Lanzamiento de nodos de Bottlerocket autoadministrados

nota

Los grupos de nodos administrados podrían ofrecer algunas ventajas para su caso de uso. Para obtener más información, consulte Grupos de nodos administrados.

En este tema se describe cómo iniciar grupos de escalado automático de nodos Bottlerocket que se registrará en el clúster de Amazon EKS. Bottlerocket es un sistema operativo de código abierto basado en Linux de AWS que puede utilizar para ejecutar contenedores en máquinas virtuales o anfitriones bare metal. Una vez que los nodos se hayan unido al clúster, puede implementar aplicaciones de Kubernetes en ellos. Para obtener más información acerca de Bottlerocket, consulte Uso de una AMI de Bottlerocket con Amazon EKS en GitHub y Compatibilidad con AMI personalizada en la documentación de eksctl.

Para obtener información sobre actualizaciones en contexto, consulte Operador de actualización de Bottlerocket en GitHub.

importante

• Los nodos de Amazon EKS son instancias estándar de Amazon EC2 y se les facturarán conforme a los precios ordinarios de las instancias de Amazon EC2. Para obtener más información, consulte Precios de Amazon EC2.

• Puede lanzar nodos de Bottlerocket en clústeres extendidos de Amazon EKS en AWS Outposts, pero no puede lanzarlos en clústeres locales en AWS Outposts. Para obtener más información, consulte Amazon EKS en AWS Outposts.

• Puede implementar en instancias de Amazon EC2 con procesadores x86 o Arm. Sin embargo, no puede implementar en instancias que tienen chips Inferentia.

• Bottlerocket es compatible con AWS CloudFormation. Sin embargo, no existe ninguna plantilla oficial de CloudFormation que pueda copiarse para implementar nodos Bottlerocket para Amazon EKS.

• Las imágenes de Bottlerocket no vienen con un servidor SSH ni un intérprete de comandos. Puede usar métodos de acceso fuera de banda para permitir que SSH habilite el contenedor de administrador y superar algunos pasos de configuración de arranque con datos de usuario. Para obtener más información, consulte estas secciones en bottlerocket README.md en GitHub:

  • Exploration (Exploración)

  • Contenedor de administrador

  • Configuración de Kubernetes

Para lanzar nodos de Bottlerocket con eksctl

En este procedimiento, se requiere la versión 0.183.0 o posterior de eksctl. Puede verificar la versión con el siguiente comando:

eksctl version

Para obtener instrucciones sobre cómo instalar o actualizar eksctl, consulte Instalación en la documentación de eksctl.

nota

Este procedimiento solo es válido para los clústeres que se crearon con eksctl.

1. Copie los siguientes contenidos en su dispositivo. Reemplace my-cluster por el nombre del clúster. El nombre solo puede contener caracteres alfanuméricos (con distinción de mayúsculas y minúsculas) y guiones. Debe comenzar con un carácter alfanumérico y no puede tener más de 100 caracteres. El nombre debe ser único dentro de la Región de AWS y la Cuenta de AWS en las que va a crear el clúster. Reemplace ng-bottlerocket por un nombre para su grupo de nodos. El nombre del grupo de nodos no puede tener más de 63 caracteres. Debe empezar por una letra o un dígito, pero también puede incluir guiones y guiones bajos como caracteres no iniciales. Para implementar en instancias Arm, reemplace m5.large por un tipo de instancia Arm. Sustituya my-ec2-keypair-name por el nombre de un par de claves SSH de Amazon EC2 que pueda utilizar para conectar mediante SSH con los nodos después de haberlos lanzado. Si aún no tiene un par de claves de Amazon EC2, puede crear uno en la AWS Management Console. Para obtener más información, consulte Pares de claves de Amazon EC2 en la Guía del usuario de Amazon EC2. Sustituya todos los example values restantes por sus propios valores. Una vez que haya llevado a cabo las sustituciones, ejecute el comando modificado para crear el archivo bottlerocket.yaml.

