Crea una funzionalità ACK usando eksctl - Amazon EKS
Fase 1: Creare un ruolo di capacità IAMFase 2: Creare la funzionalità ACKFase 3: Verificare che la funzionalità sia attivaFase 4: Verifica della disponibilità di risorse personalizzateFasi successive

Contribuisci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Crea una funzionalità ACK usando eksctl

Questo argomento descrive come creare una funzionalità AWS Controllers for Kubernetes (ACK) usando eksctl.

Nota

I passaggi seguenti richiedono la versione eksctl o successiva. 0.220.0 Per verificare la tua versione, esegui. eksctl version

Fase 1: Creare un ruolo di capacità IAM

Crea un file di policy di fiducia:

cat > ack-trust-policy.json << 'EOF'
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "capabilities.eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}
EOF

Crea il ruolo IAM:

aws iam create-role \
  --role-name ACKCapabilityRole \
  --assume-role-policy-document file://ack-trust-policy.json

Allega la policy AdministratorAccess gestita al ruolo:

aws iam attach-role-policy \
  --role-name ACKCapabilityRole \
  --policy-arn arn:aws:iam::aws:policy/AdministratorAccess
Importante

La AdministratorAccess politica suggerita concede ampie autorizzazioni e ha lo scopo di semplificare l'avvio. Per uso in produzione, sostituiscila con una politica personalizzata che conceda solo le autorizzazioni necessarie per i AWS servizi specifici che intendi gestire con ACK. Per indicazioni sulla creazione di politiche con privilegi minimi, consulta e. Configurare le autorizzazioni ACK Considerazioni sulla sicurezza per EKS Capabilities

Importante

Questa politica concede le autorizzazioni per la gestione dei bucket S3 con"Resource": "*", che consente le operazioni su tutti i bucket S3.

Per uso in produzione: * Limita il Resource campo a bucket ARNs o modelli di nomi specifici * Usa le chiavi di condizione IAM per limitare l'accesso tramite tag di risorsa * Concedi solo le autorizzazioni minime necessarie per il tuo caso d'uso

Per altri AWS servizi, consulta. Configurare le autorizzazioni ACK

Collegare la policy al ruolo:

aws iam attach-role-policy \
  --role-name ACKCapabilityRole \
  --policy-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):policy/ACKS3Policy

Fase 2: Creare la funzionalità ACK

Crea la funzionalità ACK usando eksctl. Sostituiscilo region-code con la AWS regione in cui si trova il cluster e my-cluster sostituiscilo con il nome del cluster.

eksctl create capability \
  --cluster [.replaceable]`my-cluster` \
  --region [.replaceable]`region-code` \
  --name ack \
  --type ACK \
  --role-arn arn:aws:iam::$(aws sts get-caller-identity --query Account --output text):role/ACKCapabilityRole \
  --ack-service-controllers s3
Nota

La --ack-service-controllers bandiera è facoltativa. Se omesso, ACK abilita tutti i controller disponibili. Per prestazioni e sicurezza migliori, valuta la possibilità di abilitare solo i controller di cui hai bisogno. Puoi specificare più controller: --ack-service-controllers s3,rds,dynamodb

Il comando viene restituito immediatamente, ma la funzionalità impiega del tempo per diventare attiva.

Fase 3: Verificare che la funzionalità sia attiva

Verifica lo stato della capacità:

eksctl get capability \
  --cluster [.replaceable]`my-cluster` \
  --region [.replaceable]`region-code` \
  --name ack

La funzionalità è pronta quando viene visualizzato lo statoACTIVE.

Fase 4: Verifica della disponibilità di risorse personalizzate

Dopo che la funzionalità è attiva, verifica che le risorse personalizzate ACK siano disponibili nel cluster:

kubectl api-resources | grep services.k8s.aws

Dovresti vedere un certo numero di AWS risorse APIs elencate.

Nota

La funzionalità di AWS Controllers for Kubernetes installerà una serie di risorse CRDs per una varietà di risorse. AWS

Fasi successive