**帮助改进此页面** 要帮助改进本用户指南，请选择位于每个页面右侧窗格中的**在 GitHub 上编辑此页面**链接。 # 创建 Amazon EKS 自动模式集群 本主题提供了有关使用高级配置选项创建 Amazon EKS 自动模式集群的详细说明。其中包括先决条件、联网选项和附加组件配置等。整个过程包括设置 IAM 角色、配置集群设置、指定联网参数和选择附加组件等。用户可以使用 AWS 管理控制台或 AWS CLI 创建集群，这两种方法都有详细的分步指南。 如果用户需要不太复杂的设置过程，请参阅以下内容，了解简化的集群创建步骤： + [使用 eksctl CLI 创建 EKS 自动模式集群](automode-get-started-eksctl.md) + [使用 AWS CLI 创建 EKS 自动模式集群](automode-get-started-cli.md) + [使用 AWS 管理控制台创建 EKS 自动模式集群](automode-get-started-console.md) 本高级配置指南适用于需要更精细地控制 EKS 自动模式集群设置，并且熟悉 Amazon EKS 概念和要求的用户。在开始高级配置之前，请确保您已满足所有先决条件，并全面了解 EKS 自动模式集群的联网和 IAM 要求。 EKS 自动模式需要额外的 IAM 权限。有关更多信息，请参阅： + [EKS 自动模式集群的 IAM 角色](automode-get-started-cli.md#auto-mode-create-roles) + [了解 EKS 自动模式中的身份和访问权限](auto-learn-iam.md) **注意** 要创建未启用 EKS 自动模式的集群，请参阅[创建一个 Amazon EKS 集群。](create-cluster.md)。 本主题介绍高级配置。如果您需要学习使用 EKS 自动模式，请参阅[创建启用 Amazon EKS 自动模式的集群](create-auto.md)。 ## 先决条件 + 满足 [Amazon EKS 要求](network-reqs.md)的现有 VPC 和子网。在部署集群用于生产用途前，我们建议您彻底了解 VPC 和子网要求。如果您没有 VPC 和子网，则可以使用 [Amazon EKS 提供的 AWS CloudFormation 模板](creating-a-vpc.md)创建它们。 + 您的设备或 AWS CloudShell 上安装了 `kubectl` 命令行工具。该版本可以与集群的 Kubernetes 版本相同，或者最多早于或晚于该版本一个次要版本。例如，如果您的集群版本为 `1.29`，则可以将 `kubectl` 的 `1.28`、`1.29` 或 `1.30` 版本与之配合使用。要安装或升级 `kubectl`，请参阅 [设置 `kubectl` 和 `eksctl`](install-kubectl.md)。 + 在您的设备或 AWS CloudShell 上安装和配置 AWS 命令行界面（AWS CLI）的版本 `2.12.3` 或更高版本，或版本 `1.27.160` 或更高版本。要查看当前版本，请使用 `aws --version`。要安装最新版本，请参阅《AWS 命令行界面用户指南》**中的[安装](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-install.html)和[使用 aws configure 快速配置](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-quickstart.html#cli-configure-quickstart-config)。 + 一个具有创建和修改 EKS 和 IAM 资源的权限的 [IAM 主体](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html#iam-term-principal)。 ## 创建集群 – AWS 控制台 1. 打开 [Amazon EKS 控制台](https://console.aws.amazon.com/eks/home#/clusters)。 1. 请选择 **Add cluster**（添加集群），然后选择 **Create**（创建）。 1. 在*配置选项*下，选择**自定义配置**。 + 本主题介绍自定义配置。有关快速配置的信息，请参阅[使用 AWS 管理控制台创建 EKS 自动模式集群](automode-get-started-console.md)。 1. 确认已启用**使用 EKS 自动模式**。 + 本主题介绍创建启用 EKS 自动模式的集群。有关创建不启用 EKS 自动模式的集群的更多信息，请参阅[创建一个 Amazon EKS 集群。](create-cluster.md)。 1. 在 **Configure cluster**（配置集群）页面上，输入以下字段： + **Name**（名称）– 集群的名称。名称只能包含字母数字字符（区分大小写）、连字符和下划线。该名称必须以字母数字字符开头，且不得超过 100 个字符。对于您在其中创建集群的 AWS 区域和 AWS 账户，该名称必须在其内具有唯一性。 + **集群 IAM 角色** – 选择您创建的 Amazon EKS 集群 IAM 角色，以允许 Kubernetes 控制面板来代表您管理 AWS 资源。如果您之前尚未为 EKS 自动模式创建集群 IAM 角色，请在 IAM 控制台中选择**创建推荐角色**按钮，以创建具有所需权限的角色。 + **Kubernetes version（Kubernetes 版本）**– 要用于集群的 Kubernetes 的版本。建议选择最新版本，除非您需要早期版本。 + **升级策略** – 要为集群设置的 Kubernetes 版本策略。如果您希望集群仅根据标准支持版本运行，则可以选择**标准**。如果您希望集群在某个版本的标准支持终止时进入扩展支持，则可以选择**扩展**。如果您选择的 Kubernetes 版本当前处于延期支持状态，则无法选择标准支持选项。 1. 在“配置集群”页面的**自动模式计算**部分中，输入以下字段： + **节点池** – 确定是否要使用内置节点池。有关更多信息，请参阅 [启用或禁用内置节点池](set-builtin-node-pools.md)。 + **节点 IAM 角色** – 如果您启用任何内置节点池，则需要选择节点 IAM 角色。EKS 自动模式会将此角色分配给新节点。创建集群后，您无法更改此值。如果您之前尚未为 EKS 自动模式创建节点 IAM 角色，请选择“创建推荐角色”按钮，以创建具有所需权限的角色。有关该角色的更多信息，请参阅[了解 EKS 自动模式中的身份和访问权限](auto-learn-iam.md)。 1. 在“配置集群”页面的**集群访问权限**部分中，输入以下字段： + **引导集群管理员访问权限** – 集群创建者自动成为 Kubernetes 管理员。如果要禁用此功能，请选择**不允许集群管理员访问权限**。 + **集群身份验证模式** – EKS 自动模式需要 EKS 访问条目，即 EKS API 身份验证模式。您也可以通过选择 **EKS API 和 ConfigMap** 来启用 `ConfigMap` 身份验证模式。 1. 输入“配置集群”页面上的剩余字段： + **Secrets encryption**（密钥加密）–（可选）选择此选项以使用 KMS 密钥启用 Kubernetes 密钥的密钥加密。您也可以在创建集群后启用此功能。在启用此功能之前，请确保您熟悉[在现有集群上使用 KMS 加密 Kubernetes 密钥](enable-kms.md)中的信息。 + **ARC 可用区转移** – EKS 自动模式不支持 ARC 可用区转移。 + **Tags（标签）**– （可选）向集群添加任何标签。有关更多信息，请参阅 [使用标签整理 Amazon EKS 资源](eks-using-tags.md)。 完成此页面后，请选择**下一步**。 1. 在 **Specify networking (指定联网)** 页面上，为以下字段选择值： + **VPC** – 选择符合 [Amazon EKS VPC 要求](network-reqs.md#network-requirements-vpc)的现有 VPC 以在其中创建集群。在选择 VPC 之前，我们建议您熟悉 [查看 Amazon EKS 对 VPC 和子网的联网要求](network-reqs.md) 中的所有要求和考虑因素。集群创建后，您无法更改要使用的 VPC。如果没有列出任何 VPC，则需要先创建一个。有关更多信息，请参阅 [为您的 Amazon EKS 集群创建 Amazon VPC](creating-a-vpc.md)。 + **Subnets**（子网）– 预设情况下，已预先选中在之前字段中指定的 VPC 中的所有可用子网。您必须至少选择两个子网。 您选择的子网必须符合 [Amazon EKS 子网要求](network-reqs.md#network-requirements-subnets)。在选择子网之前，我们建议您熟悉所有的 [Amazon EKS VPC 以及子网要求和注意事项](network-reqs.md)。 **Security groups**（安全组）–（可选）指定您希望 Amazon EKS 将之与其创建的网络接口关联的一个或多个安全组。 无论您是否选择任何安全组，Amazon EKS 都会创建一个安全组，以实现集群和 VPC 之间的通信。Amazon EKS 将此安全组以及您选择的任何安全组与它创建的网络接口关联起来。有关 Amazon EKS 创建的集群安全组的更多信息，请参阅 [查看集群的 Amazon EKS 安全组要求](sec-group-reqs.md)。您可以修改 Amazon EKS 创建的集群安全组中的规则。 + **选择集群 IP 地址系列** - 您可以选择 **IPv4** 和 **IPv6**。 默认情况下，Kubernetes 会将 `IPv4` 地址分配给容器组（pod）和服务。在决定使用 `IPv6` 系列前，请确保您熟悉 [VPC 要求和注意事项](network-reqs.md#network-requirements-vpc)、[子网要求和注意事项](network-reqs.md#network-requirements-subnets)、[查看集群的 Amazon EKS 安全组要求](sec-group-reqs.md)和 [了解如何将 IPv6 地址分配给集群、容器组（pod）和服务](cni-ipv6.md) 主题中的所有注意事项和要求。如果选择 `IPv6` 系列，则不同于可为其指定地址范围的 `IPv4` 系列，您无法指定从中分配 `IPv6` 服务地址的 Kubernetes 的地址范围。Kubernetes 从唯一的本地地址范围 (`fc00::/7`) 分配服务地址。 + （可选）选择 **Configure Kubernetes Service IP address range**（配置 Kubernetes 服务 IP 地址范围），然后指定**服务 `IPv4` 范围**。 指定自己的范围有助于防止 Kubernetes 服务与对等或连接到 VPC 的其他网络之间发生冲突。使用 CIDR 表示法输入范围。例如：`10.2.0.0/16`。 此 CIDR 块必须满足以下要求： + 处于以下范围之一：`10.0.0.0/8`、`172.16.0.0/12` 或 `192.168.0.0/16`。 + 具有最小大小 `/24` 和最大大小 `/12`。 + 与您的 Amazon EKS 资源的 VPC 范围不重叠。 您只能在使用 `IPv4` 地址系列和创建集群时指定此选项。如果没有指定此选项，Kubernetes 会从 `10.100.0.0/16` 或 `172.20.0.0/16` CIDR 块分配服务 IP 地址。 + 对于**集群端点访问**中，选择一个选项。创建集群后，您可以更改此选项。在选择非默认选项之前，请务必熟悉这些选项及其影响。有关更多信息，请参阅 [集群 API 服务器端点](cluster-endpoint.md)。 完成此页面后，请选择**下一步**。 1. （可选）在**配置可观测性**页面上，选择要开启的**指标**和**控制面板日志记录**选项。默认情况下，每种日志类型都处于关闭状态。 + 有关 Prometheus 指标选项的更多信息，请参阅[第 1 步：开启 Prometheus 指标](prometheus.md#turn-on-prometheus-metrics)。 + 有关**控制面板日志记录**选项的更多信息，请参阅 [将控制面板日志发送到 CloudWatch Logs](control-plane-logs.md)。 + 完成此页面后，请选择**下一步**。 1. 在 **Select add-ons**（选择附加组件）页面上，选择要添加到集群的附加组件。您可以根据需要选择任意数量的 **Amazon EKS 附加组件**和 **AWS Marketplace 附加组件**。如果未列出要安装的 **AWS Marketplace 附加组件**，则您可以单击页码编号查看更多页面结果或通过在搜索框中输入文本来搜索可用的 **AWS Marketplace 附加组件**。您也可以按**类别**、**供应商**或**定价模式**进行搜索，然后从搜索结果中选择附加组件。创建集群时，您可以查看、选择和安装任何支持 EKS 容器组身份的附加组件，详情请参阅[了解 EKS 容器组身份如何向容器组（pod）授予对 AWS 服务的访问权限](pod-identities.md)。 + EKS 自动模式会自动执行某些附加组件的功能。如果您计划将 EKS 托管式节点组部署到 EKS 自动模式集群，请选择**其他 Amazon EKS 附加组件**并检查选项。可能需要安装诸如 CoreDNS 和 kube-proxy 之类的附加组件。EKS 仅在自主管理型节点和节点组上安装本节中的附加组件。 + 完成此页面后，请选择**下一步**。 1. 在**配置选定插件设置**页面上，选择要安装的版本。创建集群后，您可以随时更新到更高版本。 对于支持 EKS 容器组身份的附加组件，您可以使用控制台自动生成角色，其中包含专门为该附加组件预先填充的名称、AWS 托管策略和信任策略。您可以重复使用现有角色或为支持的附加组件创建新角色。有关使用控制台为支持 EKS 容器组身份的附加组件创建角色的步骤，请参阅[创建附加组件（AWS 控制台）](creating-an-add-on.md#create_add_on_console)。如果附加组件不支持 EKS 容器组身份，则系统会显示一条消息，说明如何在创建集群后使用向导为服务账户（IRSA）创建 IAM 角色。 创建集群后，您可以更新每个附加组件的配置。有关配置附加组件的更多信息，请参阅[更新 Amazon EKS 附加组件](updating-an-add-on.md)。完成此页面后，请选择**下一步**。 1. 在 **Review and create (审核和创建)** 页面上，审核您在之前页面输入或选择的信息。如果需要进行更改，请选择 **Edit**（编辑）。在您感到满意后，选择**创建**。**Status**（状态）字段在预置集群时显示 **CREATING**（正在创建）。 **注意** 您可能会收到一个错误，指示请求中的可用区之一没有足够容量来创建 Amazon EKS 集群。如果发生这种情况，错误输出将包含可支持新集群的可用区。再次尝试使用至少两个位于您账户中支持的可用区的子网创建集群。有关更多信息，请参阅 [容量不足](troubleshooting.md#ice)。 集群预配置需要几分钟时间。 ## 创建集群 – AWS CLI 以下 CLI 说明介绍创建 IAM 资源和创建集群的过程。 ### 创建 EKS 自动模式集群 IAM 角色 #### 第 1 步：创建信任策略 创建信任策略以允许 Amazon EKS 服务代入该角色。