Criar papéis de IAM da AWS

O GKE na AWS usa os papéis do IAM da AWS para criar e gerenciar os clusters e os pools de nós. Nesta página, descrevemos como criar os seguintes papéis padrão:

Papel de agente de serviço da API GKE Multi-Cloud

A API GKE Multi-Cloud usa esse papel do IAM da AWS para gerenciar recursos usando as APIs da AWS. Esse papel é usado por um agente de serviço.

Papel do IAM do AWS no plano de controle

O plano de controle do cluster usa esse papel para controlar os pools de nós.

Papel do IAM do AWS do pool de nós

O plano de controle usa esse papel para criar VMs do pool de nós.

Nesta página, mostramos como criar papéis para as seguintes situações:

• Um conjunto padrão de permissões, útil para testes
• Permissões para operar em recursos com determinadas tags da AWS

Você pode escolher uma dessas opções para atender às políticas de segurança da sua organização. Para mais informações sobre tags, consulte Recurso de inclusão de tag da AWS.

Outra opção é definir o escopo de permissões para os papéis do IAM da AWS que o GKE na AWS usa para atender aos requisitos da sua organização. Para mais informações, consulte Papéis do IAM da AWS.

Antes de começar

Se você optar por criar permissões que operam em recursos com determinadas tags, precisará escolher uma tag e um valor. Em seguida, você usará esses valores para marcar os recursos dentro do cluster para restringir o acesso a eles.

Criar o papel de agente de serviço da API GKE Multi-Cloud

Para criar o papel de agente de serviço da API GKE Multi-Cloud, use o comando a seguir para recuperar o número do projeto do Google Cloud e usá-lo para criar o papel.

PROJECT_ID="$(gcloud config get-value project)"
PROJECT_NUMBER=$(gcloud projects describe "$PROJECT_ID" \
    --format "value(projectNumber)")

aws iam create-role --role-name API_ROLE \
    --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "",
        "Effect": "Allow",
        "Principal": {
            "Federated": "accounts.google.com"
        },
        "Action": "sts:AssumeRoleWithWebIdentity",
        "Condition": {
            "StringEquals": {
            "accounts.google.com:sub": "service-'$PROJECT_NUMBER'@gcp-sa-gkemulticloud.iam.gserviceaccount.com"
            }
      }
    }
  ]
}'

Substitua API_ROLE por um nome para esse papel.

Salve o nome do recurso da Amazon (ARN) gerado por esse comando para uso posterior.

Criar permissões com escopo

Escolha abaixo se você quiser criar uma política para o papel de agente de serviço da API GKE Multi-Cloud com permissões padrão ou escopo para recursos com determinadas tags. Em seguida, execute o comando:

Padrão

aws iam create-policy --policy-name API_POLICY \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateLaunchTemplate",
        "ec2:CreateNetworkInterface",
        "ec2:CreateSecurityGroup",
        "ec2:CreateTags",
        "ec2:CreateVolume",
        "ec2:DeleteLaunchTemplate",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteSecurityGroup",
        "ec2:DeleteTags",
        "ec2:DeleteVolume",
        "ec2:DescribeAccountAttributes",
        "ec2:DescribeInstances",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeLaunchTemplates",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:GetConsoleOutput",
        "ec2:ModifyInstanceAttribute",
        "ec2:ModifyNetworkInterfaceAttribute",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress",
        "ec2:RunInstances",
        "iam:AWSServiceName",
        "iam:CreateServiceLinkedRole",
        "iam:GetInstanceProfile",
        "iam:PassRole",
        "autoscaling:CreateAutoScalingGroup",
        "autoscaling:CreateOrUpdateTags",
        "autoscaling:DeleteAutoScalingGroup",
        "autoscaling:DeleteTags",
        "autoscaling:DescribeAutoScalingGroups",
        "autoscaling:DisableMetricsCollection",
        "autoscaling:EnableMetricsCollection",
        "autoscaling:TerminateInstanceInAutoScalingGroup",
        "autoscaling:UpdateAutoScalingGroup",
        "elasticloadbalancing:AddTags",
        "elasticloadbalancing:CreateListener",
        "elasticloadbalancing:CreateLoadBalancer",
        "elasticloadbalancing:CreateTargetGroup",
        "elasticloadbalancing:DeleteListener",
        "elasticloadbalancing:DeleteLoadBalancer",
        "elasticloadbalancing:DeleteTargetGroup",
        "elasticloadbalancing:DescribeListeners",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetHealth",
        "elasticloadbalancing:ModifyTargetGroupAttributes",
        "elasticloadbalancing:RemoveTags",
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*"
    }
  ]
}'

