Déploiement d’un cluster Amazon EKS IPv6 et de nœuds Amazon Linux gérés

Exécutez la commande suivante pour définir une variable pour le nom de votre pile CloudFormation AWS. Vous pouvez remplacer my-eks-ipv6-vpc par le nom de votre choix.

export vpc_stack_name=my-eks-ipv6-vpc

Créez un VPC IPv6 à l’aide d’un modèle CloudFormation AWS.

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

La création de la pile prend quelques minutes. Exécutez la commande suivante. Ne passez pas à l’étape suivante tant que le résultat de la commande n’est pas CREATE_COMPLETE.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

Récupérez les ID des sous-réseaux publics qui ont été créés.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

L'exemple qui suit illustre un résultat.

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

Activez l'option d'attribution automatique d'adresses IPv6 pour les sous-réseaux publics qui ont été créés.

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

Récupérez les noms des sous-réseaux et des groupes de sécurité créés par le modèle à partir de la pile AWS CloudFormation déployée et stockez-les dans des variables afin de les utiliser dans une étape ultérieure.

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

Exécutez la commande suivante pour créer un fichier eks-cluster-role-trust-policy.json :

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Exécutez la commande suivante pour définir une variable pour votre nom de rôle. Vous pouvez remplacer myAmazonEKSClusterRole par le nom de votre choix.

export cluster_role_name=myAmazonEKSClusterRole

Créez le rôle.

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Récupérez l'ARN du rôle IAM et le stockez dans une variable pour une étape ultérieure.

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

Attachez la politique IAM gérée par Amazon EKS au rôle.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

REMARQUE : il est possible que vous receviez un message d’erreur indiquant que l’une des zones de disponibilité de votre demande ne dispose pas d’une capacité suffisante pour créer un cluster Amazon EKS. Si cela se produit, la sortie de l'erreur contient les zones de disponibilité qui peuvent prendre en charge un nouveau cluster. Essayez à nouveau de créer votre cluster avec au moins deux sous-réseaux situés dans les zones de disponibilité prises en charge pour votre compte. Pour de plus amples informations, consultez Capacité insuffisante.

La création du cluster prend quelques minutes. Exécutez la commande suivante. Ne passez pas à l’étape suivante tant que la sortie de la commande n’est pas ACTIVE.

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

Exécutez la commande suivante pour créer un fichier vpc-cni-ipv6-policy.json :

cat >vpc-cni-ipv6-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

Créez la politique IAM.

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

Exécutez la commande suivante pour créer un fichier node-role-trust-relationship.json :

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Exécutez la commande suivante pour définir une variable pour votre nom de rôle. Vous pouvez remplacer AmazonEKSNodeRole par le nom de votre choix.

export node_role_name=AmazonEKSNodeRole

Créez le rôle IAM.

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

Attachez la politique IAM au rôle IAM.

aws iam attach-role-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

Attachez deux politiques gérées IAM requises au rôle IAM.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

Récupérez l'ARN du rôle IAM et le stockez dans une variable pour une étape ultérieure.

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

Affichez les ID des sous-réseaux que vous avez créés à l'étape précédente.

echo $subnets

L'exemple qui suit illustre un résultat.

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

Créez le groupe de nœuds. Remplacez 0a1a56c486EXAMPLE, 099e6ca77aEXAMPLE, 0377963d69EXAMPLE et 0c05f819d5EXAMPLE par les valeurs renvoyées dans la sortie de l'étape précédente. Veillez à supprimer les virgules entre les ID de sous-réseau de la sortie précédente dans la commande suivante. Vous pouvez remplacer t3.medium par tout type d'instance du système AWS Nitro.

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

La création du groupe de nœuds prend quelques minutes. Exécutez la commande suivante. Ne passez pas à l’étape suivante tant que le résultat renvoyé n’est pas ACTIVE.

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

Si vous effectuez cette étape dans un shell différent de celui dans lequel vous avez effectué les étapes précédentes, définissez les valeurs de toutes les variables utilisées dans les étapes précédentes, en remplaçant les valeurs d’exemple par les valeurs que vous avez spécifiées lorsque vous avez effectué les étapes précédentes. Si vous effectuez cette étape dans le même shell que celui dans lequel vous avez effectué les étapes précédentes, passez à l’étape suivante.

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

Supprimez votre groupe de nœuds.

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

La suppression prend quelques minutes. Exécutez la commande suivante. Ne pas passer à l’étape suivante si une sortie est retournée.

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

Supprimez le cluster.

aws eks delete-cluster --region $region_code --name $cluster_name

La suppression du cluster prend quelques minutes. Avant de continuer, assurez-vous que le cluster est supprimé avec la commande suivante.

aws eks describe-cluster --region $region_code --name $cluster_name

Ne passez pas à l’étape suivante tant que votre résultat n’est pas similaire au résultat suivant.

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

Supprimez les ressources IAM que vous avez créées. Remplacez AmazonEKS_CNI_IPv6_Policy par le nom que vous avez choisi, si vous avez choisi un nom différent de celui utilisé dans les étapes précédentes.

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

Supprimez la pile CloudFormation AWS qui a créé le VPC.

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name