Amazon EKS 附加组件

名称 – vpc-cni

描述 – 为集群提供本机 VPC 联网的 Kubernetes 容器网络接口（CNI）插件。默认情况下，在每个 Amazon EC2 节点上安装自行管理的或托管类型的附加组件。

必需的 IAM 权限 – 此附加组件使用 Amazon EKS 的服务账户的 IAM 角色功能。如果集群使用 IPv4 系列，则需要 AmazonEKS_CNI_Policy 中的权限。如果集群使用 IPv6 系列，则必须使用 IPv6 模式中的权限创建 IAM 策略。您可以创建 IAM 角色，将其中一个策略附加到该角色，并使用以下命令为附加组件使用的 Kubernetes 服务账户添加注释。

将 my-cluster 替换为您的集群的名称，并将 AmazonEKSVPCCNIRole 替换为您的角色的名称。如果集群使用 IPv6 系列，则将 AmazonEKS_CNI_Policy 替换为您创建的策略名称。此命令要求您为您的设备安装 eksctl。如果您需要使用其他工具来创建角色、将策略附加到该角色并为 Kubernetes 服务账户添加注释，请参阅 配置 Kubernetes 服务账户以分派 IAM 角色。

eksctl create iamserviceaccount --name aws-node --namespace kube-system --cluster my-cluster --role-name AmazonEKSVPCCNIRole \
    --role-only --attach-policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy --approve

其他信息 – 要了解有关附加组件可配置设置的更多信息，请参阅 GitHub 上的 aws-vpc-cni-k8s。要了解有关插件的更多信息，请参阅提议：通过 Amazon VPC 进行 Kubernetes 联网的 CNI 插件。有关如何创建附加组件的更多信息，请参阅 创建 Amazon EKS 附加组件。

更新信息 – 您一次只能更新一个次要版本。例如，如果当前版本为 1.27.x-eksbuild.y，并且您想要更新到 1.29.x-eksbuild.y，则必须首先更新到 1.28.x-eksbuild.y，再更新到 1.29.x-eksbuild.y。有关更新附加组件的更多信息，请参阅 更新 Amazon EKS 附加组件。

名称 – coredns

描述 – 一个灵活、可扩展的 DNS 服务器，可用作 Kubernetes 集群 DNS。默认情况下，创建集群时会安装自行管理或托管类型的附加组件。当您启动具有至少一个节点的 Amazon EKS 集群时，无论集群中部署的节点数量如何，预设情况下都会部署 CoreDNS 镜像的两个副本。这些 CoreDNS Pods 为集群中的所有 Pods 提供名称解析。如果集群包含命名空间与 CoreDNS deployment 的命名空间相匹配的 Amazon Fargate 配置文件，则可以将 CoreDNS Pods 部署到 Fargate 节点。

所需的 IAM 权限 – 此附加组件不需要任何权限。

其他信息 – 要了解有关 CoreDNS 的更多信息，请参阅 Kubernetes 文档中的 Using CoreDNS for Service Discovery（使用 CoreDNS 进行服务发现）和 Customizing DNS Service（自定义 DNS 服务）。

名称 – kube-proxy

描述 – 维护每个 Amazon EC2 节点上的网络规则。它可以实现与 Pods 的网络通信。默认情况下，在集群中的每个 Amazon EC2 节点上安装自行管理或托管类型的附加组件。

所需的 IAM 权限 – 此附加组件不需要任何权限。

其他信息 – 要了解有关 kube-proxy 的更多信息，请参阅 Kubernetes 文档中的 kube-proxy。

更新信息 – 在更新当前版本之前，请考虑以下要求：

名称 – aws-ebs-csi-driver

描述 – 为集群提供 Amazon EBS 存储的 Kubernetes Container Storage Interface（CSI）插件。

必需的 IAM 权限 – 此附加组件使用 Amazon EKS 的服务账户的 IAM 角色功能。AmazonEBSCSIDriverPolicy Amazon 托管策略中的权限是必需的。您可以使用以下命令创建 IAM 角色并将托管策略附加到其上。将 my-cluster 替换为您的集群的名称，并将 AmazonEKS_EBS_CSI_DriverRole 替换为您的角色的名称。此命令要求您为您的设备安装 eksctl。如果您需要使用其他工具或需要使用自定义 KMS 密钥进行加密，请参阅 创建 Amazon EBS CSI 驱动程序 IAM 角色。

eksctl create iamserviceaccount \
    --name ebs-csi-controller-sa \
    --namespace kube-system \
    --cluster my-cluster \
    --role-name AmazonEKS_EBS_CSI_DriverRole \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
    --approve