Substitua API_POLICY por um nome para a política de IAM da AWS da API GKE Multi-Cloud.

Opcionalmente, restrinja os recursos que essa política aplica a uma determinada conta definindo o valor de Resource como arn:aws:iam::ACCOUNT_ID:* e substitua ACCOUNT_ID pelo ID da conta da AWS.

No escopo das tags

aws iam create-policy --policy-name API_POLICY_ec2 \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeAccountAttributes",
        "ec2:DescribeInstances",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeLaunchTemplates",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:GetConsoleOutput"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateSecurityGroup"],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateSecurityGroup"],
      "Resource": ["arn:aws:ec2:*:*:vpc/*"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:DeleteSecurityGroup",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress"
      ],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress"
      ],
      "Resource": ["arn:aws:ec2:*:*:security-group-rule/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateLaunchTemplate"],
      "Resource": ["arn:aws:ec2:*:*:launch-template/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteLaunchTemplate"
      ],
      "Resource": ["arn:aws:ec2:*:*:launch-template/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": ["arn:aws:ec2:*:*:image/ami-*"],
      "Condition": {
        "StringEquals": {
          "ec2:Owner": ["099720109477", "amazon"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*"
      ],
      "Condition": {
        "ArnLike": {
          "ec2:LaunchTemplate": "arn:aws:ec2:*:*:launch-template/*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:key-pair/*",
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "Bool": {
          "ec2:IsLaunchTemplateResource": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateVolume"
      ],
      "Resource": ["arn:aws:ec2:*:*:volume/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteVolume"
      ],
      "Resource": ["arn:aws:ec2:*:*:volume/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface"
      ],
      "Resource": ["arn:aws:ec2:*:*:network-interface/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateNetworkInterface"],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateNetworkInterface"],
      "Resource": ["arn:aws:ec2:*:*:subnet/*"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteNetworkInterface",
        "ec2:ModifyNetworkInterfaceAttribute"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:security-group-rule/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:instance/*"
      ],
      "Condition": {
         "StringEquals": {
          "ec2:CreateAction" : "RunInstances"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags",
        "ec2:DeleteTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:security-group-rule/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:ModifyInstanceAttribute"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:security-group/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    }
  ]
}'

Substitua:

• API_POLICY: um prefixo para as políticas de IAM da AWS da API GKE Multi-Cloud.
• ACCESS_CONTROL_TAG_KEY: a chave de tag que se aplica a essa política
• ACCESS_CONTROL_TAG_VALUE: o valor da tag que se aplica a essa política

Opcionalmente, é possível restringir ainda mais essa política a uma região da AWS e ao ID da conta. Para restringir a política a uma região e ao ID da conta, substitua os valores de Recurso, como arn:aws:ec2:*:*:security-group/* por arn:aws:ec2:AWS_REGION:ACCOUNT_ID:security-group/*.

Copie o ARN criado para essa política para uso no comando a seguir.

Criar políticas adicionais para o uso de tags

Se você estiver restringindo o acesso com tags, siga estas etapas para criar outras políticas. Se você estiver usando a política padrão, pule para Anexar políticas ao papel da API GKE Multi-Cloud.

