在 Snowball Edge 设备上配置和运行 Amazon EKS Anywhere

执行初始设置

1. 下载并安装 Snowball Edge 客户端。有关更多信息，请参阅 下载并安装 Snowball Edge 客户端。

2. 将设备连接到您的本地网络。有关更多信息，请参阅 连接到您的本地网络。

3. 获取用于解锁设备的凭证。有关更多信息，请参阅 获取访问 Snow Family 设备的凭证。

4. 解锁设备。有关更多信息，请参阅 解锁 Snow Family 设备。您还可以使用脚本工具代替手动解锁设备。请参阅Unlock devices。

要创建策略文档并将其附加到 Amazon EKS Anywhere 本地用户，请执行以下操作

1. 创建策略文档并将其保存到您的计算机。将以下策略复制到文档中。

   
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "snowballdevice:DescribeDevice",
           "snowballdevice:CreateDirectNetworkInterface",
           "snowballdevice:DeleteDirectNetworkInterface",
           "snowballdevice:DescribeDirectNetworkInterfaces",
           "snowballdevice:DescribeDeviceSoftware"
         ],
         "Resource": ["*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "ec2:RunInstances",
           "ec2:DescribeInstances",
           "ec2:TerminateInstances",
           "ec2:ImportKeyPair",
           "ec2:DescribeKeyPairs",
           "ec2:DescribeInstanceTypes",
           "ec2:DescribeImages",
           "ec2:DeleteTags"
         ],
         "Resource": ["*"]
       }
     ]
   }
       

2. 使用 create-policy 命令根据策略文档创建 IAM 策略。--policy-document 参数的值应使用策略文件的绝对路径。例如，file:///home/user/policy-name.json

   
   aws iam create-policy --policy-name policy-name --policy-document file:///home/user/policy-name.json --endpoint http://snowball-ip:6078 --profile profile-name
   {
       "Policy": {
           "PolicyName": "policy-name",
           "PolicyId": "ANPACEMGEZDGNBVGY3TQOJQGEZAAAABP76TE5MKAAAABCCOTR2IJ43NBTJRZBU",
           "Arn": "arn:aws:iam::123456789012:policy/policy-name",
           "Path": "/",
           "DefaultVersionId": "v1",
           "AttachmentCount": 0,
           "IsAttachable": true,
           "CreateDate": "2022-04-06T04:46:56.907000+00:00",
           "UpdateDate": "2022-04-06T04:46:56.907000+00:00"
       }
   }     
       

3. 使用 attach-user-policy 命令将 IAM 策略附加到 Amazon EKS Anywhere 本地用户。

   
   aws iam attach-user-policy --policy-arn policy-arn --user-name user-name --endpoint http://snowball-ip:6078 --profile profile-name     
       

1. 使用 create-access-key 命令为 Amazon EKS Anywhere 本地用户创建访问密钥。

   
   aws iam create-access-key --user-name user-name --endpoint http://snowball-ip:6078 --profile profile-name
       {
           "AccessKey": {
               "UserName": "eks-a-user",
               "AccessKeyId": "AKIAIOSFODNN7EXAMPLE",
               "Status": "Active",
               "SecretAccessKey": "RTT/wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY",
               "CreateDate": "2022-04-06T04:23:46.139000+00:00"
           }
       }
     

2. 创建凭证文件。在其中，按以下格式保存 AccessKeyId 和 SecretAccessKey 值。

   
   [snowball-ip] 
   aws_access_key_id = ABCDEFGHIJKLMNOPQR2T
   aws_secret_access_key = AfSD7sYz/TBZtzkReBl6PuuISzJ2WtNkeePw+nNzJ
   region = snow            
             

   注意

   如果您使用多台 Snowball Edge 设备，则文件中凭证的顺序无关紧要，但所有设备的凭证确实需要放在一个文件中。

要创建证书文件，请执行以下操作

1. 使用 list-certificates 命令获取您计划使用的每台 Snowball Edge 设备的证书。

   
   PATH_TO_Snowball_Edge_CLIENT/bin/snowballEdge list-certificates --endpoint https://snowball-ip --manifest-file path-to-manifest-file --unlock-code unlock-code
   {
     "Certificates" : [ {
       "CertificateArn" : "arn:aws:snowball-device:::certificate/xxx",
       "SubjectAlternativeNames" : [ "ID:JID-xxx" ]
     } ]
   }
               

2. 使用 CertificateArn 的值作为 get-certificate 命令的 --certificate-arn 参数的值。

   
   PATH_TO_Snowball_Edge_CLIENT/bin/snowballEdge get-certificate --certificate-arn ARN --endpoint https://snowball-ip --manifest-file path-to-manifest-file --unlock-code unlock-code            
             

