準備混合節點的憑證

下載混合節點的 AWS SSM CloudFormation 範本：

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ssm-cfn.yaml'

使用下列選項建立 cfn-ssm-parameters.json：

部署 CloudFormation 堆疊。使用 CloudFormation 堆疊的名稱取代 STACK_NAME。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ssm-cfn.yaml \
    --parameter-overrides file://cfn-ssm-parameters.json \
    --capabilities CAPABILITY_NAMED_IAM

設定憑證認證機構 (CA)

下載混合節點的 AWS IAM Roles Anywhere CloudFormation 範本

curl -OL 'https://raw.githubusercontent.com/aws/eks-hybrid/refs/heads/main/example/hybrid-ira-cfn.yaml'

使用下列選項建立 cfn-iamra-parameters.json：

部署 CloudFormation 範本。使用 CloudFormation 堆疊的名稱取代 STACK_NAME。

aws cloudformation deploy \
    --stack-name STACK_NAME \
    --template-file hybrid-ira-cfn.yaml \
    --parameter-overrides file://cfn-iamra-parameters.json
    --capabilities CAPABILITY_NAMED_IAM

使用下列內容建立名為 eks-describe-cluster-policy.json 的檔案：

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "eks:DescribeCluster"
            ],
            "Resource": "*"
        }
    ]
}

使用下列命令建立政策：

aws iam create-policy \
    --policy-name EKSDescribeClusterPolicy \
    --policy-document file://eks-describe-cluster-policy.json

使用下列內容建立名為 eks-hybrid-ssm-policy.json 的檔案。此政策會將授與兩個動作 (ssm:DescribeInstanceInformation 和 ssm:DeregisterManagedInstance) 的許可。此政策會根據您在信任政策中指定的資源標籤，將ssm:DeregisterManagedInstance許可限制為與您的 SSM 混合啟用相關聯的 AWS SSM AWS 受管執行個體。

使用下列命令建立政策

aws iam create-policy \
    --policy-name EKSHybridSSMPolicy \
    --policy-document file://eks-hybrid-ssm-policy.json

建立名為 eks-hybrid-ssm-trust.json 的檔案。AWS_REGION 將 取代為 AWS SSM 混合啟用 AWS 的區域，並將 AWS_ACCOUNT_ID取代為 AWS 您的帳戶 ID。

{
   "Version":"2012-10-17",		 	 	 
   "Statement":[
      {
         "Sid":"",
         "Effect":"Allow",
         "Principal":{
            "Service":"ssm.amazonaws.com"
         },
         "Action":"sts:AssumeRole",
         "Condition":{
            "StringEquals":{
               "aws:SourceAccount":"123456789012"
            },
            "ArnEquals":{
               "aws:SourceArn":"arn:aws:ssm:us-east-1:123456789012:*"
            }
         }
      }
   ]
}

使用下列命令建立角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-ssm-trust.json

連接 EKSHybridSSMPolicy 和您在先前步驟中建立的 EKSDescribeClusterPolicy。將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::AWS_ACCOUNT_ID:policy/EKSHybridSSMPolicy

連接 AmazonEC2ContainerRegistryPullOnly和 AmazonSSMManagedInstanceCore AWS 受管政策。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonSSMManagedInstanceCore

建立名為 eks-hybrid-iamra-trust.json 的檔案。使用您在 隨處設定 AWS IAM 角色 步驟中建立的信任錨的 ARN 取代 TRUST_ANCHOR ARN。此信任政策中的 條件會限制 AWS IAM Roles Anywhere 擔任混合節點 IAM 角色的能力，只有在角色工作階段名稱符合安裝在混合節點上 x509 憑證中的 CN 時，才能交換臨時 IAM 憑證。或者，您也可以使用其他憑證屬性來唯一識別您的節點。您在信任政策中使用的憑證屬性必須對應至您在 nodeadm 組態中設定的 nodeName。如需更多資訊，請參閱混合節點 nodeadm 參考。

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": [
                "sts:TagSession",
                "sts:SetSourceIdentity"
            ],
            "Condition": {
                "StringEquals": {
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": {
                "Service": "rolesanywhere.amazonaws.com"
            },
            "Action": "sts:AssumeRole",
            "Condition": {
                "StringEquals": {
                    "sts:RoleSessionName": "${aws:PrincipalTag/x509Subject/CN}",
                    "aws:PrincipalTag/x509Subject/CN": "${aws:PrincipalTag/x509Subject/CN}"
                },
                "ArnEquals": {
                    "aws:SourceArn": "arn:aws:rolesanywhere:us-east-1:123456789012:trust-anchor/TA_ID"
                }
            }
        }
    ]
}

使用下列命令建立角色。

aws iam create-role \
    --role-name AmazonEKSHybridNodesRole \
    --assume-role-policy-document file://eks-hybrid-iamra-trust.json

連接您在先前步驟中建立的 EKSDescribeClusterPolicy。將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::AWS_ACCOUNT_ID:policy/EKSDescribeClusterPolicy

連接 AmazonEC2ContainerRegistryPullOnly AWS 受管政策

aws iam attach-role-policy \
    --role-name AmazonEKSHybridNodesRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryPullOnly

開啟 Amazon IAM 主控台

在左側導覽窗格中選擇 Policies (政策)。

在政策頁面上，選擇建立政策。

在指定許可頁面，在選取服務面板中，選擇 EKS。

在檢閱和建立頁面上

開啟 Amazon IAM 主控台

在左側導覽窗格中選擇 Policies (政策)。

在政策頁面上，選擇建立政策。

在指定許可頁面上，在政策編輯器右上角導覽中，選擇 JSON。貼上下列程式碼片段。AWS_REGION 將 取代為 AWS SSM 混合啟用 AWS 的區域，並將 取代AWS_ACCOUNT_ID為 AWS 您的帳戶 ID。將 TAG_KEY和 取代TAG_VALUE為您在建立 AWS SSM 混合啟用時使用的 AWS SSM 資源標籤金鑰。

{
    "Version":"2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "ssm:DescribeInstanceInformation",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "ssm:DeregisterManagedInstance",
            "Resource": "arn:aws:ssm:us-east-1:123456789012:managed-instance/*",
            "Condition": {
                "StringEquals": {
                    "ssm:resourceTag/TAG_KEY": "TAG_VALUE"
                }
            }
        }
    ]
}

在檢閱和建立頁面上。

在左側導覽窗格中，選擇 Roles (角色)。

在 Roles (角色) 頁面上，選擇 Create role (建立角色)。

在 Select trusted entity (選取信任的實體) 頁面上，執行以下作業：

在新增許可頁面上，連接自訂政策或執行下列動作：

在 Name, review, and create (命名、檢閱和建立) 頁面上，執行以下作業：

開啟 Amazon IAM 主控台

在左側導覽窗格中，選擇 Roles (角色)。

在 Roles (角色) 頁面上，選擇 Create role (建立角色)。

在 Select trusted entity (選取信任的實體) 頁面上，執行以下作業：

在新增許可頁面上，連接自訂政策或執行下列動作：

在 Name, review, and create (命名、檢閱和建立) 頁面上，執行以下作業：