**協助改進此頁面** 本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 若要為本使用者指南貢獻內容，請點選每個頁面右側面板中的**在 GitHub 上編輯此頁面**連結。 本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 建立 Amazon EKS 自動模式叢集 本主題提供使用進階組態選項建立 Amazon EKS 自動模式叢集的詳細說明。內容涵蓋先決條件、聯網選項和附加元件組態。程序包括設定 IAM 角色、設定叢集設定、指定網路參數以及選取附加元件。使用者可以使用 AWS 管理主控台 或 AWS CLI 建立叢集，並提供兩種方法的step-by-step指引。 對於尋求較簡單設定程序的使用者，請參閱以下簡化叢集建立步驟： + [使用 eksctl CLI 建立 EKS 自動模式叢集](automode-get-started-eksctl.md) + [使用 CLI AWS 建立 EKS 自動模式叢集](automode-get-started-cli.md) + [使用 AWS 管理主控台 建立 EKS 自動模式叢集](automode-get-started-console.md) 本進階組態指指南適用於需要對其 EKS 自動模式叢集設定進行更精細控制，並熟悉 Amazon EKS 概念和要求的進階使用者。在繼續進行進階組態之前，請確保您已滿足所有先決條件，並徹底了解 EKS 自動模式叢集的聯網和 IAM 要求。 EKS 自動模式需要額外的 IAM 許可。如需詳細資訊，請參閱： + [EKS 自動模式叢集的 IAM 角色](automode-get-started-cli.md#auto-mode-create-roles) + [了解 EKS 自動模式中的身分和存取](auto-learn-iam.md) **注意** 如果您想建立沒有 EKS 自動模式的叢集，請參閱 [建立 Amazon EKS 叢集](create-cluster.md)。 本主題涵蓋進階組態。如果您剛開始使用 EKS 自動模式，請參閱 [使用 Amazon EKS 自動模式建立叢集](create-auto.md)。 ## 先決條件 + 現有 VPC 和子網符合 [Amazon EKS 要求](network-reqs.md)。部署叢集以供生產使用之前，建議您先徹底了解 VPC 和子網要求。如果您沒有 VPC 和子網路，您可以使用 [Amazon EKS provided AWS CloudFormation 範本](creating-a-vpc.md)建立它們。 + `kubectl` 命令列工具安裝在您的裝置或 AWS CloudShell 上。版本可以與您的叢集 Kubernetes 版本相同，或是為最多比該版本更舊一版或更新一版的次要版本。例如，如果您的叢集版本為 `1.29`，則可以搭配使用 `kubectl` `1.28`、`1.29` 或 `1.30` 版。若要安裝或升級 `kubectl`，請參閱 [設定 `kubectl` 和 `eksctl`](install-kubectl.md)。 + 在您的裝置或 AWS CloudShell 上安裝和設定的 AWS 命令列界面 (AWS CLI) 版本 `1.27.160` `2.12.3`或更新版本。若要檢查您目前的版本，請使用 `aws --version`。若要安裝最新版本，請參閱《 * AWS 命令列界面使用者指南*》中的使用 aws 設定[安裝](https://docs.aws.amazon.com/cli/latest/userguide/cli-chap-install.html) 和快速組態。 [https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-quickstart.html#cli-configure-quickstart-config](https://docs.aws.amazon.com/cli/latest/userguide/cli-configure-quickstart.html#cli-configure-quickstart-config) + 具有建立修改 EKS 與 IAM 資源許可的 IAM [主體](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html#iam-term-principal)。 ## 建立叢集 - AWS 主控台 1. 開啟 [Amazon EKS 主控台](https://console.aws.amazon.com/eks/home#/clusters)。 1. 