   Si especifica un tipo de instancia Arm de Amazon EC2, revise las consideraciones en AMI de Amazon Linux optimizada para Amazon EKS Arm antes de llevar a cabo la implementación. Para ver instrucciones sobre cómo implementar mediante una AMI personalizada, consulte Creación de Bottlerocket en GitHub y Compatibilidad con AMI personalizada en la documentación de eksctl. Para implementar un grupo de nodos administrados, implemente una AMI personalizada mediante el uso de una plantilla de lanzamiento. Para obtener más información, consulte Personalización de nodos administrados con plantillas de lanzamiento.

   importante

   Para implementar un grupo de nodos en las subredes de AWS Outposts, AWS Wavelength o AWS Local Zones, no pase las subredes de AWS Outposts, AWS Wavelength o AWS Lozal Zones al crear el clúster. Debe especificar las subredes en el siguiente ejemplo. Para obtener más información, consulte Crear un grupo de nodos a partir de un archivo de Config y el Esquema de archivo de configuración en la documentación de eksctl. Reemplace region-code por la Región de AWS en la que se encuentra el clúster.

   cat >bottlerocket.yaml <<EOF
   ---
   apiVersion: eksctl.io/v1alpha5
   kind: ClusterConfig
   
   metadata:
     name: my-cluster
     region: region-code
     version: '1.30'
   
   iam:
     withOIDC: true
   
   nodeGroups:
     - name: ng-bottlerocket
       instanceType: m5.large
       desiredCapacity: 3
       amiFamily: Bottlerocket
       ami: auto-ssm
       iam:
          attachPolicyARNs:
             - arn:aws:iam::aws:policy/AmazonEKSWorkerNodePolicy
             - arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
             - arn:aws:iam::aws:policy/AmazonSSMManagedInstanceCore
             - arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy
       ssh:
           allow: true
           publicKeyName: my-ec2-keypair-name
   EOF
   

2. Implemente los nodos con el siguiente comando.

   eksctl create nodegroup --config-file=bottlerocket.yaml
   

   Un ejemplo de salida sería el siguiente.

   Se generan varias líneas mientras se crean los nodos. Una de las últimas líneas de salida es la siguiente línea de ejemplo.

   [✔]  created 1 nodegroup(s) in cluster "my-cluster"

3. (Opcional) Cree un volumen persistente de Kubernetes en un nodo de Bottlerocket mediante el Complemento CSI de Amazon EBS. El controlador predeterminado de Amazon EBS se basa en herramientas del sistema de archivos que no están incluidas con Bottlerocket. Para obtener información adicional acerca de cómo crear una clase de almacenamiento mediante un controlador, consulte Controlador CSI de Amazon EBS.

4. (Opcional) De forma predeterminada, kube-proxy establece el parámetro del kernel nf_conntrack_max en un valor predeterminado que puede diferir de lo que Bottlerocket establece inicialmente en el arranque. Para mantener la configuración predeterminada de Bottlerocket, edite la configuración kube-proxy con el siguiente comando.

   kubectl edit -n kube-system daemonset kube-proxy
   

   Agregue --conntrack-max-per-core y --conntrack-min a los argumentos kube-proxy que se encuentran en el siguiente ejemplo. Una configuración de 0 implica que no hay cambios.

         containers:
         - command:
           - kube-proxy
           - --v=2
           - --config=/var/lib/kube-proxy-config/config
           - --conntrack-max-per-core=0
           - --conntrack-min=0

5. (Opcional) Implemente una aplicación de muestra para probar los nodos de Bottlerocket.

6. Se recomienda bloquear el acceso del Pod al IMDS si se cumplen las siguientes condiciones:

   • Tiene previsto asignar roles de IAM a todas sus cuentas de servicio de Kubernetes para que los Pods solo tengan los permisos mínimos que necesitan.

   • Ninguno de los Pods del clúster requiere acceso al servicio de metadatos de la instancia de Amazon EC2 (IMDS) por otros motivos, como la recuperación de la Región de AWS actual.

   Para obtener más información, consulte Restringir el acceso al perfil de instancias asignado al nodo de trabajo.