将策略另存为 `trust-policy.json`： ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "eks.amazonaws.com" }, "Action": [ "sts:AssumeRole", "sts:TagSession" ] } ] } ``` #### 第 2 步：创建 IAM 角色 使用信任策略创建集群 IAM 角色： ``` aws iam create-role \ --role-name AmazonEKSAutoClusterRole \ --assume-role-policy-document file://trust-policy.json ``` #### 第 3 步：记下角色 ARN 检索并保存新角色的 ARN，以便在后续步骤中使用： ``` aws iam get-role --role-name AmazonEKSAutoClusterRole --query "Role.Arn" --output text ``` #### 第 4 步：附加必需的策略 将以下 AWS 托管式策略附加到集群 IAM 角色以授予必要的权限： **AmazonEKSClusterPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy ``` **AmazonEKSComputePolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSComputePolicy ``` **AmazonEKSBlockStoragePolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSBlockStoragePolicy ``` **AmazonEKSLoadBalancingPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSLoadBalancingPolicy ``` **AmazonEKSNetworkingPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSNetworkingPolicy ``` ### 创建 EKS 自动模式 节点 IAM 角色 #### 第 1 步：创建信任策略 创建信任策略以允许 Amazon EKS 服务代入该角色。将策略另存为 `node-trust-policy.json`： ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` #### 第 2 步：创建节点 IAM 角色 使用上一步中的 **node-trust-policy.json** 文件来定义哪些实体可以代入该角色。运行以下命令以创建节点 IAM 角色： ``` aws iam create-role \ --role-name AmazonEKSAutoNodeRole \ --assume-role-policy-document file://node-trust-policy.json ``` #### 第 3 步：记下角色 ARN 创建角色后，检索并保存节点 IAM 角色的 ARN。在后续步骤中，您将需要此 ARN。使用以下命令来获取 ARN： ``` aws iam get-role --role-name AmazonEKSAutoNodeRole --query "Role.Arn" --output text ``` #### 第 4 步：附加必需的策略 将以下 AWS 托管式策略附加到节点 IAM 角色，以提供必要的权限： **AmazonEKSWorkerNodeMinimalPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoNodeRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodeMinimalPolicy ``` **AmazonEC2ContainerRegistryPullOnly**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoNodeRole \ --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryPullOnly ``` ### 创建集群 1. 使用以下命令创建集群。在运行命令之前，进行以下替换： + 将 *region-code* 替换为您要在其中创建集群的 AWS 区域。 + 将 *my-cluster* 替换为您的集群名称。名称只能包含字母数字字符（区分大小写）、连字符和下划线。该名称必须以字母数字字符开头，且不得超过 100 个字符。对于您在其中创建集群的 AWS 区域和 AWS 账户，该名称必须在其内具有唯一性。 + 将 *1.30* 替换为任何 [Amazon EKS 支持的版本](https://docs.aws.amazon.com/eks/latest/userguide/kubernetes-versions.html)。 + 请将 *111122223333* 替换为您的账户 ID + 如果您为集群和节点角色创建了其他名称的 IAM 角色，请相应替换 ARN。 + 将 `subnetIds` 的值替换为您自己的值。您还可以添加其他 ID。您必须指定至少两个子网 ID。 您选择的子网必须符合 [Amazon EKS 子网要求](network-reqs.md#network-requirements-subnets)。在选择子网之前，我们建议您熟悉所有的 [Amazon EKS VPC 以及子网要求和注意事项](network-reqs.md)。 + 如果您不想指定安全组 ID，请从命令中删除 `,securityGroupIds=sg-`。如果您想指定一个或多个安全组 ID，请将 `securityGroupIds` 的值替换为您自己的值。您还可以添加其他 ID。 