其他信息 – 要了解有关附加组件的更多信息，请参阅 Amazon EBS CSI 驱动程序。

名称 – aws-efs-csi-driver

描述 – 为集群提供 Amazon EFS 存储的 Kubernetes 容器存储接口（CSI）插件。

必需的 IAM 权限 – 此附加组件使用 Amazon EKS 的服务账户的 IAM 角色功能。AmazonEFSCSIDriverPolicy Amazon 托管策略中的权限是必需的。您可以使用以下命令创建 IAM 角色并为其附加托管式策略。将 my-cluster 替换为您的集群的名称，并将 AmazonEKS_EFS_CSI_DriverRole 替换为您的角色的名称。这些命令要求您的设备事先安装 eksctl。如果您需要使用其他工具，请参阅 创建 IAM 角色。

export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create iamserviceaccount \
    --name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
    --approve
TRUST_POLICY=$(aws iam get-role --role-name $role_name --query 'Role.AssumeRolePolicyDocument' | \
    sed -e 's/efs-csi-controller-sa/efs-csi-*/' -e 's/StringEquals/StringLike/')
aws iam update-assume-role-policy --role-name $role_name --policy-document "$TRUST_POLICY"

其他信息 – 要了解有关附加组件的更多信息，请参阅 Amazon EFS CSI 驱动程序。

名称 – aws-mountpoint-s3-csi-driver

描述：一个 Kubernetes 容器存储接口（CSI）插件，可为集群提供 Amazon S3 存储。

必需的 IAM 权限 – 此附加组件使用 Amazon EKS 的服务账户的 IAM 角色功能。创建的 IAM 角色需要一个允许访问 S3 的策略。创建策略时，请遵循 Mountpoint IAM 权限建议。或者，您可以使用 Amazon 托管策略 AmazonS3FullAccess，但此托管策略授予的权限超出了 Mountpoint 所需的权限。

您可以使用以下命令创建 IAM 角色，并为其附加策略。将 my-cluster 替换为集群的名称，将 region-code 替换为正确的 Amazon Web Services 区域 代码，将 AmazonEKS_S3_CSI_DriverRole 替换为角色的名称，将 AmazonEKS_S3_CSI_DriverRole_ARN 替换为角色 ARN。这些命令要求您的设备事先安装 eksctl。有关如何使用 IAM 控制台或 Amazon CLI 的说明，请参阅 创建 IAM 角色。

CLUSTER_NAME=my-cluster
REGION=region-code
ROLE_NAME=AmazonEKS_S3_CSI_DriverRole
POLICY_ARN=AmazonEKS_S3_CSI_DriverRole_ARN
eksctl create iamserviceaccount \
    --name s3-csi-driver-sa \
    --namespace kube-system \
    --cluster $CLUSTER_NAME \
    --attach-policy-arn $POLICY_ARN \
    --approve \
    --role-name $ROLE_NAME \
    --region $REGION \
    --role-only

其他信息 – 要了解有关附加组件的更多信息，请参阅 适用于 Amazon S3 的 Mountpoint CSI 驱动程序。

名称 – snapshot-controller

描述：容器存储接口（CSI）快照控制器允许在兼容的 CSI 驱动程序（例如 Amazon EBS CSI 驱动程序）中使用快照功能。

所需的 IAM 权限 – 此附加组件不需要任何权限。

其他信息 – 要了解有关附加组件的更多信息，请参阅 CSI 快照控制器。

名称 – adot

描述 – Amazon Distro for OpenTelemetry（ADOT）是 OpenTelemetry 项目的安全、受 Amazon 支持的生产就绪型发行版。

所需的 IAM 权限：只有在使用可通过高级配置选择加入的预配置自定义资源时，该插件才需要 IAM 权限。

其他信息：有关更多信息，请参阅适用于 OpenTelemetry 的 Amazon Distro 文档中的使用 EKS 插件且适用于 OpenTelemetry 的 Amazon Distro 入门。

ADOT 要求将 cert-manager 作为先决条件部署在集群上，否则如果使用 Amazon EKS Terraform cluster_addons 属性直接部署，此插件将无法运行。有关更多要求，请参阅适用于 OpenTelemetry 的 Amazon Distro 文档中的使用 EKS 插件且适用于 OpenTelemetry 的 Amazon Distro 入门要求。

名称 – eks-pod-identity-agent

描述：Amazon EKS 容器组身份提供管理应用程序凭证的功能，类似于 Amazon EC2 实例配置文件为 EC2 实例提供凭证的方式。

所需的 IAM 权限：此插件的用户权限来自 Amazon EKS 节点 IAM 角色。

更新信息 – 您一次只能更新一个次要版本。例如，如果当前版本为 1.27.x-eksbuild.y，并且您想要更新到 1.29.x-eksbuild.y，则必须首先更新到 1.28.x-eksbuild.y，再更新到 1.29.x-eksbuild.y。有关更新附加组件的更多信息，请参阅 更新 Amazon EKS 附加组件。