建立 Amazon EKS 叢集

如果您已擁有叢集 IAM 角色，或者您要使用 eksctl 來建立叢集，則可以略過此步驟。根據預設，eksctl 會為您建立角色。

執行下列命令以建立 IAM 信任政策 JSON 檔案。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

建立 Amazon EKS 叢集 IAM 角色。如有必要，請在 eks-cluster-role-trust-policy.json 前面加上您在上一步中寫入檔案的電腦的路徑。命令會將您在上一步驟中建立的信任策略與角色相關聯。若要建立 IAM 角色，必須為建立角色的 IAM 主體指派以下 iam:CreateRole 動作 (許可)。

aws iam create-role --role-name myAmazonEKSClusterRole --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

您可以指派 Amazon EKS 受管政策或建立自己的自訂政策。如需了解在自訂政策中必須使用的最低許可，請參閱 Amazon EKS 叢集 IAM 角色。

將名為 AmazonEKSClusterPolicy 的 Amazon EKS 受管 IAM 政策連接到角色。若要將 IAM 政策連接至 IAM 主體，必須為連接政策的 IAM 實體指派以下 IAM 動作之一 (許可)：iam:AttachUserPolicy 或 iam:AttachRolePolicy。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name myAmazonEKSClusterRole

您需要已在裝置或 AWS CloudShell 上安裝版本 0.214.0 或更新版本的 eksctl 命令列工具。如需有關安裝或更新 eksctl 的指示，請參閱 eksctl 文件中的安裝一節。

在您的預設 AWS 區域中，使用 Amazon EKS 預設的 Kubernetes 版本來建立 Amazon EKS IPv4 叢集。執行命令之前，請執行下列替換：

將 region-code 取代為您希望在其中建立叢集的 AWS 區域。

使用您的叢集名稱取代 my-cluster。此名稱僅能使用英數字元 (區分大小寫) 和連字號。必須以英數字元開頭，且長度不可超過 100 個字元。在您要建立叢集的 AWS 區域和 AWS 帳戶中，該名稱必須是唯一的。

使用任何 Amazon EKS 支援的版本取代 1.33。

變更 vpc-private-subnets 的值以符合您的要求。您也可以新增其他 ID。您必須指定至少兩個子網路 ID。如果您希望指定公有子網路，則可以將 --vpc-private-subnets 變更為 --vpc-public-subnets。公有子網路具有與網際網路閘道路由相關的路由表，但私有子網路沒有關聯的路由表。我們建議盡可能使用私有子網。

您選擇的子網必須符合 Amazon EKS 子網要求。選擇子網路之前，建議您先熟悉 Amazon EKS VPC 和子網路要求和考量事項。

執行以下命令：

eksctl create cluster --name my-cluster --region region-code --version 1.33 --vpc-private-subnets subnet-ExampleID1,subnet-ExampleID2 --without-nodegroup

叢集佈建需要幾分鐘的時間。建立叢集時，會出現幾行輸出。輸出的最後一行類似於下面的範例行。

[✓]  EKS cluster "my-cluster" in "region-code" region is ready

繼續進行 步驟 3：更新 kubeconfig

開啟 Amazon EKS 主控台。

選取 Add cluster (新增叢集)，然後選取 Create (建立)。

在組態選項下，請選取自訂組態

在 EKS 自動模式下，關閉使用 EKS 自動模式。

在 Configure cluster (設定叢集) 頁面上，輸入下列欄位：

在設定叢集頁面的叢集存取部分，輸入以下欄位：

在 Specify networking (指定網路) 頁面上，選取下列欄位的值：

您只能在使用 IPv4 地址系列時指定此選項，並且只能在建立叢集時指定。如果您未指定此項，則 Kubernetes 會從 10.100.0.0/16 或 172.20.0.0/16 CIDR 區塊指派服務 IP 位址。

(選用) 在設定可觀測性頁面上，選擇要開啟的指標和控制平面日誌記錄選項。根據預設，系統會關閉每個日誌類型。

完成此頁面後，請選擇下一步。

在 Select add-ons (選取附加元件) 頁面上，選擇您要新增至叢集的附加元件。某些附加元件是預先選取的。您可以根據需要選擇任意多個 Amazon EKS 附加元件和 AWS Marketplace 附加元件。如果未列出您要安裝的 AWS Marketplace 附加元件，則可以點選頁碼以檢視其他頁面結果，或可以在搜尋方框中輸入文字來搜尋可用的 AWS Marketplace 附加元件。您也可以依類別、廠商或定價模式搜尋，然後從搜尋結果中選擇附加元件。建立叢集時，您可以檢視、選取和安裝支援 EKS Pod 身分識別的任何附加元件，詳見 了解 EKS Pod 身分識別如何授予 AWS 服務的 Pod 存取權。

完成此頁面後，請選擇下一步。

一些附加元件，例如 Amazon VPC CNI、CoreDNS 和 kube-proxy，是預設安裝的。如果停用任何預設附加元件，可能會影響您執行 Kubernetes 應用程式的能力。

