AWS Private CA Connector for Kubernetes の使用を開始します。

次の信頼ポリシーtrust-policy.jsonを含む という名前のファイルを作成します。

次のコマンドを実行して IAM ロールを作成します。

ROLE_ARN=$(aws iam create-role \
  --role-name CertManagerPrivateCARole \
  --assume-role-policy-document file://trust-policy.json \
  --region $REGION \
  --output text \
  --query "Role.Arn")
 
 aws iam attach-role-policy \
  --role-name CertManagerPrivateCARole \
  --policy-arn arn:aws:iam::aws:policy/AWSPrivateCAConnectorForKubernetesPolicy

に保存されているプライベート CA を信頼するトラストアンカーを作成しますCA_ARN。手順については、「 の開始方法 IAM Roles Anywhere」を参照してください。環境変数を作成して、トラストアンカー ARN を保存します。

export TRUST_ANCHOR_ARN=trustAnchorArn

次の信頼ポリシーtrust-policy.jsonを含む というファイルを作成します。

次のコマンドを実行して IAM ロールを作成します。

ROLE_ARN=$(aws iam create-role \
  --role-name CertManagerPrivateCARole \
  --assume-role-policy-document file://trust-policy.json \
  --query "Role.Arn" \
  --region $REGION \
  --output text)
  
 aws iam attach-role-policy \
  --role-name CertManagerPrivateCARole \
  --region $REGION \
  --policy-arn arn:aws:iam::aws:policy/AWSPrivateCAConnectorForKubernetesPolicy

プロファイルの作成先 IAM Roles Anywhere:

PROFILE_ARN=$(aws rolesanywhere create-profile \
  --name "privateca-profile" \
  --role-arns "$ROLE_ARN" \
  --region "$REGION" \
  --query 'profile.profileArn' \
  --enabled \
  --output text)

Connector for Kubernetes で使用するクライアント証明書を生成し、以下を認証 IAM Roles Anywhere します AWS Private CA。

1. クライアント証明書のプライベートキーを生成します。

   openssl genrsa -out client.key 2048

2. クライアント証明書の証明書署名リクエスト (CSR) を生成します。

   openssl req -new \
     -key client.key \
     -out client.csr \
     -subj "/CN=aws-privateca-issuer"

3. 以下からクライアント証明書を発行します AWS Private CA。

   CERT_ARN=$(aws acm-pca issue-certificate \
     --signing-algorithm SHA256WITHRSA \
     --csr fileb://client.csr \
     --validity Value=1,Type=DAYS \
     --certificate-authority-arn "$CA_ARN" \
     --region "$REGION" \
     --query 'CertificateArn' \
     --output text)

4. クライアント証明書をローカルに保存します。

   aws acm-pca get-certificate \
     --certificate-authority-arn $CA_ARN \
     --certificate-arn $CERT_ARN \
     --region $REGION \
     --query 'Certificate' 
     --output text > pca-issuer-client-cert.pem

クライアント証明書を使用してクラスターに AWS Private CA 発行者をインストールします。

1. awspca Helm リポジトリを追加します。

   helm repo add awspca https://cert-manager.github.io/aws-privateca-issuer 
   helm repo update

2. 名前空間を作成します。

   kubectl create namespace aws-privateca-issuer

3. 前に作成した証明書をシークレットに配置します。

   kubectl create secret tls aws-privateca-credentials \
     -n aws-privateca-issuer \
     --cert=pca-issuer-client-cert.pem \
     --key=client.key 

以下を使用して AWS Private CA 発行者をインストールします IAM Roles Anywhere。

1. という名前のファイルを作成してvalues.yaml、以下で使用する AWS Private CA 発行者プラグインを設定します IAM Roles Anywhere。

   cat > values.yaml <<EOF
   env:
     AWS_EC2_METADATA_SERVICE_ENDPOINT: "http://127.0.0.1:9911"
   
   extraContainers:
     - name: "rolesanywhere-credential-helper"
       image: "public.ecr.aws/rolesanywhere/credential-helper:latest"
       command: ["aws_signing_helper"]
       args:
         - "serve"
         - "--private-key"
         - "/etc/cert/tls.key"
         - "--certificate"
         - "/etc/cert/tls.crt"
         - "--role-arn"
         - "$ROLE_ARN"
         - "--profile-arn"
         - "$PROFILE_ARN"
         - "--trust-anchor-arn"
         - "$TRUST_ANCHOR_ARN"
       volumeMounts:
         - name: cert
           mountPath: /etc/cert/
           readOnly: true
   
   volumes:
     - name: cert
       secret:
         secretName: aws-privateca-credentials
   EOF

2. 以下を使用して AWS Private CA 発行者をインストールします IAM Roles Anywhere。

   helm install aws-privateca-issuer awspca/aws-privateca-issuer \
     -n aws-privateca-issuer \
     -f values.yaml