Contribuisci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Aggiorna i controlli organizzativi per la modalità automatica di EKS

Alcuni controlli organizzativi possono impedire il corretto funzionamento della modalità automatica di EKS. In tal caso, devi aggiornare questi controlli per consentire alla modalità automatica di EKS di disporre delle autorizzazioni necessarie per gestire le istanze EC2 per conto dell’utente.

modalità automatica di EKS utilizza un ruolo di servizio per l’avvio delle istanze EC2 che supportano i nodi della modalità automatica di EKS. Un ruolo di servizio è un ruolo IAM creato nell’account che un servizio assume per eseguire operazioni nell’account. Le policy di controllo dei servizi (SCP) si applicano sempre alle operazioni eseguite con i ruoli di servizio. Ciò consente a una SCP di inibire le operazioni di Auto Mode. La circostanza più comune si verifica quando una SCP viene utilizzata per limitare le Amazon Machine Image (AMI) che possono essere avviate. Per consentire il funzionamento della modalità automatica di EKS, modifica la SCP per consentire l’avvio di AMI dagli account modalità automatica di EKS.

Puoi anche possibile utilizzare la funzionalità EC2 Allowed AMIs per limitare la visibilità delle AMI in altri account. Se utilizzi questa funzionalità, devi espandere i criteri dell’immagine per includere anche gli account AMI della modalità automatica di EKS nelle regioni di interesse.

Ad esempio: SCP per bloccare tutte le AMI ad eccezione delle AMI della modalità automatica di EKS

La SCP riportata di seguito impedisce di chiamare ec2:RunInstances a meno che l’AMI non appartenga all’account AMI della modalità automatica di EKS per us-west-2 o us-east-1.

{
  "Version":"2012-10-17",
  "Statement": [
    {
      "Sid": "DenyAMI",
      "Effect": "Deny",
      "Action": "ec2:RunInstances",
      "Resource": "arn:*:ec2:*::image/ami-*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceAccount": [
            "767397842682",
            "992382739861"
          ]
        }
      }
    }
  ]
}

Account AMI della modalità automatica di EKS

AWS gli account che variano in base alla regione ospitano le AMI pubbliche di EKS Auto Mode.

Associare un indirizzo IP pubblico

Quando viene chiamato ec2:RunInstances, il campo AssociatePublicIpAddress per l’avvio di un’istanza viene determinato automaticamente dal tipo di sottorete in cui viene avviata l’istanza. È possibile utilizzare un SCP per far sì che questo valore sia impostato esplicitamente su false, indipendentemente dal tipo di sottorete in cui viene avviato. In questo caso il NodeClass campo spec.advancedNetworking.associatePublicIPAddress può anche essere impostato su false per soddisfare i requisiti dell'SCP.

  {
        "Sid": "DenyPublicEC2IPAddesses",
        "Effect": "Deny",
        "Action": "ec2:RunInstances",
        "Resource": "arn:aws:ec2:*:*:network-interface/*",
        "Condition": {
            "BoolIfExists": {
                "ec2:AssociatePublicIpAddress": "true"
            }
        }
    }