开始使用 Amazon EKS – Amazon Web Services Management Console和 Amazon CLI

创建 IAM 角色并向其附加所需的 Amazon EKS IAM 托管策略。当您的集群在 Fargate 基础设施上创建 Pods 时，在 Fargate 基础设施上运行的组件必须代表您调用 Amazon API。这是为了他们可以执行诸如从 Amazon ECR 中拉取容器镜像或将日志路由到其他 Amazon 服务的操作。Amazon EKS Pod 执行角色提供执行此操作的 IAM 权限。

1. 将以下内容复制到名为 pod-execution-role-trust-policy.json 的文件中。请将 region-code 替换为集群所在的 Amazon Web Services 区域。如果您希望在账户中在所有 Amazon Web Services 区域 使用相同角色，请将 region-code 替换为 *。请将 111122223333 替换为账户 ID，并将 my-cluster 替换为您的集群名称。如果您希望在账户中对所有集群使用相同角色，请将 my-cluster 替换为 *。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Condition": {
            "ArnLike": {
               "aws:SourceArn": "arn:aws:eks:region-code:111122223333:fargateprofile/my-cluster/*"
            }
         },
         "Principal": {
           "Service": "eks-fargate-pods.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 创建 Pod 执行 IAM 角色。

   aws iam create-role \
     --role-name AmazonEKSFargatePodExecutionRole \
     --assume-role-policy-document file://"pod-execution-role-trust-policy.json"
   

3. 将所需的 Amazon EKS 托管 IAM 策略附加到角色。

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEKSFargatePodExecutionRolePolicy \
     --role-name AmazonEKSFargatePodExecutionRole
   

访问 https://console.aws.amazon.com/eks/home#/clusters 打开 Amazon EKS 控制台。

在 Clusters（集群）页面上，选择 my-cluster 集群。

在 my-cluster 页面上，请执行以下操作：

1. 请选择 Compute（计算）选项卡。

2. 在 Fargate Profiles（Fargate 配置文件）下，选择 Add Fargate Profile（添加 Fargate 配置文件）。

在 Configure Fargate Profile（配置 Fargate 配置文件）页面上，请执行以下操作：

1. 对于 Name（名称），为 Fargate 配置文件输入唯一名称，例如 my-profile。

2. 对于 Pod execution role（容器组（pod）执行角色），选择您在上一步中创建的 AmazonEKSFargatePodExecutionRole。

3. 选择 Subnets（子网）下拉列表并取消选择名称中带有 Public 的所有子网。Fargate 上运行的 Pods 仅支持私有子网。

4. 选择下一步。

在 Configure Pod selection（配置选择）页面上，请执行以下操作：

1. 对于命名空间，请输入 default。

2. 选择下一步。

在 Review and create（查看和创建）页面上，查看 Fargate 配置文件的信息，然后选择 Create（创建）。

几分钟后，Fargate Profile configuration（Fargate 配置文件配置）部分中的 Status（状态）将从 Creating（正在创建）变为 Active（有效）。在该状态变为 Active（有效）之前，请勿继续执行下一步。

创建节点 IAM 角色并向其附加所需的 Amazon EKS IAM 托管策略。Amazon EKS 节点 kubelet 守护进程代表您调用 Amazon API。节点通过 IAM 实例配置文件和关联的策略获得这些 API 调用的权限。

1. 将以下内容复制到名为 node-role-trust-policy.json 的文件中。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

2. 创建节点 IAM 角色。

   aws iam create-role \
     --role-name myAmazonEKSNodeRole \
     --assume-role-policy-document file://"node-role-trust-policy.json"
   

3. 将所需的托管 IAM policy 附加到角色。

   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy \
     --role-name myAmazonEKSNodeRole
   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly \
     --role-name myAmazonEKSNodeRole
   aws iam attach-role-policy \
     --policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy \
     --role-name myAmazonEKSNodeRole
   

访问 https://console.aws.amazon.com/eks/home#/clusters 打开 Amazon EKS 控制台。

选择您在 第 1 步：创建 Amazon EKS 集群 中创建的集群的名称，例如 my-cluster。

在 my-cluster 页面上，请执行以下操作：

1. 请选择 Compute（计算）选项卡。

2. 请选择 Add Node Group（添加节点组）。

在 Configure Node Group（配置节点组）页面上，请执行以下操作：

1. 对于 Name（名称），输入托管节点组的唯一名称，例如 my-nodegroup。节点组名称的长度不能超过 63 个字符。它必须以字母或数字开头，但也可以包括其余字符的连字符和下划线。

2. 对于 Node IAM role name（节点 IAM 角色名称），请选择您在上一步中创建的 myAmazonEKSNodeRole 角色。我们建议让每个节点组使用各自的唯一 IAM 角色。

3. 选择下一步。

请在 Set compute and scaling configuration（设置计算和扩缩配置）页面上，接受默认值并选择 Next（下一步）。

请在 Specify networking（指定联网）页面，接受默认值，选择 Next（下一步）。

在 Review and create (审核并创建) 页面上，审核托管节点组配置并选择 Create (创建)。

几分钟后，Node Group configuration（节点组配置）部分中的 Status（状态）将从 Creating（正在创建）变为 Active（有效）。在该状态变为 Active（有效）之前，请勿继续执行下一步。