1. Crie uma política para controlar o acesso ao IAM da AWS com o seguinte comando:

   aws iam create-policy --policy-name API_POLICY_iam \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["iam:CreateServiceLinkedRole"],
         "Resource": [
           "arn:aws:iam::*:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
         ],
         "Condition": {
           "StringEquals": {
             "iam:AWSServiceName": "autoscaling.amazonaws.com"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": ["iam:CreateServiceLinkedRole"],
         "Resource": [
           "arn:aws:iam::*:role/aws-service-role/elasticloadbalancing.amazonaws.com/AWSServiceRoleForElasticLoadBalancing"
         ],
         "Condition": {
           "StringEquals": {
             "iam:AWSServiceName": "elasticloadbalancing.amazonaws.com"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": ["iam:PassRole"],
         "Resource": ["arn:aws:iam::*:role/*"],
         "Condition": {
           "StringEquals": {
             "iam:PassedToService": "ec2.amazonaws.com"
           }
         }
       }
       ,
       {
         "Effect": "Allow",
         "Action": ["iam:GetInstanceProfile"],
         "Resource": ["arn:aws:iam::*:instance-profile/*"]
       }
     ]
   }'
   

   Observação :na etapa a seguir, crie papéis para os nós do plano de controle e do pool de nós. Ao criar esses papéis, é possível restringir ainda mais os recursos que podem usar a permissão iam:PassRole. Para incluir um papel, adicione o ARN à matriz Resource e remova o valor arn:aws:iam::*:role/*.

2. Crie uma política para controlar o acesso aos recursos de escalonamento automático do AWS EC2 com o seguinte comando:

   aws iam create-policy --policy-name API_POLICY_autoscaling \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["autoscaling:DescribeAutoScalingGroups"],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:CreateAutoScalingGroup",
           "autoscaling:CreateOrUpdateTags"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:CreateOrUpdateTags",
           "autoscaling:DeleteAutoScalingGroup",
           "autoscaling:DeleteTags",
           "autoscaling:DisableMetricsCollection",
           "autoscaling:EnableMetricsCollection",
           "autoscaling:TerminateInstanceInAutoScalingGroup",
           "autoscaling:UpdateAutoScalingGroup"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   

   Salve o ARN gerado por este comando para uso posterior.

3. Crie uma política para controlar o acesso aos recursos do balanceador de carga AWS Elastic.

   aws iam create-policy --policy-name API_POLICY_elasticloadbalancing \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:AddTags"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/gke-*"],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:ModifyTargetGroupAttributes",
           "elasticloadbalancing:RemoveTags"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/gke-*"],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:AddTags"
         ],
         "Resource": [
           "arn:aws:elasticloadbalancing:*:*:listener/net/gke-*",
           "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:RemoveTags"
         ],
         "Resource": [
           "arn:aws:elasticloadbalancing:*:*:listener/net/gke-*",
           "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   

   Salve o ARN gerado por este comando para uso posterior.

4. Crie uma política para controlar o acesso aos recursos do AWS Key Management Service.

   Consulte Como criar chaves KMS com permissões específicas para mais informações sobre permissões de cada chave individual.

   aws iam create-policy --policy-name API_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:DescribeKey"],
         "Resource": ["arn:aws:kms:*:*:key/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Encrypt"],
         "Resource": CONTROL_PLANE_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Encrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:GenerateDataKeyWithoutPlaintext"],
         "Resource": CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN
       }
     ]
   }'
   

   Substitua:

   • CONTROL_PLANE_CONFIG_KMS_KEY_ARN: a ARN da chave de criptografia do plano de controle de configuração do KMS Se você estiver usando apenas uma chave KMS para o cluster, use o ARN dessa chave para todos os valores aqui.
   • NODE_POOL_CONFIG_KMS_KEY_ARN: a ARN da chave de criptografia da configuração do pool de nós do KMS
   • CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN: a ARN da chave de criptografia de volume principal do plano de controle do KMS

   Salve o ARN gerado por este comando para uso posterior.

