配置 Amazon VPC CNI plugin for Kubernetes 将 IAM 角色用于服务账户

创建 IAM 角色

1. 创建 IAM 角色。您可以使用 eksctl 或 kubectl 和 Amazon CLI 以创建 IAM 角色。

   eksctl

   使用与您的集群的 IP 系列匹配的命令创建 IAM 角色并将 IAM policy 附加到该角色。此命令创建并部署一个创建 IAM 角色的 Amazon CloudFormation 堆栈，向其附加您指定的策略，并使用所创建 IAM 角色的 ARN 对现有 aws-node Kubernetes 服务账户添加注释。

   • 将 my-cluster 替换为您自己的值。

     eksctl create iamserviceaccount \
         --name aws-node \
         --namespace kube-system \
         --cluster my-cluster \
         --role-name "AmazonEKSVPCCNIRole" \
         --attach-policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy \
         --override-existing-serviceaccounts \
         --approve

   • IPv6

     将 my-cluster 替换为您自己的值。将 111122223333 替换为您的账户 ID，并将 AmazonEKS_CNI_IPv6_Policy 替换为您的 IPv6 策略名称。如果没有 IPv6 策略，请参阅 为使用 IPv6 系列的集群创建 IAM policy 创建一个。要将 IPv6 用于您的集群，它必须满足多项要求。有关更多信息，请参阅教程：将 IPv6 地址分配给 pods 和 services。

     eksctl create iamserviceaccount \
         --name aws-node \
         --namespace kube-system \
         --cluster my-cluster \    
         --role-name "AmazonEKSVPCCNIRole" \
         --attach-policy-arn arn:aws:iam::111122223333:policy/AmazonEKS_CNI_IPv6_Policy \
         --override-existing-serviceaccounts \
         --approve

   kubectl and the Amazon CLI

   1. 查看集群的 OIDC 提供商 URL。

      aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

      输出示例如下。

      https://oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE

      如果没有返回输出，则您必须为集群创建 IAM OIDC 提供程序。

   2. 将以下内容复制到名为 vpc-cni-trust-policy.json 的文件中。将 111122223333 替换为您的账户 ID，并将 EXAMPLED539D4633E53DE1B71EXAMPLE 替换为上一步骤中返回的输出。将 region-code 替换为集群所在的 Amazon Web Services 区域。

      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
                  },
                  "Action": "sts:AssumeRoleWithWebIdentity",
                  "Condition": {
                      "StringEquals": {
                          "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                          "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:aws-node"
                      }
                  }
              }
          ]
      }

   3. 创建角色。您可以将 AmazonEKSVPCCNIRole 替换为您选择的任何名称。

      aws iam create-role \
        --role-name AmazonEKSVPCCNIRole \
        --assume-role-policy-document file://"vpc-cni-trust-policy.json"

   4. 将所需的 IAM policy 附加到角色。

      • IPv4

        aws iam attach-role-policy \
          --policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy \
          --role-name AmazonEKSVPCCNIRole

      • IPv6

        将 111122223333 替换为您的账户 ID，并将 AmazonEKS_CNI_IPv6_Policy 替换为您的 IPv6 策略名称。如果没有 IPv6 策略，请参阅 为使用 IPv6 系列的集群创建 IAM policy 创建一个。要将 IPv6 用于您的集群，它必须满足多项要求。有关更多信息，请参阅教程：将 IPv6 地址分配给 pods 和 services。

        aws iam attach-role-policy \
          --policy-arn arn:aws:iam::111122223333:policy/AmazonEKS_CNI_IPv6_Policy \
          --role-name AmazonEKSVPCCNIRole

   5. 运行以下命令以使用您以前创建的 IAM 角色的 ARN 对 aws-node 服务账户添加注释。将 example values 替换为您自己的值。

      kubectl annotate serviceaccount \
          -n kube-system aws-node \
          eks.amazonaws.com/role-arn=arn:aws:iam::111122223333:role/AmazonEKSVPCCNIRole

2. （可选）配置您的 Kubernetes 服务账户使用的 Amazon Security Token Service 端点类型。有关更多信息，请参阅配置服务账户的 Amazon Security Token Service 端点。

1. 删除并重新创建任何与服务账户关联的现有 pods，以应用凭证环境变量。注释未应用于目前在没有注释的情况下运行的 pods。以下命令删除现有的 aws-node DaemonSet pods 并使用服务账户注释部署它们。

   kubectl delete pods -n kube-system -l k8s-app=aws-node

2. 确认 pods 已全部重新启动。

   kubectl get pods -n kube-system -l k8s-app=aws-node

3. 描述 pods 之一并确保 AWS_WEB_IDENTITY_TOKEN_FILE 和 AWS_ROLE_ARN 环境变量存在。将 cpjw7 替换为上一步输出中返回的其中一个 pods 的名称。

   kubectl describe pod -n kube-system aws-node-cpjw7 | grep 'AWS_ROLE_ARN:\|AWS_WEB_IDENTITY_TOKEN_FILE:'

   输出示例如下。

   AWS_ROLE_ARN:                 arn:aws:iam::111122223333:role/AmazonEKSVPCCNIRole
         AWS_WEB_IDENTITY_TOKEN_FILE:  /var/run/secrets/eks.amazonaws.com/serviceaccount/token
         AWS_ROLE_ARN:                           arn:aws:iam::111122223333:role/AmazonEKSVPCCNIRole
         AWS_WEB_IDENTITY_TOKEN_FILE:            /var/run/secrets/eks.amazonaws.com/serviceaccount/token

   由于容器组（pod）包含两个容器，因此会返回两组重复的结果。两个容器具有相同的值。

   如果您的 pod 正在使用Amazon Web Services 区域端点，之前的输出中也将返回以下行。

   AWS_STS_REGIONAL_ENDPOINTS=regional

1. 复制以下文本并将其保存到名为 vpc-cni-ipv6-policy.json 的文件。

   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:AssignIpv6Addresses",
                   "ec2:DescribeInstances",
                   "ec2:DescribeTags",
                   "ec2:DescribeNetworkInterfaces",
                   "ec2:DescribeInstanceTypes"
               ],
               "Resource": "*"
           },
           {
               "Effect": "Allow",
               "Action": [
                   "ec2:CreateTags"
               ],
               "Resource": [
                   "arn:aws:ec2:*:*:network-interface/*"
               ]
           }
       ]
   }
   

2. 创建 IAM policy。

   aws iam create-policy --policy-name AmazonEKS_CNI_IPv6_Policy --policy-document file://vpc-cni-ipv6-policy.json