Création d’un cluster Amazon EKS

Si vous avez déjà un rôle IAM de cluster, ou si vous allez créer votre cluster avec eksctl, vous pouvez ignorer cette étape. Par défaut, eksctl crée un rôle pour vous.

Exécutez la commande suivante pour créer un fichier JSON de politique d'approbation IAM.

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Créez le rôle IAM de cluster Amazon EKS. Si nécessaire, faites précéder eks-cluster-role-trust-policy.json par le chemin d'accès sur votre ordinateur sur lequel vous avez enregistré le fichier lors de l'étape précédente. La commande associe la politique d'approbation que vous avez créée lors de l'étape précédente à ce rôle. Pour créer un rôle IAM, le principal IAM qui crée le rôle doit se voir attribuer l'action (autorisation) IAM iam:CreateRole.

aws iam create-role --role-name myAmazonEKSClusterRole --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Vous pouvez attribuer la politique gérée par Amazon EKS ou créer votre propre politique personnalisée. Pour connaître les autorisations minimales que vous devez utiliser dans votre politique personnalisée, consultez Rôle IAM de cluster Amazon EKS.

Attachez la politique gérée Amazon EKS nommée AmazonEKSClusterPolicy au rôle. Pour attacher une politique IAM à un principal IAM, le principal qui attache la politique doit se voir attribuer l'une des actions (autorisations) IAM iam:AttachUserPolicy ou iam:AttachRolePolicy.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name myAmazonEKSClusterRole

Vous devez installer la version 0.214.0 ou ultérieure de l’outil de ligne de commande eksctl sur votre appareil ou dans AWS CloudShell. Pour installer ou mettre à jour eksctl, veuillez consulter Installation dans la documentation de eksctl.

Créez un cluster IPv4 Amazon EKS avec la version Kubernetes par défaut d’Amazon EKS dans votre région AWS par défaut. Avant d'exécuter la commande, effectuez les remplacements suivants :

Remplacez region-code par la région AWS dans laquelle vous souhaitez créer votre cluster.

Remplacez my-cluster par le nom de votre cluster. Un nom ne peut contenir que des caractères alphanumériques (sensibles à la casse) et des traits d'union. Il doit commencer par un caractère alphanumérique et ne peut pas dépasser 100 caractères. Le nom doit être unique dans la région AWS et le compte AWS dans lesquels vous créez le cluster.

Remplacez 1.33 par n’importe quelle version prise en charge d’Amazon EKS.

Modifiez les valeurs de vpc-private-subnets pour répondre à vos besoins. Vous pouvez également ajouter d'autres identifiants. Vous devez spécifier au moins deux ID de sous-réseau. Si vous préférez spécifier des sous-réseaux publics, vous pouvez remplacer --vpc-private-subnets par --vpc-public-subnets. Les sous-réseaux publics ont une table de routage associée avec un routage vers une passerelle Internet, mais les sous-réseaux privés n’ont pas de table de routage associée. Nous recommandons d'utiliser des sous-réseaux privés dans la mesure du possible.

Les sous-réseaux que vous choisissez doivent respecter les exigences relatives aux sous-réseaux d'Amazon EKS. Avant de sélectionner les sous-réseaux, assurez-vous de bien comprendre toutes les exigences et considérations relatives aux VPC et sous-réseaux Amazon EKS.

Exécutez la commande suivante :

eksctl create cluster --name my-cluster --region region-code --version 1.33 --vpc-private-subnets subnet-ExampleID1,subnet-ExampleID2 --without-nodegroup

L'approvisionnement de cluster dure plusieurs minutes. Pendant la création du cluster, plusieurs lignes de sortie apparaissent. La dernière ligne de sortie est similaire à celle de l'exemple suivant.

[✓]  EKS cluster "my-cluster" in "region-code" region is ready

Poursuivez avec Étape 3 : mettre à jour kubeconfig

Ouvrez la console Amazon EKS.

Choisissez Add cluster (Ajouter un cluster), puis choisissez Create (Créer).

Sous Options de configuration, sélectionnez Configuration personnalisée

Sous Mode automatique EKS, désactivez l’option Utiliser le mode automatique EKS.