選取 **Add cluster** (新增叢集)，然後選取 **Create** (建立)。 1. 在*組態選項*下，請選取**自訂組態**。 + 本主題涵蓋自訂組態。如需快速組態的資訊，請參閱 [使用 AWS 管理主控台 建立 EKS 自動模式叢集](automode-get-started-console.md)。 1. 確認**使用 EKS 自動模式**已啟用。 + 本主題涵蓋使用 EKS 自動模式建立叢集。有關建立無 EKS 自動模式的叢集的更多資訊，請參閱 [建立 Amazon EKS 叢集](create-cluster.md)。 1. 在 **Configure cluster** (設定叢集) 頁面上，輸入下列欄位： + **Name** (名稱)：叢集的名稱。名稱僅包含英數字元 (區分大小寫)、連字號和底線。必須以英數字元開頭，且長度不可超過 100 個字元。名稱在您要建立叢集 AWS 的區域和 AWS 帳戶中必須是唯一的。 + **叢集 IAM 角色** – 選擇您建立的 Amazon EKS 叢集 IAM 角色，以允許 Kubernetes 控制平面代表您管理 AWS 資源。如果您先前尚未為 EKS 自動模式建立叢集 IAM 角色，請選取**建立建議的角色**按鈕，以在 IAM 主控台中建立具有所需許可的角色。 + **Kubernetes version** (Kubernetes 版本) – 您的叢集使用的 Kubernetes 版本。我們建議選取最新版本，除非您需要較早版本。 + **升級政策**：您要為叢集設定的 Kubernetes 版本政策。如果您希望叢集僅在標準支援版本上執行，可以選擇**標準**。如果您希望叢集在某個版本的標準支援結束時進入延伸支援，可以選擇**延伸**。如果您選擇的 Kubernetes 版本目前處於延伸支援狀態，則無法選取標準支援作為選項。 1. 在設定叢集頁面的**自動模式運算**區段，輸入以下欄位： + **節點集區**：決定是否要使用內建節點集區。如需詳細資訊，請參閱[啟用或停用內建的 NodePool](set-builtin-node-pools.md)。 + **節點 IAM 角色**：如果您啟用任何內建節點集區，則需要選取一個節點 IAM 角色。EKS 自動模式會將此角色分配給新節點。建立叢集之後，便無法變更此值。如果您先前尚未為 EKS 自動模式建立節點 IAM 角色，請選取建立建議的角色按鈕，以建立具有所需許可的角色。如需有關此角色的詳細資訊，請參閱 [了解 EKS 自動模式中的身分和存取](auto-learn-iam.md)。 1. 在設定叢集頁面的**叢集存取**部分，輸入以下欄位： + **引導叢集管理員存取**：叢集建立者自動成為 Kubernetes 管理員。如果您要停用此功能，請選擇**不允許叢集管理員存取**。 + **叢集身分驗證模式**：EKS 自動模式需要 EKS 存取項目，也就是 EKS API 身分驗證模式。您可以選擇性地透過選擇 **EKS API 和 ConfigMap** 來啟用 `ConfigMap` 身分驗證模式。 1. 在設定叢集頁面上，輸入以下欄位： + **Secrets encryption** (秘密加密)：(選用) 選擇使用 KMS 金鑰啟用 Kubernetes 秘密的秘密加密。您也可以在建立叢集後啟用此功能。啟用此功能之前，請確定您已熟悉 [在現有叢集上使用 KMS 加密 Kubernetes 秘密](enable-kms.md) 中的資訊。 + **ARC 區域轉移**：EKS 自動模式不支援 ARC 區域轉移。 + **Tags** (標籤) – (選用) 將任何標籤新增到您的叢集。如需詳細資訊，請參閱[使用標籤組織 Amazon EKS 資源](eks-using-tags.md)。 完成此頁面後，請選擇**下一步**。 1. 在 **Specify networking (指定網路)** 頁面上，選取下列欄位的值： + **VPC**：選擇符合 [Amazon EKS VPC 要求](network-reqs.md#network-requirements-vpc)的現有 VPC 來建立您的叢集。選擇 VPC 之前，建議您先熟悉 [檢視 VPC 和子網路的 Amazon EKS 聯網需求](network-reqs.md) 中的所有要求和考量事項。建立叢集後，您無法變更要使用的 VPC。如果沒有列出 VPC，則您需要先建立一個。如需詳細資訊，請參閱 [為您的 Amazon EKS 叢集建立 Amazon VPC](creating-a-vpc.md)。 + **Subnets** (子網路)：根據預設，前一個欄位指定的 VPC 中的所有可用子網路會預先選取。您必須選取至少兩個。 