Anexar políticas ao papel da API GKE Multi-Cloud

Para cada política que você criou nas etapas anteriores, execute o seguinte comando para anexar a política ao papel da API GKE Multi-Cloud:

aws iam attach-role-policy \
    --policy-arn API_POLICY_ARN \
    --role-name API_ROLE

Substituir

• API_POLICY_ARN pelo ARN da política de API de cada política que você criou anteriormente
• API_ROLE pelo nome do papel de agente de serviço da API GKE Multi-Cloud

Criar um cluster ou pool de nós

Se você criar papéis e políticas com escopo para recursos com tags, precisará especificar as tags ao criar um cluster ou pool de nós. Faça isso com o parâmetro --tags para os comandos de criação de cluster e pool de nós.

Criar um cluster

Para criar o cluster, siga as instruções para criar um cluster e inclua o parâmetro --tags da seguinte maneira:

gcloud container aws clusters create CLUSTER_NAME \
...
    --tags="ACCESS_CONTROL_TAG_KEY=ACCESS_CONTROL_TAG_VALUE"

Substitua:

• ACCESS_CONTROL_TAG_KEY: a chave de tag que se aplica a essa política
• ACCESS_CONTROL_TAG_VALUE: o valor da tag que se aplica a essa política

Crie um pool de nós.

Para criar um pool de nós, siga as instruções para criar um pool de nós e inclua o parâmetro --tags como no exemplo a seguir:

gcloud container aws node-pools create NODE_POOL_NAME \
...
    --tags "ACCESS_CONTROL_TAG_KEY=ACCESS_CONTROL_TAG_VALUE"

Substitua:

• ACCESS_CONTROL_TAG_KEY: a chave de tag que se aplica a essa política
• ACCESS_CONTROL_TAG_VALUE: o valor da tag que se aplica a essa política

Criar o papel do plano de controle

Para criar o papel do plano de controle com permissões padrão, siga estas etapas:

1. Para criar esse papel, execute o seguinte comando:

   aws iam create-role --role-name CONTROL_PLANE_ROLE \
       --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
       {
           "Sid": "",
           "Effect": "Allow",
           "Principal": {
                "Service": "ec2.amazonaws.com"
           },
           "Action": "sts:AssumeRole"
       }
     ]
   }'
   

   Substitua CONTROL_PLANE_ROLE por um nome para o papel do plano de controle.

2. Crie uma política de IAM para esse papel. Se você criou várias chaves KMS para o banco de dados e a criptografia de configuração, inclua todos os ARNs delas como uma lista separada por vírgulas.

   Escolha se você está se conectando diretamente ao plano de controle ou conecte-se diretamente ao plano de controle e use tags.

   Conexão direta

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Action": [
           "ec2:AttachNetworkInterface",
           "ec2:AttachVolume",
           "ec2:AuthorizeSecurityGroupIngress",
           "ec2:CreateRoute",
           "ec2:CreateSecurityGroup",
           "ec2:CreateSnapshot",
           "ec2:CreateTags",
           "ec2:CreateVolume",
           "ec2:DeleteRoute",
           "ec2:DeleteSecurityGroup",
           "ec2:DeleteSnapshot",
           "ec2:DeleteTags",
           "ec2:DeleteVolume",
           "ec2:DescribeAccountAttributes",
           "ec2:DescribeAvailabilityZones",
           "ec2:DescribeDhcpOptions",
           "ec2:DescribeInstances",
           "ec2:DescribeInstanceTypes",
           "ec2:DescribeInternetGateways",
           "ec2:DescribeLaunchTemplateVersions",
           "ec2:DescribeRegions",
           "ec2:DescribeRouteTables",
           "ec2:DescribeSecurityGroups",
           "ec2:DescribeSnapshots",
           "ec2:DescribeSubnets",
           "ec2:DescribeTags",
           "ec2:DescribeVolumes",
           "ec2:DescribeVolumesModifications",
           "ec2:DescribeVpcs",
           "ec2:DetachVolume",
           "ec2:ModifyInstanceAttribute",
           "ec2:ModifyVolume",
           "ec2:RevokeSecurityGroupIngress",
           "autoscaling:DescribeAutoScalingGroups",
           "autoscaling:DescribeAutoScalingInstances",
           "autoscaling:DescribeLaunchConfigurations",
           "autoscaling:DescribeTags",
           "autoscaling:SetDesiredCapacity",
           "autoscaling:TerminateInstanceInAutoScalingGroup",
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
           "elasticloadbalancing:AttachLoadBalancerToSubnets",
           "elasticloadbalancing:ConfigureHealthCheck",
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:CreateLoadBalancerListeners",
           "elasticloadbalancing:CreateLoadBalancerPolicy",
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:DeleteLoadBalancerListeners",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
           "elasticloadbalancing:DeregisterTargets",
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancerAttributes",
           "elasticloadbalancing:DescribeLoadBalancerPolicies",
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth",
           "elasticloadbalancing:DetachLoadBalancerFromSubnets",
           "elasticloadbalancing:ModifyListener",
           "elasticloadbalancing:ModifyLoadBalancerAttributes",
           "elasticloadbalancing:ModifyTargetGroup",
           "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
           "elasticloadbalancing:RegisterTargets",
           "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
           "elasticloadbalancing:SetLoadBalancerPoliciesOfListener",
           "elasticfilesystem:CreateAccessPoint",
           "elasticfilesystem:DeleteAccessPoint",
           "elasticfilesystem:DescribeAccessPoints",
           "elasticfilesystem:DescribeFileSystems",
           "elasticfilesystem:DescribeMountTargets",
           "kms:CreateGrant",
           "kms:Decrypt",
           "kms:Encrypt",
           "kms:GrantIsForAWSResource"
         ],
         "Resource": "*"
       }
     ]
   }'
   

