce cas, le NodeClass champ spec.advancedNetworking.associatePublicIPAddress peut également être défini sur false pour satisfaire aux exigences du SCP.

  {
        "Sid": "DenyPublicEC2IPAddesses",
        "Effect": "Deny",
        "Action": "ec2:RunInstances",
        "Resource": "arn:aws:ec2:*:*:network-interface/*",
        "Condition": {
            "BoolIfExists": {
                "ec2:AssociatePublicIpAddress": "true"
            }
        }
    }