您選擇的子網必須符合 [Amazon EKS 子網要求](network-reqs.md#network-requirements-subnets)。選擇子網路之前，建議您先熟悉 [Amazon EKS VPC 和子網路要求和考量事項](network-reqs.md)。 **安全群組**:(選用) 指定一或多個您希望 Amazon EKS 與其建立的網路介面相關聯的安全群組。 無論您是否選擇任何安全群組，Amazon EKS 都會建立一個安全群組，以支援您的叢集和 VPC 之間的通訊。Amazon EKS 將此安全群組及您選擇的任何群組與其建立的網路介面相關聯。如需有關 Amazon EKS 建立的叢集安全群組的詳細資訊，請參閱 [檢視叢集的 Amazon EKS 安全群組要求](sec-group-reqs.md)。您可以修改 Amazon EKS 建立的叢集安全群組中的規則。 + **選擇叢集 IP 地址系列**：您可以選擇 **IPv4** 或 **IPv6**。 預設情況下，Kubernetes 會為 Pod 和服務指派 `IPv4` 位址。在決定使用 `IPv6` 系列之前，請確認您已熟悉 [VPC 要求和考量事項](network-reqs.md#network-requirements-vpc)、[子網需求和注意事項](network-reqs.md#network-requirements-subnets)、[檢視叢集的 Amazon EKS 安全群組要求](sec-group-reqs.md) 和 [了解叢集、Pod 與服務的 IPv6 位址](cni-ipv6.md) 主題中的所有考量事項和要求。如果您選擇 `IPv6` 系列，則無法像對 `IPv4` 系列那樣，指定 Kubernetes 從中分配 `IPv6` 服務位址的位址範圍。Kubernetes 從唯一的本地位址範圍指派服務位址 (`fc00::/7`)。 + (選用) 選擇**設定 Kubernetes 服務 IP 位址範圍**，並指定**服務 `IPv4` 範圍**。 指定您自己的範圍有助於防止 Kubernetes 服務與對等或連接到您的 VPC 的其他網路之間發生衝突。在 CIDR 標記法中輸入範圍。例如：`10.2.0.0/16`。 CIDR 區塊必須符合下列需求： + 處於以下範圍之一：`10.0.0.0/8`、`172.16.0.0/12` 或 `192.168.0.0/16`。 + 具有最小尺寸的 `/24` 和最大尺寸的 `/12`。 + 與您的 Amazon EKS 資源的 VPC 範圍不重疊。 您只能在使用 `IPv4` 地址系列時指定此選項，並且只能在建立叢集時指定。如果您未指定此項，則 Kubernetes 會從 `10.100.0.0/16` 或 `172.20.0.0/16` CIDR 區塊指派服務 IP 位址。 + 針對 **Cluster endpoint access** (叢集端點存取)，選取一個選項。建立叢集後，您可以變更此選項。在選取非預設選項之前，請務必熟悉這些選項及其含義。如需詳細資訊，請參閱[叢集 API 伺服器端點](cluster-endpoint.md)。 完成此頁面後，請選擇**下一步**。 1. (選用) 在**設定可觀測性**頁面上，選擇要開啟的**指標**和**控制平面日誌記錄**選項。根據預設，系統會關閉每個日誌類型。 + 如需有關 Prometheus 指標選項的詳細資訊，請參閱 [步驟 1：開啟 Prometheus 指標](prometheus.md#turn-on-prometheus-metrics)。 + 如需**控制平面日誌記錄**選項的詳細資訊，請參閱 [將控制平面日誌傳送至 CloudWatch Logs](control-plane-logs.md)。 + 完成此頁面後，請選擇**下一步**。 1. 在 **Select add-ons** (選取附加元件) 頁面上，選擇您要新增至叢集的附加元件。您可以視需要選擇任意數量的 **Amazon EKS 附加元件**和 ** AWS Marketplace 附加元件**。如果您想要安裝的 ** AWS Marketplace 附加元件**未列出，您可以按一下頁面編號以檢視其他頁面結果，或在搜尋方塊中輸入文字來搜尋可用的 ** AWS Marketplace 附加元件**。您也可以依**類別**、**廠商**或**定價模式**搜尋，然後從搜尋結果中選擇附加元件。建立叢集時，您可以檢視、選取和安裝支援 EKS Pod 身分識別的任何附加元件，詳見 [了解 EKS Pod 身分識別如何授予 AWS 服務的 Pod 存取權](pod-identities.md)。 + EKS 自動模式會自動化某些附加元件的功能。