从 Amazon EKS 容器访问 Amazon Neptune 数据库

验证集群上下文。

在使用 Helm 或其他命令行工具与 Amazon EKS 集群进行交互之前，必须定义用于封装集群详细信息的环境变量。这些变量将在后续命令中使用，以确保它们针对正确的集群和资源。

首先，确认您在正确的集群环境中运行。这样可以确保将任何后续命令发送到预期的 Kubernetes 集群。要验证当前上下文，请运行以下命令。

kubectl config current-context

定义 CLUSTER_NAME 变量。

定义 Amazon EKS 集群的 CLUSTER_NAME 环境变量。在以下命令中，将示例值us-west-2替换 AWS 区域 为适用于您的集群的正确值。将示例值 eks-workshop 替换为您的现有集群名称。

export CLUSTER_NAME=$(aws eks describe-cluster --region us-west-2 --name eks-workshop --query "cluster.name" --output text)

验证输出。

要验证变量已正确设置，请运行以下命令。

echo $CLUSTER_NAME

验证此命令的输出与您在上一步中指定的输入相匹配。

创建服务账户。

您可使用服务账户的 IAM 角色将您的 Kubernetes 服务账户映射到 IAM 角色，从而对 Amazon EKS 上运行的应用程序启用精细的权限管理。您可以使用 eksctl 创建 IAM 角色并将其与您的 Amazon EKS 集群中的特定 Kubernetes 服务账户相关联。 AWS 托管策略NeptuneFullAccess允许对您指定的 Neptune 集群进行写入和读取访问。

创建要与名为的 AWS 托管策略关联的服务帐号NeptuneFullAccess。

eksctl create iamserviceaccount --name eks-neptune-sa --namespace default --cluster $CLUSTER_NAME --attach-policy-arn arn:aws:iam::aws:policy/NeptuneFullAccess --approve --override-existing-serviceaccounts

其中，eks-neptune-sa 是您希望创建的服务账户的名称。

此命令执行完成后，将显示以下响应信息：

2024-02-07 01:12:39 [ℹ] created serviceaccount "default/eks-neptune-sa"

验证账户设置正确。

确保在集群的默认命名空间中正确设置了 eks-neptune-sa 服务账户。

kubectl get sa eks-neptune-sa -o yaml

输出应该如下所示：

apiVersion: v1
kind: ServiceAccount
metadata:
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::123456789123:role/eksctl-eks-workshop-addon-iamserviceaccount-d-Role1-Q35yKgdQOlmM
  creationTimestamp: "2024-02-07T01:12:39Z"
  labels:
    app.kubernetes.io/managed-by: eksctl
  name: eks-neptune-sa
  namespace: default
  resourceVersion: "5174750"
  uid: cd6ba2f7-a0f5-40e1-a6f4-4081e0042316

检查连接。

部署一个名为 pod-util 的示例容器组（pod）并检查与 Neptune 的连接。

apiVersion: v1
kind: Pod
metadata:
  name: pod-util
  namespace: default
spec:
  serviceAccountName: eks-neptune-sa
  containers:
  - name: pod-util
    image: public.ecr.aws/patrickc/troubleshoot-util
    command:
      - sleep
      - "3600"
    imagePullPolicy: IfNotPresent

kubectl apply -f pod-util.yaml

kubectl exec --stdin --tty pod-util -- /bin/bash
bash-5.1# curl -X POST -d '{"gremlin":"g.V().limit(1)"}' https://db-neptune-1.cluster-xxxxxxxxxxxx.us-west-2.neptune.amazonaws.com:8182/gremlin
{"requestId":"a4964f2d-12b1-4ed3-8a14-eff511431a0e","status":{"message":"","code":200,"attributes":{"@type":"g:Map","@value":[]}},"result":{"data":{"@type":"g:List","@value":[]},"meta":{"@type":"g:Map","@value":[]}}}
bash-5.1# exit
exit

启用 IAM 数据库身份验证。

默认情况下，创建 Neptune 数据库集群时禁用 IAM 数据库身份验证。您可以使用 AWS 管理控制台启用或禁用 IAM 数据库身份验证。

按照 AWS 文档中的步骤在 Nept une 中启用 IAM 数据库身份验证。

验证连接。

在此步骤中，您将与已处于运行状态的 pod-util 容器进行交互，以安装 awscurl 并验证连接。