无论您是否选择任何安全组，Amazon EKS 都会创建一个安全组，以实现集群和 VPC 之间的通信。Amazon EKS 将此安全组以及您选择的任何安全组与它创建的网络接口关联起来。有关 Amazon EKS 创建的集群安全组的更多信息，请参阅 [查看集群的 Amazon EKS 安全组要求](sec-group-reqs.md)。您可以修改 Amazon EKS 创建的集群安全组中的规则。 ``` aws eks create-cluster \ --region region-code \ --name my-cluster \ --kubernetes-version 1.30 \ --role-arn arn:aws:iam::111122223333:role/AmazonEKSAutoClusterRole \ --resources-vpc-config '{"subnetIds": ["subnet-ExampleID1","subnet-ExampleID2"], "securityGroupIds": ["sg-ExampleID1"], "endpointPublicAccess": true, "endpointPrivateAccess": true}' \ --compute-config '{"enabled": true, "nodeRoleArn": "arn:aws:iam::111122223333:role/AmazonEKSAutoNodeRole", "nodePools": ["general-purpose", "system"]}' \ --kubernetes-network-config '{"elasticLoadBalancing": {"enabled": true}}' \ --storage-config '{"blockStorage": {"enabled": true}}' \ --access-config '{"authenticationMode": "API"}' ``` **注意** 您可能会收到一个错误，指示请求中的可用区之一没有足够容量来创建 Amazon EKS 集群。如果发生这种情况，错误输出将包含可支持新集群的可用区。再次尝试使用至少两个位于您账户中支持的可用区的子网创建集群。有关更多信息，请参阅 [容量不足](troubleshooting.md#ice)。 以下是可选设置，如果需要，必须将这些设置添加到上一个命令中。您只能在创建集群时启用这些选项，而不能在创建集群后启用。 + 如果您想指定 Kubernetes 从中分配服务 ID 地址的 `IPv4` 无类别域间路由（CIDR）块，您必须通过将 `--kubernetes-network-config serviceIpv4Cidr=` 添加到以下命令中来指定它。 指定自己的范围有助于防止 Kubernetes 服务与对等或连接到 VPC 的其他网络之间发生冲突。使用 CIDR 表示法输入范围。例如：`10.2.0.0/16`。 此 CIDR 块必须满足以下要求： + 处于以下范围之一：`10.0.0.0/8`、`172.16.0.0/12` 或 `192.168.0.0/16`。 + 具有最小大小 `/24` 和最大大小 `/12`。 + 与您的 Amazon EKS 资源的 VPC 范围不重叠。 您只能在使用 `IPv4` 地址系列和创建集群时指定此选项。如果没有指定此选项，Kubernetes 会从 `10.100.0.0/16` 或 `172.20.0.0/16` CIDR 块分配服务 IP 地址。 + 如果您创建集群并希望集群分配 `IPv6` 地址而不是 `IPv4` 地址给容器组（pod）和服务，请将 `--kubernetes-network-config ipFamily=ipv6` 添加到以下命令。 默认情况下，Kubernetes 会将 `IPv4` 地址分配给容器组（pod）和服务。在决定使用 `IPv6` 系列前，请确保您熟悉 [VPC 要求和注意事项](network-reqs.md#network-requirements-vpc)、[子网要求和注意事项](network-reqs.md#network-requirements-subnets)、[查看集群的 Amazon EKS 安全组要求](sec-group-reqs.md)和 [了解如何将 IPv6 地址分配给集群、容器组（pod）和服务](cni-ipv6.md) 主题中的所有注意事项和要求。如果选择 `IPv6` 系列，则不同于可为其指定地址范围的 `IPv4` 系列，您无法指定从中分配 `IPv6` 服务地址的 Kubernetes 的地址范围。Kubernetes 从唯一的本地地址范围 (`fc00::/7`) 分配服务地址。 1. 预置集群需要几分钟时间。可使用以下命令查询集群的状态。 ``` aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status" ``` ## 后续步骤 + [通过创建 kubeconfig 文件将 kubectl 连接到 EKS 集群](create-kubeconfig.md) + [使用 EKS 访问条目向 IAM 用户授予 Kubernetes 访问权限](access-entries.md) + [为集群启用密钥加密](enable-kms.md)。 + [为集群配置日志记录](control-plane-logs.md)。 + [将节点添加到集群](eks-compute.md)。