在 Amazon EKS 私有叢集 AWS Batch 上開始使用

開啟 AWS CloudShell 主控台，並將區域設定為 us-east-1。對於教學課程的其餘部分，請確定您使用 us-east-1。

us-east-1 使用範例組態檔案在 區域中建立私有 EKS eksctl 叢集。將 yaml 檔案儲存到您的 AWS CloudShell 環境並命名為 clusterConfig.yaml 。您可以使用您要用於叢集的名稱來變更 my-test-cluster。

kind: ClusterConfig 
apiVersion: eksctl.io/v1alpha5
metadata:
    name: my-test-cluster 
    region: us-east-1
availabilityZones: 
    - us-east-1a 
    - us-east-1b 
    - us-east-1c
managedNodeGroups:
    - name: ng-1
      privateNetworking: true 
privateCluster: 
    enabled: true 
    skipEndpointCreation: false

使用 命令建立您的 資源：eksctl create cluster -f clusterConfig.yaml。叢集建立可能需要 10-15 分鐘。

叢集建立完成後，您必須將 AWS CloudShell IP 地址新增至允許清單。若要尋找您的 AWS CloudShell IP 地址，請執行下列命令：

curl http://checkip.amazonaws.com

擁有公有 IP 地址後，您必須建立允許清單規則：

aws eks update-cluster-config \
  --name my-test-cluster \
  --region us-east-1 \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true,publicAccessCidrs=["<Public IP>/32"]

然後將更新套用至 kubectl 組態檔案：

aws eks update-kubeconfig --name my-test-cluster --region us-east-1

若要測試您是否可存取節點，請執行下列命令：

kubectl get nodes

命令的輸出為：

NAME                              STATUS   ROLES    AGE     VERSION
ip-192-168-107-235.ec2.internal   Ready    none     1h   v1.32.3-eks-473151a
ip-192-168-165-40.ec2.internal    Ready    none     1h   v1.32.3-eks-473151a
ip-192-168-98-54.ec2.internal     Ready    none     1h   v1.32.1-eks-5d632ec

建立 AWS Batch 任務的專用命名空間

使用 kubectl 建立新的命名空間。

$ namespace=my-aws-batch-namespace

$ cat - <<EOF | kubectl create -f -
{
  "apiVersion": "v1",
  "kind": "Namespace",
  "metadata": {
    "name": "${namespace}",
    "labels": {
      "name": "${namespace}"
    }
  }
}
EOF

輸出：

namespace/my-aws-batch-namespace created

透過角色型存取控制 (RBAC) 啟用存取

使用 為叢集kubectl建立Kubernetes角色，以允許 AWS Batch 監看節點和 Pod，以及繫結角色。您必須為每個 Amazon EKS 叢集執行此操作一次。

$ cat - <<EOF | kubectl apply -f -
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: aws-batch-cluster-role
rules:
  - apiGroups: [""]
    resources: ["namespaces"]
    verbs: ["get"]
  - apiGroups: [""]
    resources: ["nodes"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["get", "list", "watch"]
  - apiGroups: [""]
    resources: ["events"]
    verbs: ["list"]
  - apiGroups: [""]
    resources: ["configmaps"]
    verbs: ["get", "list", "watch"]
  - apiGroups: ["apps"]
    resources: ["daemonsets", "deployments", "statefulsets", "replicasets"]
    verbs: ["get", "list", "watch"]
  - apiGroups: ["rbac.authorization.k8s.io"]
    resources: ["clusterroles", "clusterrolebindings"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: aws-batch-cluster-role-binding
subjects:
- kind: User
  name: aws-batch
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: ClusterRole
  name: aws-batch-cluster-role
  apiGroup: rbac.authorization.k8s.io
EOF

輸出：

clusterrole.rbac.authorization.k8s.io/aws-batch-cluster-role created
clusterrolebinding.rbac.authorization.k8s.io/aws-batch-cluster-role-binding created

為 建立命名空間範圍Kubernetes角色 AWS Batch ，以管理和生命週期 Pod 並將其綁定。您必須為每個唯一的命名空間執行此操作一次。

$ namespace=my-aws-batch-namespace

$ cat - <<EOF | kubectl apply -f - --namespace "${namespace}"
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: aws-batch-compute-environment-role
  namespace: ${namespace}
rules:
  - apiGroups: [""]
    resources: ["pods"]
    verbs: ["create", "get", "list", "watch", "delete", "patch"]
  - apiGroups: [""]
    resources: ["serviceaccounts"]
    verbs: ["get", "list"]
  - apiGroups: ["rbac.authorization.k8s.io"]
    resources: ["roles", "rolebindings"]
    verbs: ["get", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: aws-batch-compute-environment-role-binding
  namespace: ${namespace}
subjects:
- kind: User
  name: aws-batch
  apiGroup: rbac.authorization.k8s.io
roleRef:
  kind: Role
  name: aws-batch-compute-environment-role
  apiGroup: rbac.authorization.k8s.io
EOF

輸出：

role.rbac.authorization.k8s.io/aws-batch-compute-environment-role created
rolebinding.rbac.authorization.k8s.io/aws-batch-compute-environment-role-binding created

更新Kubernetesaws-auth組態映射，將先前的 RBAC 許可映射至 AWS Batch 服務連結角色。

$ eksctl create iamidentitymapping \
    --cluster my-test-cluster \
    --arn "arn:aws:iam::<your-account-ID>:role/AWSServiceRoleForBatch" \
    --username aws-batch

輸出：

2022-10-25 20:19:57 [ℹ]  adding identity "arn:aws:iam::<your-account-ID>:role/AWSServiceRoleForBatch" to auth ConfigMap

下列命令會建立提取快取規則。您可以將教學課程字首取代為不同的字首。

aws ecr create-pull-through-cache-rule \
    --ecr-repository-prefix "my-prefix" \
    --upstream-registry-url "public.ecr.aws" \
    --region us-east-1

使用公有 ECR 驗證。

aws ecr get-login-password --region us-east-1 | docker login --username AWS --password-stdin <your-account-ID>.dkr.ecr.us-east-1.amazonaws.com

現在您可以提取映像。

docker pull <your-account-ID>.dkr.ecr.us-east-1.amazonaws.com/my-prefix/amazonlinux/amazonlinux:2

您可以執行下列命令來驗證儲存庫和映像：

aws ecr describe-repositories

aws ecr describe-images --repository-name my-prefix/amazonlinux/amazonlinux

用於提取容器的影像字串格式如下：

<your-account-ID>.dkr.ecr.us-east-1.amazonaws.com/my-prefix/amazonlinux/amazonlinux:2

在 https：//https://console.aws.amazon.com/batch/ 開啟 AWS Batch 主控台。

在導覽窗格中，選擇任務佇列。

在任務佇列表格中，選擇您為教學課程建立的任務佇列。

從動作選擇停用。任務佇列狀態停用後，您可以選擇刪除。

刪除任務佇列後，在導覽窗格中選擇運算環境。

選擇您為此教學課程建立的運算環境，然後從動作中選擇停用。運算環境可能需要 1-2 分鐘才能完成停用。

一旦運算環境的狀態停用，請選擇刪除。可能需要 1 到 2 分鐘才能刪除運算環境。