3. 创建设备证书文件。将 get-certificate 的输出放入证书文件中。下面是如何保存输出的一个示例。

   注意

   如果您使用多台 Snowball Edge 设备，则文件中凭证的顺序无关紧要，但所有设备的凭证确实需要放在一个文件中。

   
   -----BEGIN CERTIFICATE-----
   ZWtzYSBzbm93IHRlc3QgY2VydGlmaWNhdGUgZWtzYSBzbm93IHRlc3QgY2VydGlm  
   aWNhdGVla3NhIHNub3cgdGVzdCBjZXJ0aWZpY2F0ZWVrc2Egc25vdyB0ZXN0IGNl  
   cnRpZmljYXRlZWtzYSBzbm93IHRlc3QgY2VydGlmaWNhdGVla3NhIHNub3cgdGVz  
   dCBjZXJ0aWZpY2F0ZQMIIDXDCCAkSgAwIBAgIJAISM0nTVmbj+MA0GCSqGSIb3DQ  
   ...                                                               
   -----END CERTIFICATE----- 
               

4. 重复创建 Amazon EKS Anywhere IAM 本地用户的操作，在所有 Snowball Edge 设备上为 Amazon EKS Anywhere 创建 IAM 本地用户。

创建 SSH 密钥并将其导入 Amazon EKS Anywhere 实例

1. 使用 ssh-keygen 命令生成 SSH 密钥。

   
   ssh-keygen -t rsa -C "key-name" -f path-to-key-file
        

2. 使用 import-key-pair 命令将密钥从您的计算机导入到 Snowball Edge 设备。

   注意

   将密钥导入所有设备时，key-name 参数的值必须相同。

   
   aws ec2 import-key-pair --key-name key-name --public-key-material fileb:///path/to/key-file --endpoint http://snowball-ip:8008 --profile profile-name 
   {
       "KeyFingerprint": "5b:0c:fd:e1:a0:69:05:4c:aa:43:f3:3b:3e:04:7f:51",
       "KeyName": "default",
       "KeyPairId": "s.key-85edb5d820c92a6f8"
   }
        

要运行 Amazon EKS Anywhere 管理实例，请执行以下操作

1. 使用 create-key-pair 命令为 Amazon EKS Anywhere 管理实例创建 SSH 密钥。该命令将密钥保存到 $PWD/key-file-name。

   
   aws ec2 create-key-pair --key-name key-name --query 'KeyMaterial' --output text --endpoint http://snowball ip:8008 --profile profile-name > key-file-name

2. 使用 describe-images 命令从输出中查找以 eks-anywhere-admin 开头的映像名称。

   
   aws ec2 describe-images --endpoint http://snowball-ip:8008 --profile profile-name
         

3. 使用 run-instance 命令启动带有 Amazon EKS Anywhere 管理映像的 eks-a 管理实例。

   
   aws ec2 run-instances --image-id eks-a-admin-image-id --key-name key-name --instance-type sbe-c.xlarge --endpoint http://snowball-ip:8008 --profile profile-name
         

4. 使用 describe-instances 命令检查 Amazon EKS Anywhere 实例的状态。等到命令显示实例状态为 running，然后再继续。

   
   aws ec2 describe-instances --instance-id instance-id --endpoint http://snowball-ip:8008 --profile profile-name
   

5. 在 describe-device 命令输出中，记下连接到您的网络的物理网络接口的 PhysicalNetworkInterfaceId 值。您将使用该值来创建 VNI。

    
   PATH_TO_Snowball_Edge_CLIENT/bin/snowballEdge describe-device --endpoint https://snowball-ip --manifest-file path-to-manifest-file --unlock-code unlock-code
   

6. 为 Amazon EKS Anywhere 管理实例创建 VNI。使用 PhysicalNetworkInterfaceId 的值作为 physical-network-interface-id 参数的值。

   
   PATH_TO_Snowball_Edge_CLIENT/bin/snowballEdge create-virtual-network-interface --ip-address-assignment dhcp --physical-network-interface-id PNI --endpoint https://snowball-ip --manifest-file path-to-manifest-file --unlock-code unlock-code
   

7. 使用 associate-address 命令的 public-ip 参数的 IpAddress 值，将共有地址与 Amazon EKS Anywhere 管理实例相关联。

   
   aws ec2 associate-address --instance-id instance-id --public-ip VNI-IP --endpoint http://snowball-ip:8008 --profile profile-name 
   

8. 通过 SSH 连接到 Amazon EKS Anywhere 管理实例。

   
   ssh -i path-to-key ec2-user@VNI-IP