Sur la page Configurer le cluster, renseignez les champs suivants :

Dans la section Accès au cluster de la page de configuration du cluster, renseignez les champs suivants :

Sur la page Spécifier les réseaux sélectionnez des valeurs pour les champs suivants :

Vous ne pouvez spécifier cette option que lorsque vous utilisez la famille d'adresses IPv4 et uniquement lors de la création du cluster. Si vous ne spécifiez pas cela, alors Kubernetes attribue des adresses IP de service à partir des blocs CIDR 10.100.0.0/16 ou 172.20.0.0/16.

(Facultatif) Sur la page Configurer l'observabilité, choisissez quelles options de Métriques et de Journalisation du plan de contrôle doivent être activées. Par défaut, chaque type de journal est désactivé.

Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Sur la page Select add-ons (Sélectionner les modules complémentaires), choisissez les modules complémentaires que vous souhaitez ajouter à votre cluster. Certains modules complémentaires sont présélectionnés. Vous pouvez choisir autant de modules complémentaires Amazon EKS et AWS Marketplace que vous le souhaitez. Si les modules complémentaires AWS Marketplace que vous souhaitez installer ne figurent pas dans la liste, vous pouvez utiliser la pagination pour afficher les pages suivantes, ou rechercher des modules complémentaires AWS Marketplace disponibles en saisissant du texte dans la zone de recherche. Vous pouvez également filtrer les résultats par catégorie, fournisseur ou modèle de tarification, puis sélectionner les modules complémentaires affichés dans les résultats de recherche. Lorsque vous créez un cluster, vous pouvez afficher, sélectionner et installer tout module complémentaire compatible avec les identités de pod EKS, comme indiqué dans Découvrir comment l’identité du pod Amazon EKS accorde aux pods l’accès aux services AWS.

Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Certains modules complémentaires, tels qu’Amazon VPC, CoreDNS et kube-proxy, sont installés par défaut. Si vous désactivez l’un des modules complémentaires par défaut, cela peut affecter votre capacité à exécuter des applications Kubernetes.

Sur la page Configurer les paramètres de modules complémentaires sélectionnés, sélectionnez la version que vous voulez installer. Vous pourrez toujours effectuer une mise à jour vers une version ultérieure après la création du cluster.

Pour les modules complémentaires qui prennent en charge les identités de pod EKS, vous pouvez utiliser la console pour générer automatiquement le rôle, avec le nom, la politique gérée par AWS et la politique d’approbation préremplis spécifiquement pour ce module complémentaire. Vous pouvez réutiliser des rôles existants ou créer de nouveaux rôles pour les modules complémentaires pris en charge. Pour les étapes permettant d’utiliser la console afin de créer des rôles pour les modules complémentaires qui prennent en charge les identités de pod EKS, consultez Créer un module complémentaire (Console AWS). Si un module complémentaire ne prend pas en charge l’identité du pod EKS, un message s’affiche avec des instructions pour utiliser l’assistant afin de créer les rôles IAM pour comptes de service (IRSA) après la création du cluster.

Vous pourrez mettre à jour la configuration de chaque module complémentaire après la création du cluster. Pour plus d'informations sur la configuration des modules complémentaires, consultez Mettre à jour un module complémentaire Amazon EKS. Lorsque vous avez terminé d'utiliser cette page, choisissez Suivant.

Sur la page Vérifier et créer, passez en revue les informations que vous avez saisies ou sélectionnées sur les pages précédentes. Si vous devez apporter des modifications, choisissez Modifier. Lorsque vous êtes satisfait, choisissez Créer. Le champ État affiche EN COURS DE CRÉATION pendant que le cluster est provisionné.

L'approvisionnement de cluster dure plusieurs minutes.

Poursuivez avec Étape 3 : mettre à jour kubeconfig

Créez votre cluster à l'aide de la commande suivante. Avant d'exécuter la commande, effectuez les remplacements suivants :

Vous ne pouvez spécifier cette option que lorsque vous utilisez la famille d'adresses IPv4 et uniquement lors de la création du cluster. Si vous ne spécifiez pas cela, alors Kubernetes attribue des adresses IP de service à partir des blocs CIDR 10.100.0.0/16 ou 172.20.0.0/16.

