部署 Amazon EKS IPv6 叢集和受管 Amazon Linux 節點

執行下列命令，以設定您的 AWS CloudFormation 堆疊名稱的變數。您可以使用選擇的任何名稱取代 my-eks-ipv6-vpc。

export vpc_stack_name=my-eks-ipv6-vpc

透過使用 IPv6 CloudFormation 範本，建立 AWS VPC。

aws cloudformation create-stack --region $region_code --stack-name $vpc_stack_name \
  --template-url https://s3.us-west-2.amazonaws.com/amazon-eks/cloudformation/2020-10-29/amazon-eks-ipv6-vpc-public-private-subnets.yaml

堆疊需要幾分鐘的時間建立。執行下列命令。在命令輸出為 CREATE_COMPLETE 之前，請勿繼續下一步。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name --query Stacks[].StackStatus --output text

檢索已建立的公有子網路的 ID。

aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text

範例輸出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE

為已建立的公有子網啟用自動指派 IPv6 地址選項。

aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-0a1a56c486EXAMPLE --assign-ipv6-address-on-creation
aws ec2 modify-subnet-attribute --region $region_code --subnet-id subnet-099e6ca77aEXAMPLE --assign-ipv6-address-on-creation

檢索由已部署 AWS CloudFormation 堆疊中的範本建立的子網路和安全群組的名稱，並將它們儲存在變數中，以便在稍後的步驟中使用。

security_groups=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SecurityGroups`].OutputValue' --output text)

public_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPublic`].OutputValue' --output text)

private_subnets=$(aws cloudformation describe-stacks --region $region_code --stack-name $vpc_stack_name \
    --query='Stacks[].Outputs[?OutputKey==`SubnetsPrivate`].OutputValue' --output text)

subnets=${public_subnets},${private_subnets}

執行下列命令以建立 eks-cluster-role-trust-policy.json 檔案。

cat >eks-cluster-role-trust-policy.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "eks.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

執行下列命令，以設定角色名稱的變數。您可以將 myAmazonEKSClusterRole 取代為選擇的任何名稱。

export cluster_role_name=myAmazonEKSClusterRole

建立角色。

aws iam create-role --role-name $cluster_role_name --assume-role-policy-document file://"eks-cluster-role-trust-policy.json"

擷取 IAM 角色的 ARN 並將其儲存在變數中，以便在稍後的步驟中使用。

CLUSTER_IAM_ROLE=$(aws iam get-role --role-name $cluster_role_name --query="Role.Arn" --output text)

將必要的 Amazon EKS 受管 IAM 政策連接到角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy --role-name $cluster_role_name

請注意：您可能會收到錯誤，表示在請求中的其中一個可用區域沒有足夠的容量可建立 Amazon EKS 叢集。如果發生這種情況，錯誤輸出包含的可用區域可支援新的叢集。使用至少兩個位於帳戶的支援可用區域子網路來建立您的叢集。如需詳細資訊，請參閱 容量不足。

建立叢集需要幾分鐘才能完成。執行下列命令。在命令輸出為 ACTIVE 之前，請勿繼續下一步。

aws eks describe-cluster --region $region_code --name $cluster_name --query cluster.status

執行下列命令以建立 vpc-cni-ipv6-policy.json 檔案。

cat >vpc-cni-ipv6-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ec2:AssignIpv6Addresses",
                "ec2:DescribeInstances",
                "ec2:DescribeTags",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeInstanceTypes"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "ec2:CreateTags"
            ],
            "Resource": [
                "arn:aws:ec2:*:*:network-interface/*"
            ]
        }
    ]
}
EOF

建立 IAM 政策。

aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json

執行下列命令以建立 node-role-trust-relationship.json 檔案。

cat >node-role-trust-relationship.json <<EOF
{
  "Version": "2012-10-17",		 	 	 
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "ec2.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}
EOF

