Preparazione delle credenziali per i nodi ibridi

Sostituisci ROLE_NAME con il nome del ruolo IAM dei nodi ibridi. Per impostazione predefinita, il CloudFormation modello utilizza AmazonEKSHybridNodesRole come nome del ruolo creato se non si specifica un nome.

TAG_KEYSostituiscilo con la chiave del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, l'impostazione predefinita è. CloudFormation TAG_KEY EKSClusterARN

Sostituisci TAG_VALUE con il valore del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l’impostazione predefinita TAG_KEY di EKSClusterARN, passa l’ARN del cluster EKS come TAG_VALUE. I cluster EKS hanno il formato. ARNs arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "SSMDeregisterConditionTagKey": "TAG_KEY",
    "SSMDeregisterConditionTagValue": "TAG_VALUE"
  }
}

Per utilizzare una risorsa CA AWS privata, apri la console Private AWS Certificate Authority. Segui le istruzioni contenute in AWS Private CA User Guide.

Per utilizzare una CA esterna, segui le istruzioni fornite dalla CA. Fornisci l’ente di certificazione in una fase successiva.

I certificati emessi da fonti pubbliche CAs non possono essere utilizzati come ancoraggi di fiducia.

Sostituisci ROLE_NAME con il nome del ruolo IAM dei nodi ibridi. Per impostazione predefinita, se non specifichi un nome, il CloudFormation modello utilizza AmazonEKSHybridNodesRole il nome del ruolo che crea.

Sostituisci CERT_ATTRIBUTE con l’attributo del certificato per computer che identifica in modo univoco l’host. L’attributo del certificato utilizzato deve corrispondere al nodeName utilizzato per la configurazione nodeadm quando si connettono i nodi ibridi al cluster. Per ulteriori informazioni, consulta Riferimento nodeadm dei nodi ibridi. Per impostazione predefinita, il CloudFormation modello utilizza ${aws:PrincipalTag/x509Subject/CN} comeCERT_ATTRIBUTE, che corrisponde al campo CN dei certificati per computer. In alternativa puoi passare $(aws:PrincipalTag/x509SAN/Name/CN} come tuo CERT_ATTRIBUTE.

Sostituisci CA_CERT_BODY con l’ente del certificato della tua CA senza interruzioni di riga. Il CA_CERT_BODY deve essere in formato Privacy-Enhanced Mail (PEM). Se disponi di un certificato CA in formato PEM, rimuovi le interruzioni di riga e le righe BEGIN CERTIFICATE e END CERTIFICATE prima di inserire l’ente del certificato CA nel file cfn-iamra-parameters.json.

{
  "Parameters": {
    "RoleName": "ROLE_NAME",
    "CertAttributeTrustPolicy": "CERT_ATTRIBUTE",
    "CABundleCert": "CA_CERT_BODY"
  }
}

AWS_REGIONSostituiscila con la AWS regione per l'attivazione ibrida SSM AWS .

AWS_ACCOUNT_IDSostituiscilo con l'ID AWS del tuo account.

TAG_KEYSostituiscilo con la chiave del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Nel modello, l'impostazione predefinita è. CloudFormation TAG_KEY EKSClusterARN

Sostituisci TAG_VALUE con il valore del tag di risorsa AWS SSM che hai usato durante la creazione dell'attivazione ibrida AWS SSM. La combinazione della chiave del tag e del valore del tag viene utilizzata nella condizione di consentire solo ssm:DeregisterManagedInstance al ruolo IAM di Hybrid Nodes di annullare la registrazione delle istanze gestite AWS SSM associate all'attivazione ibrida SSM. AWS Se utilizzi l’impostazione predefinita TAG_KEY di EKSClusterARN, passa l’ARN del cluster EKS come TAG_VALUE. I cluster EKS hanno il formato. ARNs arn:aws: eks:AWS_REGION:AWS_ACCOUNT_ID:cluster/CLUSTER_NAME

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

Filtra le azioni DescribeClustere seleziona l'azione DescribeClusterLeggi.

Scegli Next (Successivo).

Immetti un Nome policy per la tua policy, come EKSDescribeClusterPolicy.

Scegli Crea policy.

Scegli Next (Successivo).

Immetti un nome Policy per la tua policy, come EKSHybridSSMPolicy.

Scegli Crea policy.

Nel sezione Tipo di entità attendibile, scegli Policy di attendibilità personalizzata. Incolla quanto segue nell’editor della policy di attendibilità personalizzata. AWS_REGIONSostituiscilo con la AWS regione dell'attivazione ibrida AWS SSM e AWS_ACCOUNT_ID con l'ID del tuo AWS account.

{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

Scegli Next (Successivo).

Nella casella Filtra policy, inserisci EKSDescribeClusterPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci EKSHybridSSMPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra di AmazonEC2ContainerRegistryPullOnly nei risultati di ricerca.

Nella casella Filtra policy, inserisci AmazonSSMManagedInstanceCore. Seleziona la casella di controllo a sinistra della AmazonSSMManagedInstanceCore nei risultati di ricerca.

Scegli Successivo.

Per Nome ruolo, inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegli Crea ruolo.

Nel sezione Tipo di entità attendibile, scegli Policy di attendibilità personalizzata. Incolla quanto segue nell’editor della policy di attendibilità personalizzata. Sostituisci TRUST_ANCHOR ARN con l’ARN dell’ancora di fiducia che hai creato nei passaggi Configura AWS IAM Roles Anywhere. La condizione contenuta in questa policy di fiducia limita la capacità di AWS IAM Roles Anywhere di assumere il ruolo IAM di Hybrid Nodes per lo scambio di credenziali IAM temporanee solo quando il nome della sessione di ruolo corrisponde al CN nel certificato x509 installato sui nodi ibridi. In alternativa, puoi utilizzare altri attributi del certificato per identificare in modo univoco il tuo nodo. L’attributo del certificato che usi nella policy di fiducia deve corrispondere al nodeName che hai impostato nella configurazione bideadm. Per ulteriori informazioni, consulta Riferimento nodeadm dei nodi ibridi.

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

Scegli Next (Successivo).

Nella casella Filtra policy, inserisci EKSDescribeClusterPolicy o il nome della policy creata in precedenza. Seleziona la casella di controllo a sinistra il nome della policy nei risultati della ricerca.

Nella casella Filtra policy, inserisci AmazonEC2ContainerRegistryPullOnly. Seleziona la casella di controllo a sinistra della AmazonEC2ContainerRegistryPullOnly nei risultati di ricerca.

Scegli Successivo.

Per Nome ruolo, inserisci un nome univoco per il ruolo, ad esempio AmazonEKSHybridNodesRole.

Per Description (Descrizione), sostituisci il testo corrente con un testo descrittivo come Amazon EKS - Hybrid Nodes role.

Scegli Crea ruolo.