如果您計劃將 EKS 受管節點群組部署到 EKS 自動模式叢集，選取**其他 Amazon EKS 附加元件**並檢閱選項。您可能需要安裝 CoreDNS 和 kube-proxy 等附加元件。EKS 僅會在自我管理節點與節點群組上安裝本節中的附加元件。 + 完成此頁面後，請選擇**下一步**。 1. 在**設定選取的附加元件設定**頁面上，選取您要安裝的版本。建立叢集後，您隨時皆可更新至更新版本。 對於支援 EKS Pod 身分的附加元件，您可以使用 主控台自動產生角色，其中包含專為附加元件預先填入的名稱、 AWS 受管政策和信任政策。您可以重複使用現有角色或為支援的附加元件建立新角色。有關使用主控台為支援 EKS Pod 身分識別的附加元件建立角色的步驟，請參閱 [建立附加元件AWS （主控台）](creating-an-add-on.md#create_add_on_console)。如果附加元件不支援 EKS Pod 身分識別，則會顯示一則訊息，指示在叢集建立後使用精靈建立服務帳戶的 IAM 角色 (IRSA)。 您可以在建立叢集後更新每個附加元件的組態。如需有關設定附加元件的詳細資訊，請參閱[更新 Amazon EKS 附加元件](updating-an-add-on.md)。完成此頁面後，請選擇**下一步**。 1. 在 **Review and create (檢閱並建立)** 頁面上，檢閱您在先前頁面上輸入或選取的資訊。如需變更，請選擇 **Edit** (編輯)。當您感到滿意時，請選擇**建立**。在佈建叢集時，**Status** (狀態) 欄位顯示 **CREATING** (正在建立)。 **注意** 您可能會收到錯誤，表示在請求中的其中一個可用區域沒有足夠的容量可建立 Amazon EKS 叢集。如果發生這種情況，錯誤輸出包含的可用區域可支援新的叢集。使用至少兩個位於帳戶的支援可用區域子網路來建立您的叢集。如需詳細資訊，請參閱[容量不足](troubleshooting.md#ice)。 叢集佈建需要幾分鐘的時間。 ## 建立叢集 - AWS CLI 以下 CLI 說明涵蓋建立 IAM 資源和建立叢集。 ### 建立 EKS 自動模式叢集 IAM 角色 #### 步驟 1：建立信任政策 建立信任政策，允許 Amazon EKS 服務擔任該角色。將政策儲存為 `trust-policy.json`： ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "eks.amazonaws.com" }, "Action": [ "sts:AssumeRole", "sts:TagSession" ] } ] } ``` #### 步驟 2：建立 IAM 角色 使用信任政策建立叢集 IAM 角色： ``` aws iam create-role \ --role-name AmazonEKSAutoClusterRole \ --assume-role-policy-document file://trust-policy.json ``` #### 步驟 3：記下角色 ARN 擷取並儲存新角色的 ARN，供後續步驟使用： ``` aws iam get-role --role-name AmazonEKSAutoClusterRole --query "Role.Arn" --output text ``` #### 步驟 4：附加所需政策 將下列 AWS 受管政策連接至叢集 IAM 角色，以授予必要的許可： **AmazonEKSClusterPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSClusterPolicy ``` **AmazonEKSComputePolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSComputePolicy ``` **AmazonEKSBlockStoragePolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSBlockStoragePolicy ``` **AmazonEKSLoadBalancingPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSLoadBalancingPolicy ``` **AmazonEKSNetworkingPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoClusterRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSNetworkingPolicy ``` ### 建立 EKS 自動模式節點 IAM 角色 #### 步驟 1：建立信任政策 建立信任政策，允許 Amazon EKS 服務擔任該角色。