Implementare un cluster IPv6 Amazon EKS e nodi Amazon Linux gestiti

Eseguire questo comando per impostare una variabile per il nome dello stack AWS CloudFormation. È possibile sostituire my-eks-ipv6-vpc con qualsiasi nome scelto.

export vpc_stack_name=my-eks-ipv6-vpc

Creare un VPC IPv6 utilizzando un modello AWS CloudFormation.

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

La creazione dello stack richiede alcuni minuti. Esegui il comando seguente. Non passare alla fase successiva finché l’output del comando non è CREATE_COMPLETE.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

Recuperare gli ID delle sottoreti pubbliche che sono state create.

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

Di seguito viene riportato un output di esempio:

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

Abilitare l'opzione di assegnazione automatica dell'indirizzo IPv6 per le sottoreti pubbliche create.

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

Recuperare i nomi delle sottoreti e dei gruppi di sicurezza creati dal modello dallo stack AWS CloudFormation implementato e memorizzarli in variabili da utilizzare in una fase successiva.

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

Per creare il file eks-cluster-role-trust-policy.json, emetti il seguente comando:

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Eseguire questo comando per impostare una variabile per il nome del ruolo. È possibile sostituire myAmazonEKSClusterRole con qualsiasi nome scelto.

export cluster_role_name=myAmazonEKSClusterRole

Crea il ruolo.

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

Recuperare l'ARN del ruolo IAM e memorizzarlo in una variabile per una fase successiva.

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

Allegare la policy IAM gestita da Amazon EKS richiesta al ruolo.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

NOTA: è possibile ricevere un messaggio di errore indicante che una delle zone di disponibilità nella richiesta non dispone di capacità sufficiente per creare un cluster Amazon EKS. In questo caso, l'output di errore contiene le zone di disponibilità in grado di supportare un nuovo cluster. Riprova a creare il cluster con almeno due sottoreti che si trovano nelle zone di disponibilità supportate per il tuo account. Per ulteriori informazioni, consulta Capacità insufficiente.

La creazione del cluster richiede diversi minuti. Esegui il comando seguente. Non passare alla fase successiva fino a quando l’output del comando non è ACTIVE.

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

Per creare il file vpc-cni-ipv6-policy.json, emetti il seguente comando:

cat >vpc-cni-ipv6-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

Creare la policy IAM.

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

Per creare il file node-role-trust-relationship.json, emetti il seguente comando:

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

Eseguire questo comando per impostare una variabile per il nome del ruolo. È possibile sostituire AmazonEKSNodeRole con qualsiasi nome scelto.

export node_role_name=AmazonEKSNodeRole

Crea il ruolo IAM.

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

Allegare la policy IAM al ruolo IAM.

aws iam attach-role-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

Allegare al ruolo IAM le due policy gestite IAM richieste.

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

Recuperare l'ARN del ruolo IAM e memorizzarlo in una variabile per una fase successiva.

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

Visualizzare gli ID delle sottoreti creati in una fase precedente.

echo $subnets

Di seguito viene riportato un output di esempio:

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

Creare il gruppo di nodi. Sostituisci 0a1a56c486EXAMPLE, 099e6ca77aEXAMPLE, 0377963d69EXAMPLE e 0c05f819d5EXAMPLE con i valori restituiti nell'output della fase precedente. Assicurarsi di rimuovere le virgole tra gli ID delle sottoreti dall'output precedente nel comando seguente. È possibile sostituire t3.medium con qualsiasi tipo di istanza di AWS Nitro System.

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

La creazione del gruppo di nodi richiede alcuni minuti. Esegui il comando seguente. Non passare alla fase successiva finché l’output restituito non è ACTIVE.

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

Se si sta completando questo passaggio in una shell diversa da quella in cui sono state completate le fasi precedenti, impostare i valori di tutte le variabili utilizzate nelle fasi precedenti sostituendo i valori di esempio con quelli specificate durante le fasi precedenti. Se si sta completando questo passaggio nella stessa shell in cui sono state completate le fasi precedenti, andare alla fase successiva.

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

Eliminare il gruppo di nodi.

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

L'eliminazione richiede pochi minuti. Esegui il comando seguente. Non passare alla fase successiva se viene restituito un output.

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

Elimina il cluster.

aws eks delete-cluster --region $region_code --name $cluster_name

L'eliminazione del cluster richiede alcuni minuti. Prima di continuare, accertarsi che il cluster sia eliminato con il comando seguente:

aws eks describe-cluster --region $region_code --name $cluster_name

Non procedere alla fase successiva finché l’output non è simile al seguente:

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

Eliminare le risorse IAM create. Sostituire AmazonEKS_CNI_IPv6_Policy con il nome scelto, se è stato scelto un nome diverso da quello usato nei passaggi precedenti.

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

Eliminare lo stack AWS CloudFormation che ha creato il VPC.

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name