   Substitua:

   • CONTROL_PLANE_POLICY por um nome para a política do plano de controle

   Direcionar com tags

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_autoscaling \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:DescribeAutoScalingGroups",
           "autoscaling:DescribeAutoScalingInstances",
           "autoscaling:DescribeLaunchConfigurations",
           "autoscaling:DescribeTags"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:SetDesiredCapacity",
           "autoscaling:TerminateInstanceInAutoScalingGroup"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_ec2 \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ec2:DescribeAccountAttributes",
           "ec2:DescribeAvailabilityZones",
           "ec2:DescribeDhcpOptions",
           "ec2:DescribeInstances",
           "ec2:DescribeInstanceTypes",
           "ec2:DescribeInternetGateways",
           "ec2:DescribeLaunchTemplateVersions",
           "ec2:DescribeRegions",
           "ec2:DescribeRouteTables",
           "ec2:DescribeSecurityGroups",
           "ec2:DescribeSnapshots",
           "ec2:DescribeSubnets",
           "ec2:DescribeTags",
           "ec2:DescribeVolumes",
           "ec2:DescribeVolumesModifications",
           "ec2:DescribeVpcs"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:AttachNetworkInterface"],
         "Resource": [
           "arn:aws:ec2:*:*:instance/*",
           "arn:aws:ec2:*:*:network-interface/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": [
           "ec2:CreateVolume",
           "ec2:CreateTags",
           "ec2:AttachVolume",
           "ec2:DeleteVolume",
           "ec2:DetachVolume",
           "ec2:ModifyVolume"
         ],
         "Resource": ["arn:aws:ec2:*:*:volume/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:AttachVolume", "ec2:DetachVolume"],
         "Resource": ["arn:aws:ec2:*:*:instance/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSecurityGroup", "ec2:CreateTags"],
         "Resource": ["arn:aws:ec2:*:*:security-group/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSecurityGroup"],
         "Resource": ["arn:aws:ec2:*:*:vpc/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "ec2:AuthorizeSecurityGroupIngress",
           "ec2:DeleteSecurityGroup",
           "ec2:RevokeSecurityGroupIngress"
         ],
         "Resource": ["arn:aws:ec2:*:*:security-group/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSnapshot", "ec2:CreateTags", "ec2:DeleteSnapshot"],
         "Resource": ["arn:aws:ec2:*:*:snapshot/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSnapshot"],
         "Resource": ["arn:aws:ec2:*:*:volume/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateRoute", "ec2:DeleteRoute"],
         "Resource": ["arn:aws:ec2:*:*:route-table/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:ModifyInstanceAttribute"],
         "Resource": [
           "arn:aws:ec2:*:*:instance/*",
           "arn:aws:ec2:*:*:security-group/*",
           "arn:aws:ec2:*:*:volume/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:DeleteTags"],
         "Resource": [
           "arn:aws:ec2:*:*:security-group/*",
           "arn:aws:ec2:*:*:snapshot/*",
           "arn:aws:ec2:*:*:volume/*"
         ]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_elasticloadbalancing \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeLoadBalancerAttributes",
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancerPolicies",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:AttachLoadBalancerToSubnets",
           "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:CreateLoadBalancerPolicy",
           "elasticloadbalancing:CreateLoadBalancerListeners",
           "elasticloadbalancing:ConfigureHealthCheck",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:DeleteLoadBalancerListeners",
           "elasticloadbalancing:DetachLoadBalancerFromSubnets",
           "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
           "elasticloadbalancing:ModifyLoadBalancerAttributes",
           "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
           "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
           "elasticloadbalancing:SetLoadBalancerPoliciesOfListener"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:loadbalancer/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:DeregisterTargets",
           "elasticloadbalancing:ModifyTargetGroup",
           "elasticloadbalancing:RegisterTargets"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:ModifyListener"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:listener/*"]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_elasticfilesystem \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:DescribeAccessPoints",
           "elasticfilesystem:DescribeFileSystems",
           "elasticfilesystem:DescribeMountTargets"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:CreateAccessPoint"
         ],
         "Resource": [
           "arn:aws:elasticfilesystem:*:*:file-system/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:DeleteAccessPoint"
         ],
         "Resource": [
           "arn:aws:elasticfilesystem:*:*:access-point/*"
         ]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt", "kms:Encrypt"],
         "Resource": DATABASE_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": CONTROL_PLANE_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:CreateGrant"],
         "Resource": CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN,
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       }
     ]
   }'
   

