Ajudar a melhorar esta página

Para contribuir com este guia de usuário, escolha o link Editar esta página no GitHub, disponível no painel direito de cada página.

Atualizar os controles da organização para o Modo Automático do EKS

Alguns controles organizacionais podem impedir que o Modo Automático do EKS funcione corretamente. Nesse caso, você deve atualizar esses controles para permitir que o Modo Automático do EKS tenha as permissões necessárias para gerenciar instâncias do EC2 em seu nome.

O Modo Automático do EKS usa um perfil de serviço para inicializar as instâncias do EC2 que dão suporte aos nós do Modo Automático do EKS. Um perfil de serviço é um perfil do IAM criado em sua conta que um serviço assume para realizar ações em seu nome na sua conta. As políticas de controle de serviço (SCPs) sempre se aplicam às ações realizadas com perfis de serviço. Isso permite que uma SCP iniba as operações do Modo Automático. A ocorrência mais comum é quando uma SCP é usada para restringir as imagens de máquina da Amazon (AMIs) que podem ser executadas. Para permitir que o Modo Automático do EKS funcione, modifique a SCP para permitir a execução de AMIs de contas do Modo Automático do EKS.

Você também pode usar o recurso de AMIs permitidas pelo EC2 para limitar a visibilidade das AMIs em outras contas. Se usar esse recurso, você deverá expandir os critérios de imagens para incluir também as contas das AMIs do Modo Automático do EKS nas regiões de interesse.

Exemplo de SCP para bloquear todas as AMIs, exceto as AMIs do Modo Automático do EKS

A SCP abaixo impede chamadas a ec2:RunInstances, a menos que a AMI pertença à conta da AMI do Modo Automático do EKS para us-west-2 ou us-east-1.

{
  "Version":"2012-10-17",		 	 	 
  "Statement": [
    {
      "Sid": "DenyAMI",
      "Effect": "Deny",
      "Action": "ec2:RunInstances",
      "Resource": "arn:*:ec2:*::image/ami-*",
      "Condition": {
        "StringNotEquals": {
          "aws:ResourceAccount": [
            "767397842682",
            "992382739861"
          ]
        }
      }
    }
  ]
}

Contas de AMIs do Modo Automático do EKS

Contas da AWS que variam de acordo com a região hospedam as AMIs públicas do Modo Automático do EKS.

Associação de um endereço IP público

Quando ec2:RunInstances é chamado, o campo AssociatePublicIpAddress para o lançamento de uma instância é determinado automaticamente pelo tipo de sub-rede na qual a instância está sendo lançada. Um SCP pode ser usado para garantir que esse valor seja explicitamente definido como falso, independentemente do tipo de sub-rede na qual está sendo iniciada. Nesse caso, o campo spec.advancedNetworking.associatePublicIPAddress do NodeClass também pode ser definido como falso para satisfazer os requisitos do SCP.

  {
        "Sid": "DenyPublicEC2IPAddesses",
        "Effect": "Deny",
        "Action": "ec2:RunInstances",
        "Resource": "arn:aws:ec2:*:*:network-interface/*",
        "Condition": {
            "BoolIfExists": {
                "ec2:AssociatePublicIpAddress": "true"
            }
        }
    }