Amazon EKS Auto Mode 叢集 IAM 角色

每個叢集都需要 Amazon EKS 叢集 IAM 角色。Amazon EKS 管理的 Kubernetes 叢集使用此角色來自動化儲存、聯網和運算自動擴展的例行任務。

您必須先使用 EKS Auto Mode 所需的政策建立 IAM 角色，才能建立 Amazon EKS 叢集。您可以連接建議的 AWS IAM 受管政策，或建立具有同等許可的自訂政策。

• AmazonEKSComputePolicy

• AmazonEKSBlockStoragePolicy

• AmazonEKSLoadBalancingPolicy

• AmazonEKSNetworkingPolicy

• AmazonEKSClusterPolicy

檢查現有的叢集角色

您可使用以下程序，檢查您的帳戶是否已有 Amazon EKS 叢集角色。

1. 開啟位於 https://console.aws.amazon.com/iam/ 的 IAM 主控台。

2. 在左側導覽窗格中，選擇 Roles (角色)。

3. 搜尋 AmazonEKSAutoClusterRole 的角色清單。如果AmazonEKSAutoClusterRole包含 的角色不存在，請參閱下一節中的指示來建立角色。如果包含 AmazonEKSAutoClusterRole 的角色存在，請選取角色以檢視連接的政策。

4. 選擇許可。

5. 確定 AmazonEKSClusterPolicy 受管政策已附加到該角色。如果已連接政策，則您的 Amazon EKS 叢集角色應已設定妥當。

6. 選擇 Trust Relationships (信任關係)，然後選擇 Edit trust policy (編輯信任政策)。

7. 確認信任關係包含下列政策。如果信任關係符合下列政策，請選擇 Cancel (取消)。如果信任關係不相符，請將政策複製到編輯信任政策視窗，然後選擇更新政策。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "eks.amazonaws.com"
         },
         "Action": [
           "sts:AssumeRole",
           "sts:TagSession"
         ]
       }
     ]
   }

注意

AWS 不需要AmazonEKSAutoClusterRole此角色的名稱。

建立 Amazon EKS 叢集角色

您可以使用 AWS Management Console 或 AWS CLI 來建立叢集角色。

AWS Management Console

1. 開啟位於 https://console.aws.amazon.com/iam/ 的 IAM 主控台。

2. 選擇 Roles (角色)，然後選擇 Create role (建立角色)。

3. 在信任的實體類型下，選取 AWS 服務。

4. 從 AWS 其他服務的使用案例下拉式清單中，選擇 EKS。

5. 針對您的使用案例選擇 EKS - Cluster (EKS - 叢集)，然後選擇 Next (下一步)。

6. 在新增許可索引標籤上，選取政策，然後選擇下一步。

   • AmazonEKSComputePolicy

   • AmazonEKSBlockStoragePolicy

   • AmazonEKSLoadBalancingPolicy

   • AmazonEKSNetworkingPolicy

   • AmazonEKSClusterPolicy

7. 針對 Role name (角色名稱)，為您的角色輸入唯一名稱 (例如 AmazonEKSAutoClusterRole)。

8. 針對 Description (描述)，輸入描述性文字，如 Amazon EKS - Cluster role。

9. 選擇建立角色。

AWS CLI

1. 將下列內容複製到名為 cluster-trust-policy.json 的檔案。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Service": "eks.amazonaws.com"
         },
         "Action": [
           "sts:AssumeRole",
           "sts:TagSession"
         ]
       }
     ]
   }

2. 建立角色。您可以將 AmazonEKSAutoClusterRole 取代為您選擇的任何名稱。

   aws iam create-role \
     --role-name AmazonEKSAutoClusterRole \
     --assume-role-policy-document file://"cluster-trust-policy.json"

3. 將必要的 IAM 政策連接至角色：

AmazonEKSClusterPolicy：

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEKSClusterPolicy

AmazonEKSComputePolicy：

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEKSComputePolicy

AmazonEKSBlockStoragePolicy：

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEKSBlockStoragePolicy

AmazonEKSLoadBalancingPolicy：

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEKSLoadBalancingPolicy

AmazonEKSNetworkingPolicy：

aws iam attach-role-policy \
    --role-name AmazonEKSAutoClusterRole \
    --policy-arn arn:aws:iam::aws:policy/AmazonEKSNetworkingPolicy