將政策儲存為 `node-trust-policy.json`： ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "ec2.amazonaws.com" }, "Action": "sts:AssumeRole" } ] } ``` #### 步驟 2：建立節點 IAM 角色 使用上一步中的 **node-trust-policy.json** 檔案來定義哪些實體可擔任該角色。執行下列命令以建立節點 IAM 角色： ``` aws iam create-role \ --role-name AmazonEKSAutoNodeRole \ --assume-role-policy-document file://node-trust-policy.json ``` #### 步驟 3：記下角色 ARN 建立角色後，擷取並儲存節點 IAM 角色的 ARN。您在後續步驟中將需要此 ARN。使用以下命令來取得 ARN： ``` aws iam get-role --role-name AmazonEKSAutoNodeRole --query "Role.Arn" --output text ``` #### 步驟 4：附加所需政策 將下列 AWS 受管政策連接至節點 IAM 角色，以提供必要的許可： **AmazonEKSWorkerNodeMinimalPolicy**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoNodeRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodeMinimalPolicy ``` **AmazonEC2ContainerRegistryPullOnly**： ``` aws iam attach-role-policy \ --role-name AmazonEKSAutoNodeRole \ --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryPullOnly ``` ### 建立叢集 1. 使用下列命令建立您的叢集。執行命令之前，請執行下列替換： + 將 *region-code* 取代為您要在其中建立叢集 AWS 的區域。 + 使用您的叢集名稱取代 *my-cluster*。名稱僅包含英數字元 (區分大小寫)、連字號和底線。必須以英數字元開頭，且長度不可超過 100 個字元。名稱在您要建立叢集 AWS 的區域和 AWS 帳戶中必須是唯一的。 + 將 *1.30* 取代為任何 [Amazon EKS 支援的版本](https://docs.aws.amazon.com/eks/latest/userguide/kubernetes-versions.html)。 + 使用您的帳戶 ID 取代 *111122223333* + 如果您為叢集和節點角色建立了不同名稱的 IAM 角色，請取代 ARN。 + 以您自己的值取代 `subnetIds` 值。您也可以新增其他 ID。您必須指定至少兩個子網路 ID。 您選擇的子網必須符合 [Amazon EKS 子網要求](network-reqs.md#network-requirements-subnets)。選擇子網路之前，建議您先熟悉 [Amazon EKS VPC 和子網路要求和考量事項](network-reqs.md)。 + 如果您不想要指定安全群組 ID，請從命令中移除 `,securityGroupIds=sg-`。如果要指定一或多個安全群組 ID，請將 `securityGroupIds` 取代為您自己的值。您也可以新增其他 ID。 無論您是否選擇任何安全群組，Amazon EKS 都會建立一個安全群組，以支援您的叢集和 VPC 之間的通訊。Amazon EKS 將此安全群組及您選擇的任何群組與其建立的網路介面相關聯。如需有關 Amazon EKS 建立的叢集安全群組的詳細資訊，請參閱 [檢視叢集的 Amazon EKS 安全群組要求](sec-group-reqs.md)。您可以修改 Amazon EKS 建立的叢集安全群組中的規則。 ``` aws eks create-cluster \ --region region-code \ --name my-cluster \ --kubernetes-version 1.30 \ --role-arn arn:aws: iam::111122223333:role/AmazonEKSAutoClusterRole \ --resources-vpc-config '{"subnetIds": ["subnet-ExampleID1","subnet-ExampleID2"], "securityGroupIds": ["sg-ExampleID1"], "endpointPublicAccess": true, "endpointPrivateAccess": true}' \ --compute-config '{"enabled": true, "nodeRoleArn": "arn:aws: iam::111122223333:role/AmazonEKSAutoNodeRole", "nodePools": ["general-purpose", "system"]}' \ --kubernetes-network-config '{"elasticLoadBalancing": {"enabled": true}}' \ --storage-config '{"blockStorage": {"enabled": true}}' \ --access-config '{"authenticationMode": "API"}' ``` **注意** 您可能會收到錯誤，表示在請求中的其中一個可用區域沒有足夠的容量可建立 Amazon EKS 叢集。如果發生這種情況，錯誤輸出包含的可用區域可支援新的叢集。使用至少兩個位於帳戶的支援可用區域子網路來建立您的叢集。如需詳細資訊，請參閱[容量不足](troubleshooting.md#ice)。 以下是選用設定，如有需要，必須將其新增至上一個命令中。您只能在建立叢集時啟用這些選項，而不能在建立叢集之後啟用。 + 如果您想指定 Kubernetes 要從哪個 `IPv4` 無類別域間路由 (CIDR) 區塊中指派服務 IP 地址，您必須將 `--kubernetes-network-config serviceIpv4Cidr=` 新增至下列命令來指定。 指定您自己的範圍有助於防止 Kubernetes 服務與對等或連接到您的 VPC 的其他網路之間發生衝突。在 CIDR 標記法中輸入範圍。例如：`10.2.0.0/16`。 CIDR 區塊必須符合下列需求： + 處於以下範圍之一：`10.0.0.0/8`、`172.16.0.0/12` 或 `192.168.0.0/16`。 + 具有最小尺寸的 `/24` 和最大尺寸的 `/12`。 + 與您的 Amazon EKS 資源的 VPC 範圍不重疊。 您只能在使用 `IPv4` 地址系列時指定此選項，並且只能在建立叢集時指定。如果您未指定此項，則 Kubernetes 會從 `10.100.0.0/16` 或 `172.20.0.0/16` CIDR 區塊指派服務 IP 位址。 + 如果您正在建立叢集，並希望叢集將 `IPv6` 位址 (而不是 `IPv4` 位址) 指派給 Pod 和服務，請將 `--kubernetes-network-config ipFamily=ipv6` 新增至以下命令。 預設情況下，Kubernetes 會為 Pod 和服務指派 `IPv4` 位址。在決定使用 `IPv6` 系列之前，請確認您已熟悉 [VPC 要求和考量事項](network-reqs.md#network-requirements-vpc)、[子網需求和注意事項](network-reqs.md#network-requirements-subnets)、[檢視叢集的 Amazon EKS 安全群組要求](sec-group-reqs.md) 和 [了解叢集、Pod 與服務的 IPv6 位址](cni-ipv6.md) 主題中的所有考量事項和要求。如果您選擇 `IPv6` 系列，則無法像對 `IPv4` 系列那樣，指定 Kubernetes 從中分配 `IPv6` 服務位址的位址範圍。Kubernetes 從唯一的本地位址範圍指派服務位址 (`fc00::/7`)。 1. 佈建叢集需要幾分鐘才能完成。您可以使用下列命令來查詢叢集的狀態。 ``` aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status" ``` ## 後續步驟 + [透過建立 kubeconfig 檔案將 kubectl 連線至 EKS 叢集](create-kubeconfig.md) + [使用 EKS 存取項目授予 IAM 使用者 Kubernetes 的存取權](access-entries.md) + [為叢集啟用密鑰加密](enable-kms.md)。 + [設定叢集的日誌](control-plane-logs.md)。 + [將節點新增至叢集](eks-compute.md)。