IAM-Rolle für Knoten im Amazon EKS Auto Mode

Anmerkung

Sie können nicht dieselbe Rolle verwenden, die zum Erstellen von Clustern verwendet wurde.

Bevor Sie Knoten erstellen, müssen Sie eine IAM-Rolle mit den folgenden Richtlinien oder entsprechenden Berechtigungen erstellen:

• AmazonEKSWorkerNodeMinimalPolicy

• AmazonEC2ContainerRegistryPullOnly

Nach einer vorhandenen Knotenrolle suchen

Mit dem folgenden Verfahren können Sie feststellen, ob Ihr Konto bereits über die Amazon-EKS-Knotenrolle verfügt.

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie im linken Navigationsbereich Roles aus.

3. Suchen Sie in der Liste der Rollen nach AmazonEKSAutoNodeRole. Wenn eine Rolle mit einem dieser Namen nicht vorhanden ist, lesen Sie die Anweisungen zum Erstellen der Rolle im nächsten Abschnitt. Wenn eine Rolle mit AmazonEKSAutoNodeRole vorhanden ist, wählen Sie die Rolle aus, um die angehängten Richtlinien anzuzeigen.

4. Wählen Sie Berechtigungen.

5. Stellen Sie sicher, dass die oben genannten erforderlichen Richtlinien oder entsprechende benutzerdefinierte Richtlinien angefügt sind.

6. Wählen Sie Vertrauensstellungen und dann Vertrauensrichtlinie bearbeiten aus.

7. Überprüfen Sie, dass die Vertrauensstellung die folgende Richtlinie enthält. Wenn die Vertrauensstellung mit der folgenden Richtlinie übereinstimmt, wählen Sie Abbrechen aus. Andernfalls kopieren Sie die Richtlinie in das Fenster Vertrauensrichtlinie bearbeiten und wählen Sie Richtlinie aktualisieren aus.

   {
     "Version":"2012-10-17",		 	 	 
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "ec2.amazonaws.com"
         },
         "Action": "sts:AssumeRole"
       }
     ]
   }

Erstellen der Amazon-EKS-Knoten-IAM-Rolle

Sie können die Node-IAM-Rolle mit der AWS-Managementkonsole oder der AWS CLI erstellen.

AWS-Managementkonsole

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie im linken Navigationsbereich Roles aus.

3. Klicken Sie auf der Seite Roles (Rollen) auf Create role (Rolle erstellen).

4. Gehen Sie auf der Seite Select trusted entity (Vertrauenswürdige Entität auswählen) wie folgt vor:

   1. Wählen Sie im Abschnitt Vertrauenswürdiger Entitätstyp die Option AWS Service aus.

   2. Wählen Sie unter Use case (Anwendungsfall) EC2 aus.

   3. Wählen Sie Weiter aus.

5. Fügen Sie auf der Seite Berechtigungen hinzufügen die folgenden Richtlinien hinzu:

   • AmazonEKSWorkerNodeMinimalPolicy

   • AmazonEC2ContainerRegistryPullOnly

6. Gehen Sie auf der Seite Name, review, and create (Benennen, überprüfen und erstellen) wie folgt vor:

   1. Geben Sie unter Role name (Rollenname) einen eindeutigen Namen für die Rolle ein, z. B. AmazonEKSAutoNodeRole.

   2. Ersetzen Sie unter Description (Beschreibung) den aktuellen Text durch beschreibenden Text wie beispielsweise Amazon EKS - Node role.

   3. Fügen Sie der Rolle unter Tags hinzufügen (optional) Metadaten hinzu, indem Sie Tags als Schlüssel-Wert-Paare anfügen. Weitere Informationen zur Verwendung von Tags in IAM finden Sie unter Markieren von IAM-Ressourcen im IAM-Benutzerhandbuch.

   4. Wählen Sie Rolle erstellen aus.

AWS CLI

Knoten-IAM-Rolle erstellen

Verwenden Sie die node-trust-policyJSON-Datei aus dem vorherigen Schritt, um zu definieren, welche Entitäten die Rolle übernehmen können. Führen Sie den folgenden Befehl aus, um die Knoten-IAM-Rolle zu erstellen:

aws iam create-role \
    --role-name AmazonEKSAutoNodeRole \
    --assume-role-policy-document file://node-trust-policy.json

Rollen-ARN beachten

Rufen Sie nach dem Erstellen der Rolle die ARN der Knoten-IAM-Rolle ab und speichern Sie sie. Sie benötigen diese ARN in den nachfolgenden Schritten. Um die ARN abzurufen, verwenden Sie den folgenden Befehl.

aws iam get-role --role-name AmazonEKSAutoNodeRole --query "Role.Arn" --output text

Erforderliche Richtlinien anfügen

Fügen Sie der Node-IAM-Rolle die folgenden AWS verwalteten Richtlinien hinzu, um die erforderlichen Berechtigungen bereitzustellen:

Um Amazon anzuhängen EKSWorkerNodeMinimalPolicy:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoNodeRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEKSWorkerNodeMinimalPolicy

Um Amazon anzuhängen EC2ContainerRegistryPullOnly:

aws iam attach-role-policy \
    --role-name AmazonEKSAutoNodeRole \
    --policy-arn arn:aws: iam::aws:policy/AmazonEC2ContainerRegistryPullOnly