   Substitua:

   • CONTROL_PLANE_POLICY: um nome para a política do plano de controle
   • ACCESS_CONTROL_TAG_KEY: a chave de tag que se aplica a essa política
   • ACCESS_CONTROL_TAG_VALUE: o valor da tag que se aplica a essa política
   • DATABASE_KMS_KEY_ARN: ARN da chave de criptografia etcd do KMS
   • CONTROL_PLANE_CONFIG_KMS_KEY_ARN: a ARN da chave de criptografia do plano de controle do KMS
   • CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN: a ARN da chave de criptografia de volume principal do plano de controle do KMS

   Copie o valor de cada Policy.Arn para usar em um comando a seguir.

3. Se você estiver usando um proxy HTTP, crie uma política adicional para o AWS Secrets Manager.

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_secretsmanager \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "secretsmanager:GetSecretValue"
         ],
         "Resource": PROXY_CONFIG_ARN
       }
     ]
   }'
   

   Substitua:

   • KMS_KEY_ARN pelo ARN da chave de criptografia etcd do KMS
   • CONTROL_PLANE_POLICY por um nome para a política do plano de controle

   Copie o valor de cada Policy.Arn para usar no próximo comando.

4. Anexe a nova política ao papel correspondente.

   aws iam attach-role-policy \
       --policy-arn CONTROL_PLANE_POLICY_ARN \
       --role-name CONTROL_PLANE_ROLE
   

   Substitua:

   • CONTROL_PLANE_ROLE
   • CONTROL_PLANE_POLICY_ARN pelo valor Policy.Arn do comando anterior

5. Para criar um perfil de instância do IAM, execute o seguinte comando:

   aws iam create-instance-profile \
       --instance-profile-name CONTROL_PLANE_PROFILE
   

   Substitua CONTROL_PLANE_PROFILE por um nome para o perfil do plano de controle de várias nuvens do GKE.

