Amazon

使用AmazonCloud Provider 时,您可以使用以下功能:

  • 负载均衡:端口映射中选择4 层负载均衡时或在启动带有type: LoadBalancerService时,自动启动 AWS Elastic Load Balancer(ELB)。
  • 持久卷: 允许您将 AWS Elastic Block Store(EBS) 用于持久卷。

请参阅 Cloud Provider AWS 自述文档获取有关 Amazon Cloud Provider 的所有信息。

设置 Amazon Cloud Provider。

1、创建 IAM 角色并附加到实例

添加到集群的所有节点必须能够与 EC2 交互,这样它们才可以创建和删除资源。您可以使用附加到实例的 IAM 角色来启用此交互。请参阅Amazon 文档:创建 IAM Role了解如何创建 IAM 角色。有两个示例策略:

  • 第一个策略是针对具有controlplane角色的节点。这些节点必须能够创建和删除 EC2 资源。下面的 IAM 策略是一个例子,请在例子中删除任何不需要的权限。
  • 第二个策略是针对具有etcdworker角色的节点。这些节点只需要能够从 EC2 检索信息。

创建 Amazon EC2 集群时,必须在创建节点模板时填写创建的 IAM 角色的IAM 实例配置文件名称(而不是 ARN)。

创建自定义集群时,必须手动将 IAM 角色附加到实例。

具有controlplane角色的节点的 IAM 策略:

  1. {
  2. "Version": "2012-10-17",
  3. "Statement": [
  4. {
  5. "Effect": "Allow",
  6. "Action": [
  7. "autoscaling:DescribeAutoScalingGroups",
  8. "autoscaling:DescribeLaunchConfigurations",
  9. "autoscaling:DescribeTags",
  10. "ec2:DescribeInstances",
  11. "ec2:DescribeRegions",
  12. "ec2:DescribeRouteTables",
  13. "ec2:DescribeSecurityGroups",
  14. "ec2:DescribeSubnets",
  15. "ec2:DescribeVolumes",
  16. "ec2:CreateSecurityGroup",
  17. "ec2:CreateTags",
  18. "ec2:CreateVolume",
  19. "ec2:ModifyInstanceAttribute",
  20. "ec2:ModifyVolume",
  21. "ec2:AttachVolume",
  22. "ec2:AuthorizeSecurityGroupIngress",
  23. "ec2:CreateRoute",
  24. "ec2:DeleteRoute",
  25. "ec2:DeleteSecurityGroup",
  26. "ec2:DeleteVolume",
  27. "ec2:DetachVolume",
  28. "ec2:RevokeSecurityGroupIngress",
  29. "ec2:DescribeVpcs",
  30. "elasticloadbalancing:AddTags",
  31. "elasticloadbalancing:AttachLoadBalancerToSubnets",
  32. "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
  33. "elasticloadbalancing:CreateLoadBalancer",
  34. "elasticloadbalancing:CreateLoadBalancerPolicy",
  35. "elasticloadbalancing:CreateLoadBalancerListeners",
  36. "elasticloadbalancing:ConfigureHealthCheck",
  37. "elasticloadbalancing:DeleteLoadBalancer",
  38. "elasticloadbalancing:DeleteLoadBalancerListeners",
  39. "elasticloadbalancing:DescribeLoadBalancers",
  40. "elasticloadbalancing:DescribeLoadBalancerAttributes",
  41. "elasticloadbalancing:DetachLoadBalancerFromSubnets",
  42. "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
  43. "elasticloadbalancing:ModifyLoadBalancerAttributes",
  44. "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
  45. "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
  46. "elasticloadbalancing:AddTags",
  47. "elasticloadbalancing:CreateListener",
  48. "elasticloadbalancing:CreateTargetGroup",
  49. "elasticloadbalancing:DeleteListener",
  50. "elasticloadbalancing:DeleteTargetGroup",
  51. "elasticloadbalancing:DescribeListeners",
  52. "elasticloadbalancing:DescribeLoadBalancerPolicies",
  53. "elasticloadbalancing:DescribeTargetGroups",
  54. "elasticloadbalancing:DescribeTargetHealth",
  55. "elasticloadbalancing:ModifyListener",
  56. "elasticloadbalancing:ModifyTargetGroup",
  57. "elasticloadbalancing:RegisterTargets",
  58. "elasticloadbalancing:SetLoadBalancerPoliciesOfListener",
  59. "iam:CreateServiceLinkedRole",
  60. "kms:DescribeKey"
  61. ],
  62. "Resource": ["*"]
  63. }
  64. ]
  65. }

具有etcdworker角色的节点的 IAM 策略:

  1. {
  2. "Version": "2012-10-17",
  3. "Statement": [
  4. {
  5. "Effect": "Allow",
  6. "Action": [
  7. "ec2:DescribeInstances",
  8. "ec2:DescribeRegions",
  9. "ecr:GetAuthorizationToken",
  10. "ecr:BatchCheckLayerAvailability",
  11. "ecr:GetDownloadUrlForLayer",
  12. "ecr:GetRepositoryPolicy",
  13. "ecr:DescribeRepositories",
  14. "ecr:ListImages",
  15. "ecr:BatchGetImage"
  16. ],
  17. "Resource": "*"
  18. }
  19. ]
  20. }

2、配置 ClusterID

以下资源需要标记上ClusterID

  • 节点:在 Rancher 中添加的所有主机。

  • 子网:用于集群的子网

  • 安全组:用于集群的安全组。

    注意: 不要标记多个安全组。创建弹性负载均衡器时,标记多个组会产生错误。

创建 Amazon EC2 集群时,Rancher 将为创建的节点自动设置ClusterID。其他资源仍然需要手动标记。

应该使用的标签是:

  1. Key=kubernetes.io/cluster/<CLUSTERID>, Value=owned

<CLUSTERID>可以是您选择的任何字符串。但是,必须在您标记的每个资源上使用相同的字符串。

将标记值设置为owned会通知集群,使用<CLUSTERID>标记的所有资源都由该集群拥有和管理。如果在集群之间共享资源,则可以将标记更改为:

  1. Key=kubernetes.io/cluster/CLUSTERID, Value=shared

使用 Amazon Elastic Container Registry (ECR)

将上面提到的 IAM 配置文件附加到实例时,kubelet 组件能够自动获取 ECR 凭据。当使用早于 v1.15.0 的 Kubernetes 版本时,需要在集群中配置 Amazon Cloud Provider。从 Kubernetes 版本 v1.15.0 开始,kubelet 可以自动获取 ECR 凭据,而无需在集群中配置 Amazon Cloud Provider。