執行下列命令，以設定角色名稱的變數。您可以將 AmazonEKSNodeRole 取代為選擇的任何名稱。

export node_role_name=AmazonEKSNodeRole

建立 IAM 角色。

aws iam create-role --role-name $node_role_name --assume-role-policy-document file://"node-role-trust-relationship.json"

將 IAM 政策連接至 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy \
    --role-name $node_role_name

將兩個所需的 IAM 受管政策連接到 IAM 角色。

aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
  --role-name $node_role_name
aws iam attach-role-policy --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
  --role-name $node_role_name

擷取 IAM 角色的 ARN 並將其儲存在變數中，以便在稍後的步驟中使用。

node_iam_role=$(aws iam get-role --role-name $node_role_name --query="Role.Arn" --output text)

查看您在上一個步驟中建立的子網路的 ID。

echo $subnets

範例輸出如下。

subnet-0a1a56c486EXAMPLE,subnet-099e6ca77aEXAMPLE,subnet-0377963d69EXAMPLE,subnet-0c05f819d5EXAMPLE

建立節點群組。將 0a1a56c486EXAMPLE、099e6ca77aEXAMPLE、0377963d69EXAMPLE 和 0c05f819d5EXAMPLE 取代為上一個步驟輸出中傳回的值。請確保從以下命令中的上一個輸出刪除子網路 ID 之間的逗號。您可以將 t3.medium 取代為任何 AWS Nitro 系統執行個體類型。

aws eks create-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --subnets subnet-0a1a56c486EXAMPLE subnet-099e6ca77aEXAMPLE subnet-0377963d69EXAMPLE subnet-0c05f819d5EXAMPLE \
    --instance-types t3.medium --node-role $node_iam_role

此節點群組需要幾分鐘的時間建立。執行下列命令。在傳回的輸出為 ACTIVE 之前，請勿進行下一個步驟。

aws eks describe-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name \
    --query nodegroup.status --output text

如果您在與完成之前步驟不同的 shell 中完成此步驟，請設定之前步驟中使用的所有變數的值，並將範例值取代為在完成之前步驟時指定的值。如果您要在與完成之前步驟相同的 shell 中完成此步驟，請跳至下一步。

export region_code=region-code
export vpc_stack_name=my-eks-ipv6-vpc
export cluster_name=my-cluster
export nodegroup_name=my-nodegroup
export account_id=111122223333
export node_role_name=AmazonEKSNodeRole
export cluster_role_name=myAmazonEKSClusterRole

刪除節點群組。

aws eks delete-nodegroup --region $region_code --cluster-name $cluster_name --nodegroup-name $nodegroup_name

刪除需要幾分鐘的時間。執行下列命令。如果傳回任何輸出，請勿繼續下一步。

aws eks list-nodegroups --region $region_code --cluster-name $cluster_name --query nodegroups --output text

刪除叢集。

aws eks delete-cluster --region $region_code --name $cluster_name

叢集需要幾分鐘的時間刪除。在繼續之前，請務必使用下列命令來確定叢集已被刪除。

aws eks describe-cluster --region $region_code --name $cluster_name

在輸出與下列輸出類似之前，請不要進行下一個步驟。

An error occurred (ResourceNotFoundException) when calling the DescribeCluster operation: No cluster found for name: my-cluster.

刪除您建立的 IAM 資源。將 AmazonEKS_CNI_IPv6_Policy 取代為您選擇的名稱 (如果您選擇的名稱與之前步驟中使用的名稱不同)。

aws iam detach-role-policy --role-name $cluster_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
aws iam detach-role-policy --role-name $node_role_name --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-policy --policy-arn arn:aws:iam::$account_id:policy/AmazonEKS_CNI_IPv6_Policy
aws iam delete-role --role-name $cluster_role_name
aws iam delete-role --role-name $node_role_name

刪除建立 VPC 的 AWS CloudFormation 堆疊。

aws cloudformation delete-stack --region $region_code --stack-name $vpc_stack_name