Amazon EKS コンテナから Amazon Neptune データベースにアクセスする

クラスターコンテキストを検証する。

Helm またはその他のコマンドラインツールを使用して Amazon EKS クラスターを操作するときは、事前にクラスターの詳細をカプセル化する環境変数を定義する必要があります。これらの変数は、正しいクラスターとリソースをターゲットにするために、後続のコマンドで使用されます。

まず、正しいクラスターコンテキスト内で動作していることを確認します。これにより、後続のコマンドが目的の Kubernetes クラスターに送信されます。現在のコンテキストを確認するには、次のコマンドを実行します。

kubectl config current-context

CLUSTER_NAME 変数を定義します。

Amazon EKS クラスターの CLUSTER_NAME 環境変数を定義します。次のコマンドで、サンプル値 us-west-2 をクラスターに適した AWS リージョン値に置き換えます。サンプル値 eks-workshop を既存のクラスターの名前に置き換えます。

export CLUSTER_NAME=$(aws eks describe-cluster --region us-west-2 --name eks-workshop --query "cluster.name" --output text)

出力を検証します。

変数が正しく設定されていることを確認するには、次のコマンドを実行します。

echo $CLUSTER_NAME

このコマンドの出力が、前のステップで指定した入力と一致することを確認します。

サービスアカウントを作成します。

サービスアカウントの IAM ロールを使用して、Kubernetes サービスアカウントを IAM ロールにマッピングし、Amazon EKS で実行されるアプリケーションのきめ細かなアクセス許可管理を有効にします。eksctl を使用すると、IAM ロールを作成して、Amazon EKS クラスター内の特定の Kubernetes サービスアカウントに関連付けることができます。AWS マネージドポリシー NeptuneFullAccess は、指定した Neptune クラスターへの書き込みおよび読み取りアクセスを許可します。

NeptuneFullAccess という名前の AWS マネージドポリシーに関連付けるサービスアカウントを作成します。

eksctl create iamserviceaccount --name eks-neptune-sa --namespace default --cluster $CLUSTER_NAME --attach-policy-arn arn:aws:iam::aws:policy/NeptuneFullAccess --approve --override-existing-serviceaccounts

eks-neptune-sa は作成するサービスアカウントの名前です。

完了すると、このコマンドは次のレスポンスを表示します。

2024-02-07 01:12:39 [ℹ] created serviceaccount "default/eks-neptune-sa"

アカウントが正しく設定されていることを確認します。

eks-neptune-sa サービスアカウントがクラスターのデフォルトの名前空間で正しく設定されていることを確認します。

kubectl get sa eks-neptune-sa -o yaml

出力は次のようになります:

apiVersion: v1
kind: ServiceAccount
metadata:
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::123456789123:role/eksctl-eks-workshop-addon-iamserviceaccount-d-Role1-Q35yKgdQOlmM
  creationTimestamp: "2024-02-07T01:12:39Z"
  labels:
    app.kubernetes.io/managed-by: eksctl
  name: eks-neptune-sa
  namespace: default
  resourceVersion: "5174750"
  uid: cd6ba2f7-a0f5-40e1-a6f4-4081e0042316

接続を確認する。

pod-util というサンプルポッドをデプロイし、Neptune との接続を確認します。

apiVersion: v1
kind: Pod
metadata:
  name: pod-util
  namespace: default
spec:
  serviceAccountName: eks-neptune-sa
  containers:
  - name: pod-util
    image: public.ecr.aws/patrickc/troubleshoot-util
    command:
      - sleep
      - "3600"
    imagePullPolicy: IfNotPresent

kubectl apply -f pod-util.yaml

kubectl exec --stdin --tty pod-util -- /bin/bash
bash-5.1# curl -X POST -d '{"gremlin":"g.V().limit(1)"}' https://db-neptune-1.cluster-xxxxxxxxxxxx.us-west-2.neptune.amazonaws.com:8182/gremlin
{"requestId":"a4964f2d-12b1-4ed3-8a14-eff511431a0e","status":{"message":"","code":200,"attributes":{"@type":"g:Map","@value":[]}},"result":{"data":{"@type":"g:List","@value":[]},"meta":{"@type":"g:Map","@value":[]}}}
bash-5.1# exit
exit

IAM データベース認証を有効にする

デフォルトでは、Neptune DB クラスターの作成時、IAM データベース認証は無効になっています。AWS マネジメントコンソール を使用して、IAM データベース認証を有効にするか、無効にすることができます

AWS ドキュメントの手順に従って、Neptune で IAM データベース認証を有効にします。

接続を検証します。

このステップでは、既に実行中のステータスにある pod-util コンテナを操作して、awscurlをインストールし、接続を検証します。