使用資訊清單安裝 AWS Load Balancer 控制器

使用叢集名稱取代 my-cluster，並使用帳戶 ID 取代 111122223333，然後執行命令。

eksctl create iamserviceaccount \
  --cluster=my-cluster \
  --namespace=kube-system \
  --name=aws-load-balancer-controller \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --attach-policy-arn=arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --approve

擷取叢集的 OIDC 提供商 ID 並將其存放在變數中。

oidc_id=$(aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text | cut -d '/' -f 5)

判斷您的帳戶中是否已經有擁有叢集 ID 的 IAM OIDC 提供商。您需要為叢集和 IAM 設定 OIDC。

aws iam list-open-id-connect-providers | grep $oidc_id | cut -d "/" -f4

如果有輸出傳回，則表示叢集已經擁有 IAM OIDC 提供商。如果未傳回任何輸出，則您必須為叢集建立 IAM OIDC 提供商。如需詳細資訊，請參閱 為您的叢集建立 IAM OIDC 身分提供者。

將以下內容複製到您的裝置。使用您的帳戶 ID 取代 111122223333。使用叢集所在的 AWS 區域取代 region-code。使用前一個步驟傳回的輸出值取代 EXAMPLED539D4633E53DE1B71EXAMPLE。

cat >load-balancer-role-trust-policy.json <<EOF
{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
            },
            "Action": "sts:AssumeRoleWithWebIdentity",
            "Condition": {
                "StringEquals": {
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                    "oidc.eks.region-code.amazonaws.com/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-load-balancer-controller"
                }
            }
        }
    ]
}
EOF

建立 IAM 角色。

aws iam create-role \
  --role-name AmazonEKSLoadBalancerControllerRole \
  --assume-role-policy-document file://"load-balancer-role-trust-policy.json"

將必要的 Amazon EKS 受管 IAM 政策連接到 IAM 角色。使用您的帳戶 ID 取代 111122223333。

aws iam attach-role-policy \
  --policy-arn arn:aws:iam::111122223333:policy/AWSLoadBalancerControllerIAMPolicy \
  --role-name AmazonEKSLoadBalancerControllerRole

將以下內容複製到您的裝置。使用您的帳戶 ID 取代 111122223333。取代文字後，請執行已修改的命令以建立 aws-load-balancer-controller-service-account.yaml 檔案。

cat >aws-load-balancer-controller-service-account.yaml <<EOF
apiVersion: v1
kind: ServiceAccount
metadata:
  labels:
    app.kubernetes.io/component: controller
    app.kubernetes.io/name: aws-load-balancer-controller
  name: aws-load-balancer-controller
  namespace: kube-system
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::111122223333:role/AmazonEKSLoadBalancerControllerRole
EOF

在您的叢集上建立 Kubernetes 服務帳戶。名為 aws-load-balancer-controller 的 Kubernetes 服務帳戶使用您建立名為 AmazonEKSLoadBalancerControllerRole 的 IAM 角色進行註釋。

kubectl apply -f aws-load-balancer-controller-service-account.yaml

如果您的節點可以存取 quay.io 容器登錄檔，請安裝 cert-manager 以將憑證組態注入 Webhook。

kubectl apply \
    --validate=false \
    -f https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml

使用以下其中一個方法安裝 cert-manager，將憑證組態注入 Webhook。如需詳細資訊，請參閱 cert-manager 文件中的入門。

下載清單檔案。

curl -Lo cert-manager.yaml https://github.com/jetstack/cert-manager/releases/download/v1.13.5/cert-manager.yaml

提取以下映像並將其推送到節點可存取的儲存庫。有關如何提取、標記映像並將其推送到您儲存庫的詳細資訊，請參閱 將容器映像從一個儲存庫複製到另一個儲存庫。

quay.io/jetstack/cert-manager-cainjector:v1.13.5
quay.io/jetstack/cert-manager-controller:v1.13.5
quay.io/jetstack/cert-manager-webhook:v1.13.5

使用您的登錄檔名稱取代清單檔案中三個映像的 quay.io。下列命令假定私有儲存庫的名稱與來源儲存庫的名稱相同。使用私有登錄檔取代 111122223333.dkr.ecr.region-code.amazonaws.com。

sed -i.bak -e 's|quay.io|111122223333.dkr.ecr.region-code.amazonaws.com|' ./cert-manager.yaml

套用清單檔案。

kubectl apply \
    --validate=false \
    -f ./cert-manager.yaml