6. Por fim, adicione o novo papel ao perfil da instância que você acabou de criar.

   aws iam add-role-to-instance-profile \
       --instance-profile-name CONTROL_PLANE_PROFILE \
       --role-name CONTROL_PLANE_ROLE
   

   Substitua:

   • CONTROL_PLANE_PROFILE
   • CONTROL_PLANE_ROLE

   Você usará o nome do perfil da instância aqui escolhido mais tarde durante a criação do cluster.

Criar o papel do pool de nós

Para criar o papel do pool de nós com permissões padrão, siga estas etapas:

1. Crie um papel para as VMs no pool de nós a ser usado.

   aws iam create-role --role-name NODE_POOL_ROLE \
       --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
       {
           "Sid": "",
           "Effect": "Allow",
           "Principal": {
           "Service": "ec2.amazonaws.com"
           },
           "Action": "sts:AssumeRole"
       }
     ]
   }'
   

   Substitua NODE_POOL_ROLE pelo nome do papel do pool de nós.

2. Crie uma política com as permissões necessárias para as VMs do pool de nós. Escolha se você está se conectando diretamente ao plano de controle ou usando um proxy HTTP.

   Direto

   aws iam create-policy --policy-name NODE_POOL_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       }
     ]
   }'
   

   Substitua:

   • NODE_POOL_POLICY: o nome da política do pool de nós.
   • NODE_POOL_CONFIG_KMS_KEY_ARN: o ARN da chave de criptografia de configuração do pool de nós do KMS.

   Proxy HTTP

   aws iam create-policy --policy-name NODE_POOL_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       }
     ]
   }'
   
   aws iam create-policy --policy-name NODE_POOL_POLICY_secretsmanager \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "secretsmanager:GetSecretValue"
         ],
         "Resource": PROXY_CONFIG_ARN
       }
     ]
   }'
   

   Substitua:

   • KMS_KEY_ARN: a chave do KMS do pool de nós.
   • NODE_POOL_POLICY: o nome da política do pool de nós.
   • PROXY_CONFIG_ARN: o ARN da configuração do proxy. Para mais informações, consulte Criar uma configuração de proxy.

   Copie o valor de cada Policy.Arn para uso no próximo comando.

3. Anexe o papel à política.

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn "NODE_POOL_POLICY_ARN"
   

   Substitua:

   • NODE_POOL_ROLE: o nome do papel do pool de nós.
   • NODE_POOL_POLICY_ARN: o valor Policy.Arn do comando anterior.

4. Se as cargas de trabalho precisarem trabalhar com o Container Registry do ECR, anexe a seguinte política para acesso ao ECR:

   Registro público

   Crie uma política com as seguintes permissões:

     aws iam create-policy --policy-name NODE_POOL_POLICY_ecr \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ecr-public:GetAuthorizationToken",
           "sts:GetServiceBearerToken"
         ],
         "Resource": "*"
       }
     ]
   }'
   

   Copie o valor de Policy.Arn como NODE_POOL_ECR_POLICY_ARN.

   Anexe-o ao papel do pool de nós que você criou.

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn "NODE_POOL_ECR_POLICY_ARN"
   

   Substitua:

   • NODE_POOL_ROLE: o nome do papel do pool de nós.
   • NODE_POOL_ECR_POLICY_ARN: o valor Policy.Arn do comando anterior.

   Registro particular

   Anexe AmazonEC2ContainerRegistryReadOnly ao papel do pool de nós para ter acesso ao registro particular:

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
   

   Substitua NODE_POOL_ROLE pelo nome do papel do pool de nós.

5. Crie um perfil de instância para esse papel.

   aws iam create-instance-profile \
       --instance-profile-name NODE_POOL_PROFILE
   

   Substitua NODE_POOL_PROFILE pelo nome do perfil do pool de nós.

6. Adicione o novo papel ao perfil da instância

   aws iam add-role-to-instance-profile \
       --instance-profile-name NODE_POOL_PROFILE \
       --role-name NODE_POOL_ROLE
   

   Substitua:

   • NODE_POOL_PROFILE: o nome do perfil do pool de nós.
   • NODE_POOL_ROLE: o nome do papel do pool de nós.

A seguir

• Criar uma chave KMS da AWS