指标帮助程序

部署 CNI 指标帮助程序

1. 创建一项 IAM policy，该策略需向 CNI 指标帮助程序授予 cloudwatch:PutMetricData 权限，以便向 CloudWatch 发送指标数据。

   1. 要创建名为 cni-metrics-helper-policy.json 的文件，请运行以下命令。

      cat >cni-metrics-helper-policy.json <<EOF
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "cloudwatch:PutMetricData"
                  ],
                  "Resource": "*"
              }
          ]
      }
      EOF
      

   2. 创建一项名为 AmazonEKSVPCCNIMetricsHelperPolicy 的 IAM policy。

      aws iam create-policy --policy-name AmazonEKSVPCCNIMetricsHelperPolicy \
          --description "Grants permission to write metrics to CloudWatch" \
          --policy-document file://cni-metrics-helper-policy.json
      

2. 创建 IAM 角色并向其附加此 IAM policy。创建 Kubernetes 服务账户。用 IAM 角色 ARN 对 Kubernetes 服务账户进行注释，用 Kubernetes 服务账户名称对 IAM 角色进行注释。您可以使用 eksctl 或 Amazon CLI 创建角色。

   eksctl

   运行以下命令以创建 IAM 角色。请将 my-cluster 替换为集群名称，将 111122223333 替换为账户 ID，并将 region-code 替换为集群所在的 Amazon Web Services 区域。

   eksctl create iamserviceaccount \
       --name cni-metrics-helper \
       --namespace kube-system \
       --cluster my-cluster \
       --role-name "AmazonEKSVPCCNIMetricsHelperRole" \
       --attach-policy-arn arn:aws:iam::111122223333:policy/AmazonEKSVPCCNIMetricsHelperPolicy \
       --approve

   Amazon CLI

   1. 确定集群的 OIDC 提供商 URL。将 my-cluster 替换为您的集群名称。如果命令的输出为 None，请查看先决条件。

      aws eks describe-cluster --name my-cluster --query "cluster.identity.oidc.issuer" --output text

      输出示例如下。

      oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE

   2. 创建 IAM 角色，从而向 Kubernetes 服务账户授予 AssumeRoleWithWebIdentity 操作权限。

      1. 将以下内容复制到您的设备。请将 111122223333 替换为您的账户 ID。将 EXAMPLED539D4633E53DE1B71EXAMPLE 和 region-code 替换为在上一步中返回的值。替换值后，运行命令以创建一个名为 trust-policy.json 的文件。

         cat >trust-policy.json <<EOF
         {
           "Version": "2012-10-17",
           "Statement": [
             {
               "Effect": "Allow",
               "Principal": {
                 "Federated": "arn:aws:iam::111122223333:oidc-provider/oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE"
               },
               "Action": "sts:AssumeRoleWithWebIdentity",
               "Condition": {
                 "StringEquals": {
                   "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:aud": "sts.amazonaws.com",
                   "oidc.eks.region-code.amazonaws.com.cn/id/EXAMPLED539D4633E53DE1B71EXAMPLE:sub": "system:serviceaccount:kube-system:cni-metrics-helper"
                 }
               }
             }
           ]
         }
         EOF

      2. 创建角色。

         aws iam create-role \
           --role-name AmazonEKSVPCCNIMetricsHelperRole \
           --assume-role-policy-document file://"trust-policy.json"
         

   3. 向角色附加 IAM policy。请将 111122223333 替换为您的账户 ID。

      aws iam attach-role-policy \
        --policy-arn arn:aws:iam::111122223333:policy/AmazonEKSVPCCNIMetricsHelperPolicy \
        --role-name AmazonEKSVPCCNIMetricsHelperRole

3. 使用以下命令将 CNI 指标帮助程序的推荐版本添加到您的集群中。

   重要

   您每次只更新一个次要版本。例如，如果您的当前版本为 1.9，并且您想要更新到 1.11，则应首先更新到 1.10，再更新到 1.11，方法是在以下命令更改版本号。

   推荐版本和最新版本适用于 Amazon EKS 支持的所有 Kubernetes 版本。

   中国（北京）(cn-north-1) 或中国（宁夏）(cn-northwest-1)

   kubectl apply -f https://raw.githubusercontent.com/aws/amazon-vpc-cni-k8s/v1.11.4/config/master/cni-metrics-helper-cn.yaml

4. 用之前创建的 IAM 角色的 ARN 注释上一步创建的 cni-metrics-helper Kubernetes 服务账户。将 111122223333 替换为账户 ID，将 my-cluster 替换为集群名称，将 AmazonEKSVPCCNIMetricsHelperRole 替换为上一步创建的 IAM 角色名称。

   kubectl annotate serviceaccount cni-metrics-helper \
       -n kube-system \
       eks.amazonaws.com/role-arn=arn:aws:iam::111122223333:role/AmazonEKSVPCCNIMetricsHelperRole

5. （可选）配置您的 Kubernetes 服务账户使用的 Amazon Security Token Service 端点类型。有关更多信息，请参阅配置服务账户的 Amazon Security Token Service 端点。

6. 重新启动 cni-metrics-helper 部署。

   kubectl rollout restart \
       deployment cni-metrics-helper \
       -n kube-system
   

创建 CNI 指标面板

1. 通过以下网址打开 CloudWatch 控制台：https://console.aws.amazon.com/cloudwatch/。

2. 请在左侧导航窗格中，选择 Metrics（指标），然后选择 All metrics（全部指标）。

3. 在 Custom Namespaces（自定义命名空间）中选择 Kubernetes。

4. 选择 CLUSTER_ID。

5. 在 Metrics（指标）选项卡上，选择要添加到控制面板的指标。

6. 在控制台右上方，选择 Actions（操作），然后选择 Add to dashboard（添加到控制面板）。

7. 在 Select a dashboard（选择控制面板）部分选择 Create new（新建），为控制面板输入一个名称（例如 EKS-CNI-metrics），然后选择 Create（创建）。

8. 在 Widget type（小组件类型）部分选择 Number（数字）。

9. 在 Customize widget title（自定义小组件标题）部分中，输入控制面板标题的逻辑名称，例如 EKS CNI metrics。

10. 选择 Add to dashboard（添加到控制面板）完成操作。现在，您的 CNI 指标已添加到您可以监控的控制面板。