Amazon

使用AmazonCloud Provider 时，您可以使用以下功能：

  • 负载均衡： 在端口映射中选择4 层负载均衡时或在启动带有type: LoadBalancer的Service时，自动启动 AWS Elastic Load Balancer(ELB)。
  • 持久卷： 允许您将 AWS Elastic Block Store(EBS) 用于持久卷。

请参阅 Cloud Provider AWS 自述文档获取有关 Amazon Cloud Provider 的所有信息。

设置 Amazon Cloud Provider。

1、创建 IAM 角色并附加到实例

添加到集群的所有节点必须能够与 EC2 交互，这样它们才可以创建和删除资源。您可以使用附加到实例的 IAM 角色来启用此交互。请参阅Amazon 文档：创建 IAM Role了解如何创建 IAM 角色。有两个示例策略：

  • 第一个策略是针对具有controlplane角色的节点。这些节点必须能够创建和删除 EC2 资源。下面的 IAM 策略是一个例子，请在例子中删除任何不需要的权限。
  • 第二个策略是针对具有etcd或worker角色的节点。这些节点只需要能够从 EC2 检索信息。

创建 Amazon EC2 集群时，必须在创建节点模板时填写创建的 IAM 角色的IAM 实例配置文件名称（而不是 ARN）。

创建自定义集群时，必须手动将 IAM 角色附加到实例。

具有controlplane角色的节点的 IAM 策略：

  1. {
  3.   "Version": "2012-10-17",
  5.   "Statement": [
  7.     {
  9.       "Effect": "Allow",
  11.       "Action": [
  13.         "autoscaling:DescribeAutoScalingGroups",
  15.         "autoscaling:DescribeLaunchConfigurations",
  17.         "autoscaling:DescribeTags",
  19.         "ec2:DescribeInstances",
  21.         "ec2:DescribeRegions",
  23.         "ec2:DescribeRouteTables",
  25.         "ec2:DescribeSecurityGroups",
  27.         "ec2:DescribeSubnets",
  29.         "ec2:DescribeVolumes",
  31.         "ec2:CreateSecurityGroup",
  33.         "ec2:CreateTags",
  35.         "ec2:CreateVolume",
  37.         "ec2:ModifyInstanceAttribute",
  39.         "ec2:ModifyVolume",
  41.         "ec2:AttachVolume",
  43.         "ec2:AuthorizeSecurityGroupIngress",
  45.         "ec2:CreateRoute",
  47.         "ec2:DeleteRoute",
  49.         "ec2:DeleteSecurityGroup",
  51.         "ec2:DeleteVolume",
  53.         "ec2:DetachVolume",
  55.         "ec2:RevokeSecurityGroupIngress",
  57.         "ec2:DescribeVpcs",
  59.         "elasticloadbalancing:AddTags",
  61.         "elasticloadbalancing:AttachLoadBalancerToSubnets",
  63.         "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
  65.         "elasticloadbalancing:CreateLoadBalancer",
  67.         "elasticloadbalancing:CreateLoadBalancerPolicy",
  69.         "elasticloadbalancing:CreateLoadBalancerListeners",
  71.         "elasticloadbalancing:ConfigureHealthCheck",
  73.         "elasticloadbalancing:DeleteLoadBalancer",
  75.         "elasticloadbalancing:DeleteLoadBalancerListeners",
  77.         "elasticloadbalancing:DescribeLoadBalancers",
  79.         "elasticloadbalancing:DescribeLoadBalancerAttributes",
  81.         "elasticloadbalancing:DetachLoadBalancerFromSubnets",
  83.         "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
  85.         "elasticloadbalancing:ModifyLoadBalancerAttributes",
  87.         "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
  89.         "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
  91.         "elasticloadbalancing:AddTags",
  93.         "elasticloadbalancing:CreateListener",
  95.         "elasticloadbalancing:CreateTargetGroup",
  97.         "elasticloadbalancing:DeleteListener",
  99.         "elasticloadbalancing:DeleteTargetGroup",
  101.         "elasticloadbalancing:DescribeListeners",
  103.         "elasticloadbalancing:DescribeLoadBalancerPolicies",
  105.         "elasticloadbalancing:DescribeTargetGroups",
  107.         "elasticloadbalancing:DescribeTargetHealth",
  109.         "elasticloadbalancing:ModifyListener",
  111.         "elasticloadbalancing:ModifyTargetGroup",
  113.         "elasticloadbalancing:RegisterTargets",
  115.         "elasticloadbalancing:SetLoadBalancerPoliciesOfListener",
  117.         "iam:CreateServiceLinkedRole",
  119.         "kms:DescribeKey"
  121.       ],
  123.       "Resource": ["*"]
  125.     }
  127.   ]
  129. }

具有etcd或worker角色的节点的 IAM 策略：

  1. {
  3.   "Version": "2012-10-17",
  5.   "Statement": [
  7.     {
  9.       "Effect": "Allow",
  11.       "Action": [
  13.         "ec2:DescribeInstances",
  15.         "ec2:DescribeRegions",
  17.         "ecr:GetAuthorizationToken",
  19.         "ecr:BatchCheckLayerAvailability",
  21.         "ecr:GetDownloadUrlForLayer",
  23.         "ecr:GetRepositoryPolicy",
  25.         "ecr:DescribeRepositories",
  27.         "ecr:ListImages",
  29.         "ecr:BatchGetImage"
  31.       ],
  33.       "Resource": "*"
  35.     }
  37.   ]
  39. }

2、配置 ClusterID

以下资源需要标记上ClusterID：

  • 节点：在 Rancher 中添加的所有主机。

  • 子网：用于集群的子网

  • 安全组：用于集群的安全组。

    注意： 不要标记多个安全组。创建弹性负载均衡器时，标记多个组会产生错误。

创建 Amazon EC2 集群时，Rancher 将为创建的节点自动设置ClusterID。其他资源仍然需要手动标记。

应该使用的标签是：

  1. Key=kubernetes.io/cluster/<CLUSTERID>, Value=owned

<CLUSTERID>可以是您选择的任何字符串。但是，必须在您标记的每个资源上使用相同的字符串。

将标记值设置为owned会通知集群，使用<CLUSTERID>标记的所有资源都由该集群拥有和管理。如果在集群之间共享资源，则可以将标记更改为：

  1. Key=kubernetes.io/cluster/CLUSTERID, Value=shared

使用 Amazon Elastic Container Registry (ECR)

将上面提到的 IAM 配置文件附加到实例时，kubelet 组件能够自动获取 ECR 凭据。当使用早于 v1.15.0 的 Kubernetes 版本时，需要在集群中配置 Amazon Cloud Provider。从 Kubernetes 版本 v1.15.0 开始，kubelet 可以自动获取 ECR 凭据，而无需在集群中配置 Amazon Cloud Provider。