IRSA を使用するように Amazon VPC CNI プラグインを設定する

クラスターで使用する IP ファミリを決定します。

aws eks describe-cluster --name my-cluster | grep ipFamily

出力例は次のとおりです。

"ipFamily": "ipv4"

この出力では代わりに ipv6 が返されることがあります。

IAM ロールを作成します。IAM ロールを作成するにはeksctl または kubectl および AWS CLI を使用してます。

(オプション) Kubernetes サービスアカウントで使用されている AWS Security Token Service エンドポイントタイプを設定します。詳細については、「サービスアカウントの AWS Security Token Service エンドポイントを設定する」を参照してください。

認証情報環境変数を適用するために、サービスアカウントに関連付けられている既存の Pod を削除して再作成します。現在アノテーションなしで実行されている Pod には、アノテーションは適用されません。次のコマンドは、既存の aws-node DaemonSet Pod を削除し、サービスアカウントのアノテーションを使用してデプロイします。

kubectl delete Pods -n kube-system -l k8s-app=aws-node

Pod がすべて再起動したことを確認します。

kubectl get pods -n kube-system -l k8s-app=aws-node

Pod の 1 つについて説明し、AWS_WEB_IDENTITY_TOKEN_FILE および AWS_ROLE_ARN 環境変数が存在することを確認します。cpjw7 を、前のステップの出力で返された、いずれかの Pod の名前に置き換えます。

kubectl describe pod -n kube-system aws-node-cpjw7 | grep 'AWS_ROLE_ARN:\|AWS_WEB_IDENTITY_TOKEN_FILE:'

出力例は次のとおりです。

AWS_ROLE_ARN:                 arn:aws:iam::111122223333:role/AmazonEKSVPCCNIRole
      AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token
      AWS_ROLE_ARN:                           arn:aws:iam::111122223333:role/AmazonEKSVPCCNIRole
      AWS_WEB_IDENTITY_TOKEN_FILE:            /var/run/secrets/eks.amazonaws.com/serviceaccount/token

Pod には 2 つのコンテナが含まれているため、重複した結果の 2 つのセットが返されます。両方のコンテナの値は同じです。

Pod で AWS リージョンエンドポイントを使用している場合、前の出力では下記の行も返されています。

AWS_STS_REGIONAL_ENDPOINTS=regional

次のテキストをコピーし、vpc-cni-ipv6-policy.json という名前のファイルに保存します。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}

IAM ポリシーを作成する

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json