Crea nodi autogestiti Bottlerocket

Copia i seguenti contenuti sul dispositivo. Sostituisci my-cluster con il nome del tuo cluster. Il nome può contenere solo caratteri alfanumerici (con distinzione tra lettere maiuscole e minuscole) e trattini. Deve iniziare con un carattere alfanumerico e non può avere una lunghezza superiore a 100 caratteri. Il nome deve essere univoco all’interno della Regione AWS e dell’account AWS in cui stai creando il cluster. Sostituisci ng-bottlerocket con un nome per il gruppo di nodi. Il nome del gruppo di nodi non può contenere più di 63 caratteri. Deve iniziare con una lettera o un numero, ma può anche includere trattini e caratteri di sottolineatura. Per eseguire l’implementazione su istanze Arm, sostituisci m5.large con un tipo di istanza Arm. Sostituisci my-ec2-keypair-name con il nome di una coppia di chiavi SSH Amazon EC2 che puoi utilizzare per connetterti utilizzando SSH nei nodi dopo l’avvio. Se non hai già una coppia di chiavi Amazon EC2, puoi crearla nella Console di gestione AWS. Per ulteriori informazioni, consulta la sezione relativa alle coppie di chiavi Amazon EC2 nella Guida per l’utente di Amazon EC2. Sostituisci tutti i valori esemplificativi rimanenti con i valori in tuo possesso. Dopo aver effettuato le sostituzioni, esegui il comando modificato per creare il file bottlerocket.yaml.

Se specifichi un tipo di istanza Amazon EC2 Arm, esamina le considerazioni in Amazon EKS optimized Arm Amazon Linux AMIs prima dell’implementazione. Per istruzioni su come implementare utilizzando un’AMI personalizzata, consultare Creare una build Bottlerocket su GitHub e Supporto AMI personalizzata nella documentazione eksctl. Per implementare un gruppo di nodi gestito, implementare un’AMI personalizzata utilizzando un modello di avvio. Per ulteriori informazioni, consulta Personalizzazione dei nodi gestiti con modelli di avvio.

cat >bottlerocket.yaml <<EOF
---
apiVersion: eksctl.io/v1alpha5
kind: ClusterConfig

metadata:
  name: my-cluster
  region: region-code
  version: '1.33'

iam:
  withOIDC: true

nodeGroups:
  - name: ng-bottlerocket
    instanceType: m5.large
    desiredCapacity: 3
    amiFamily: Bottlerocket
    ami: auto-ssm
    iam:
       attachPolicyARNs:
          - arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
          - arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
          - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
          - arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy
    ssh:
        allow: true
        publicKeyName: my-ec2-keypair-name
EOF

Implementare i nodi mediante il comando seguente.

eksctl create nodegroup --config-file=bottlerocket.yaml

Di seguito viene riportato un output di esempio:

Durante la creazione dei nodi vengono generate diverse righe. Una delle ultime righe di output è simile alla seguente riga di esempio.

[✔]  created 1 nodegroup(s) in cluster "my-cluster"

(Facoltativo) Creare un volume persistente Kubernetes su un nodo Bottlerocket usando il plug-in CSI di Amazon EBS. Il driver Amazon EBS di default si basa su strumenti di file system che non sono inclusi in Bottlerocket. Per ulteriori informazioni sulla creazione di una classe di archiviazione utilizzando il driver, consultare Utilizzare il volume di archiviazione Kubernetes con Amazon EBS.

(Facoltativo) Per impostazione predefinita kube-proxy imposta il parametro kernel nf_conntrack_max su un valore predefinito che può differire da quello che Bottlerocket imposta originariamente all’avvio. Per mantenere l’impostazione di default di Bottlerocket, modifica la configurazione kube-proxy con il comando seguente.

kubectl edit -n kube-system daemonset kube-proxy

Aggiungi --conntrack-max-per-core e --conntrack-min agli argomenti kube-proxy nell’esempio seguente. Un’impostazione di 0 non implica alcun cambiamento.

      containers:
      - command:
        - kube-proxy
        - --v=2
        - --config=/var/lib/kube-proxy-config/config
        - --conntrack-max-per-core=0
        - --conntrack-min=0

(Facoltativo) implementare un’applicazione di esempio per testare i nodi Bottlerocket.

Consigliamo di bloccare l’accesso dei pod a IMDS se si verificano le seguenti condizioni:

Per ulteriori informazioni, consulta Limita l’accesso al profilo dell’istanza assegnato al nodo (worker).