Le provisionnement du cluster prend quelques minutes. Vous pouvez vérifier le statut de votre cluster avec la commande suivante.

aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status"

Ne passez pas à l’étape suivante tant que le résultat renvoyé n’est pas ACTIVE.

Poursuivez avec Étape 3 : mettre à jour kubeconfig

Si vous avez créé votre cluster à l'aide de eksctl, vous pouvez ignorer cette étape. Cela est dû au fait que eksctl a déjà terminé cette étape pour vous. Activez kubectl pour communiquer avec votre cluster en ajoutant un nouveau contexte au fichier kubectl config. Pour plus d'informations sur la création et la mise à jour du fichier, consultez Connexion de kubectl à un cluster EKS en créant un fichier kubeconfig.

aws eks update-kubeconfig --region region-code --name my-cluster

L'exemple qui suit illustre un résultat.

Added new context arn:aws:eks:region-code:111122223333:cluster/my-cluster to /home/username/.kube/config

Confirmez la communication avec votre cluster en exécutant la commande suivante.

kubectl get svc

L'exemple qui suit illustre un résultat.

NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   28h

(Recommandé) Pour utiliser certains modules complémentaires Amazon EKS ou pour permettre aux applications Kubernetes de disposer d’autorisations AWS Identity and Access Management (IAM) spécifiques, créez un fournisseur OpenID Connect (OIDC) pour votre cluster. Vous n'avez besoin de créer un fournisseur OIDC IAM pour votre cluster qu'une seule fois. Pour en savoir plus sur les modules complémentaires Amazon EKS, consultez Modules complémentaires Amazon EKS. Pour en savoir plus sur l'attribution des autorisations IAM spécifiques à vos applications, consultez Rôles IAM pour les comptes de service.

(Recommandé) Configurez votre cluster pour le plug-in Amazon VPC CNI avant de déployer des nœuds Amazon EC2 sur votre cluster. Par défaut, le plugin a été installé avec votre cluster. Lorsque vous ajoutez des nœuds Amazon EC2 à votre cluster, le plugin est automatiquement déployé sur chaque nœud Amazon EC2 que vous ajoutez. Ce plug-in nécessite l’ajout de l’une des politiques IAM suivantes à un rôle IAM. Si votre cluster utilise la famille IPv4, utilisez la politique IAM gérée AmazonEKS_CNI_Policy. Si votre cluster utilise la famille IPv6, utilisez une politique IAM que vous créez.

Le rôle IAM auquel vous attachez la politique peut être le rôle IAM du nœud ou un rôle dédié utilisé uniquement pour le plugin. Nous vous recommandons d'associer la politique à ce rôle. Pour plus d’informations sur la création du rôle, consultez Configuration du plug-in Amazon VPC CNI pour utiliser IRSA ou Rôle IAM du nœud Amazon EKS.

Si vous avez déployé votre cluster à l'aide de la AWS Management Console, vous pouvez ignorer cette étape. La AWS Management Console déploie par défaut le plug-in Amazon VPC CNI pour Kubernetes, CoreDNS et les modules complémentaires kube-proxy Amazon EKS.

Si vous déployez votre cluster à l’aide d’eksctl ou de l’interface CLI AWS, alors le plug-in Amazon VPC CNI pour Kubernetes, CoreDNS et les modules complémentaires autogérés kube-proxy sont déployés. Vous pouvez migrer le plug-in Amazon VPC CNI pour Kubernetes, CoreDNS, et les modules complémentaires autogérés kube-proxy déployés avec votre cluster vers des modules complémentaires Amazon EKS. Pour de plus amples informations, consultez Modules complémentaires Amazon EKS.

(Facultatif) Si ce n’est pas déjà fait, vous pouvez activer les métriques Prometheus pour votre cluster. Pour plus d'informations, consultez Création d'un scraper dans le Guide de l'utilisateur Amazon Managed Service for Prometheus.

Si vous prévoyez de déployer des charges de travail utilisant des volumes Amazon EBS, vous devez installer le module complémentaire Amazon EBS CSI dans votre cluster avant de déployer ces charges de travail.