在設定選取的附加元件設定頁面上，選取您要安裝的版本。建立叢集後，您隨時皆可更新至更新版本。

對於支援 EKS Pod 身分識別的附加元件，您可以使用主控台自動產生角色，其名稱、AWS 受管政策和信任政策已預先填入，專門用於該附加元件。您可以重複使用現有角色或為支援的附加元件建立新角色。有關使用主控台為支援 EKS Pod 身分識別的附加元件建立角色的步驟，請參閱 建立附加元件 (AWS 主控台)。如果附加元件不支援 EKS Pod 身分識別，則會顯示一則訊息，指示在叢集建立後使用精靈建立服務帳戶的 IAM 角色 (IRSA)。

您可以在建立叢集後更新每個附加元件的組態。如需有關設定附加元件的詳細資訊，請參閱更新 Amazon EKS 附加元件。完成此頁面後，請選擇下一步。

在 Review and create (檢閱並建立) 頁面上，檢閱您在先前頁面上輸入或選取的資訊。如需變更，請選擇 Edit (編輯)。當您感到滿意時，請選擇建立。在佈建叢集時，Status (狀態) 欄位顯示 CREATING (正在建立)。

叢集佈建需要幾分鐘的時間。

繼續進行 步驟 3：更新 kubeconfig

使用下列命令建立您的叢集。執行命令之前，請執行下列替換：

您只能在使用 IPv4 地址系列時指定此選項，並且只能在建立叢集時指定。如果您未指定此項，則 Kubernetes 會從 10.100.0.0/16 或 172.20.0.0/16 CIDR 區塊指派服務 IP 位址。

佈建叢集需要幾分鐘才能完成。您可以使用下列命令來查詢叢集的狀態。

aws eks describe-cluster --region region-code --name my-cluster --query "cluster.status"

在傳回的輸出為 ACTIVE 之前，請勿進行下一個步驟。

繼續進行 步驟 3：更新 kubeconfig

如果您使用 eksctl 建立叢集，則可以略過此步驟。這是因為 eksctl 已為您完成此步驟。透過向 kubectl config 檔案新增內容，使 kubectl 能夠與您的叢集通訊。如需建立和更新檔案的詳細資訊，請參閱 透過建立 kubeconfig 檔案將 kubectl 連線至 EKS 叢集。

aws eks update-kubeconfig --region region-code --name my-cluster

範例輸出如下。

Added new context arn:aws:eks:region-code:111122223333:cluster/my-cluster to /home/username/.kube/config

透過執行以下命令確認與叢集的通訊。

kubectl get svc

範例輸出如下。

NAME         TYPE        CLUSTER-IP   EXTERNAL-IP   PORT(S)   AGE
kubernetes   ClusterIP   10.100.0.1   <none>        443/TCP   28h

(建議) 若要使用某些 Amazon EKS 附加元件，或讓個別 Kubernetes 工作負載具有特定 AWS Identity and Access Management (IAM) 許可，請為叢集建立 OpenID Connect (OIDC) 提供商。您只需要為叢集建立 IAM OIDC 提供商一次。若要進一步了解 Amazon EKS 附加元件，請參閱 Amazon EKS 附加元件。若要進一步了解如何將特定 IAM 許可指派給您的工作負載，請參閱 服務帳戶的 IAM 角色。

(建議) 將叢集設定為 Kubernetes 專用 Amazon VPC CNI 外掛程式，然後再將 Amazon EC2 節點部署到叢集。預設情況下，外掛程式已隨叢集一起安裝。將 Amazon EC2 節點新增到叢集時，外掛程式會自動部署至您新增的每個 Amazon EC2 節點。外掛程式要求您將以下 IAM 政策之一連接至 IAM 角色。如果您的叢集使用 IPv4 系列，可使用 AmazonEKS_CNI_Policy 受管 IAM 政策。如果您的叢集使用 IPv6 系列，可使用您建立的 IAM 政策。

您連接政策的 IAM 角色可以是節點 IAM 角色，也可以是僅用於外掛程式的專用角色。我們建議將政策連接至此角色。有關建立角色的更多資訊，請參閱 設定 Amazon VPC CNI 外掛程式以使用 IRSA 或 Amazon EKS 節點 IAM 角色。

如果您使用 AWS 管理主控台 部署叢集，則可以略過此步驟。在預設情況下，AWS 管理主控台 部署 Kubernetes 專用 Amazon VPC CNI 外掛程式、CoreDNS 和 kube-proxy Amazon EKS 附加元件。

如果您使用 eksctl 或 AWS CLI 來部署叢集，則會部署 Kubernetes 專用 Amazon VPC CNI 外掛程式、CoreDNS 和 kube-proxy 自我管理附加元件。您可以將隨叢集一起部署的 Kubernetes 專用 Amazon VPC CNI 外掛程式、CoreDNS 和 kube-proxy 自我管理附加元件移轉到 Amazon EKS 附加元件。如需詳細資訊，請參閱 Amazon EKS 附加元件。

(選用) 如果您尚未執行此操作，則可啟用叢集的 Prometheus 指標。如需詳細資訊，請參閱《Amazon Managed Service for Prometheus 使用者指南》中的建立湊集器。

如果您計劃將使用 Amazon EBS 磁碟區的工作負載部署到叢集，則必須在部署工作負載之前將 Amazon EBS CSI 安裝到叢集。