EKS初心者が早めに知っておきたかったこと

Transcript

1. 株式会社エーピーコミュニケーションズ 中根涼平 EKS初心者が早めに知っておきたかったこと
2. 名前 中根涼平 所属 株式会社エーピーコミュニケーションズ 仕事 今年の4月からKubernetes、EKSを始める クラウドネイティブ界隈で奮闘中 自己紹介 2
3. 対象者 Kubernetes、EKS初心者やこれから始める方 Kubernetes、EKSを利用している方 話すこと EKS初心者(私)が約半年を振り返って、もっと早めに知っておきたかったこと アクセスエントリ EKS Pod IdentityとIRSA ノードがクラスタへの参加失敗 EKSのキャッチアップをスムーズにしたい！ 3 本LTについて
4. EKSクラスタへのアクセス権限を管理する仕組み 4 アクセスエントリ
5. 設定できていないとどうなる？ 5 アクセスエントリ
6. クラスタはできてるのに、ノードやPodがいない！？ 6 アクセスエントリ
7. アクセスエントリを登録する 7 アクセスエントリ
8. ノードやPod情報を見ることができた 8 アクセスエントリ
9. eksctlやCloudFormationの場合 デフォルトでクラスタ作成者に管理者権限を自動付与する ※Terraformではデフォルトで無効 9 アクセスエントリ
10. 作成者への権限自動付与を無効にすることが推奨されている 10 アクセスエントリ
11. aws-auth ConfigMapの使用は廃止になった （参考：https://docs.aws.amazon.com/ja_jp/eks/latest/userguide/auth-configmap.html） アクセスエントリへ移行しましょう！ 11 アクセスエントリ
12. どちらもPod（≒コンテナ）にIAMアクセス許可を付与する仕組み 12 EKS Pod IdentityとIRSA
13. 初心者には特に難しく、ハマりがち OIDC、Admission Webhookなどの、関連知識も求められる IAMポリシー設定ミスなど、単純なミスも起きやすい 仕組みについて解説 https://techblog.ap-com.co.jp/entry/eks-pod-identity-deep-dive 仕組みを早めに学んでしまうのがおすすめ！ 13 EKS Pod IdentityとIRSA
14. 「Instances failed to join the kubernetes cluster.」 14 ノードがクラスタへの参加失敗
15. クラスタもノードもあるのに、クラスタの一員とみなされていない セキュリティグループの設定ミスなど様々な要因で発生 15 ノードがクラスタへの参加失敗
16. AWSナレッジセンターを見よう！ リンク：https://repost.aws/ja/knowledge-center/resolve-eks-node-failures お世話になった対処方法 とりあえずランブック ノードのジャーナルログ(kubelet)を見に行く CloudTrailのイベント履歴 16 ノードがクラスタへの参加失敗
17. EKSで早めに知っておきたいこと３つ アクセスエントリ EKSクラスタ側でもアクセス制御する仕組みがある EKS Pod IdentityとIRSA 仕組みを早めに把握するのがおすすめ ノードがクラスタへの参加失敗 AWSナレッジセンターを参考に解決する EKSを楽しく快適に始めましょう！ 17 まとめ
18. アクセスエントリを使用したクラスターアクセス管理 https://aws.amazon.com/jp/blogs/containers/a-deep-dive-into-simplified- amazon-eks-access-management-controls/ 作成者への管理者権限自動付与を無効にする https://docs.aws.amazon.com/ja_jp/eks/latest/best-practices/identity-and-access- management.html#_cluster_access_recommendations アクセスエントリへの移行方法 https://docs.aws.amazon.com/ja_jp/eks/latest/userguide/migrating-access- entries.html 18 Appendix(1/2)
19. 「Instances failed to join the kubernetes cluster.」エラーの対処方法(ナレッジベース) https://repost.aws/ja/knowledge-center/resolve-eks-node-failures IRSAとEKS Pod Identityの比較 https://docs.aws.amazon.com/ja_jp/eks/latest/best-practices/identity-and-access- management.html#_identities_and_credentials_for_eks_pods IRSAの仕組みについて https://aws.amazon.com/jp/blogs/news/diving-into-iam-roles-for-service- accounts/ 19 Appendix(2/2)