Crear roles de gestión de identidades y accesos de AWS

GKE en AWS usa roles de gestión de identidades y accesos de AWS para crear y gestionar tus clústeres y grupos de nodos. Esta página está dirigida a administradores de identidades y cuentas, operadores y desarrolladores que quieran crear y gestionar políticas relacionadas con los permisos de usuario. Para obtener más información sobre los roles habituales y las tareas de ejemplo a las que hacemos referencia en el contenido de Google Cloud , consulta Roles y tareas de usuario habituales de GKE.

En esta página se describe cómo crear los siguientes roles predeterminados:

Rol de agente de servicio de la API de GKE Multi-cloud

La API multinube de GKE usa este rol de IAM de AWS para gestionar recursos mediante APIs de AWS. Este rol lo usa una cuenta de servicio gestionada por Google que se conoce como agente de servicio.

Rol de gestión de identidades y accesos de AWS del plano de control

El plano de control de tu clúster usa este rol para controlar los grupos de nodos.

Rol de gestión de identidades y accesos de AWS del grupo de nodos

El plano de control usa este rol para crear VMs de grupos de nodos.

En esta página se explica cómo crear roles en las siguientes situaciones:

• Un conjunto de permisos predeterminado, útil para las pruebas
• Permisos para operar en recursos con determinadas etiquetas de AWS

Puedes elegir una de estas opciones para cumplir las políticas de seguridad de tu organización. Para obtener más información sobre las etiquetas, consulta Etiquetar recursos de AWS.

Si quieres, puedes acotar los permisos de los roles de gestión de identidades y accesos de AWS que usa GKE en AWS para cumplir los requisitos de tu organización. Para obtener más información, consulta Roles de gestión de identidades y accesos de AWS.

Antes de empezar

Si decide crear permisos que operen en recursos con determinadas etiquetas, debe elegir una etiqueta y un valor. Después, usa estos valores para etiquetar los recursos de tu clúster y restringir el acceso a ellos.

Crear el rol de agente de servicio de la API de GKE Multi-Cloud

Para crear el rol de agente de servicio de la API GKE Multi-Cloud, usa el siguiente comando para obtener tu Google Cloud número de proyecto y úsalo para crear el rol.

PROJECT_ID="$(gcloud config get-value project)"
PROJECT_NUMBER=$(gcloud projects describe "$PROJECT_ID" \
    --format "value(projectNumber)")

aws iam create-role --role-name API_ROLE \
    --assume-role-policy-document '{
    "Version": "2012-10-17",
    "Statement": [
        {
        "Sid": "",
        "Effect": "Allow",
        "Principal": {
            "Federated": "accounts.google.com"
        },
        "Action": "sts:AssumeRoleWithWebIdentity",
        "Condition": {
            "StringEquals": {
            "accounts.google.com:sub": "service-'$PROJECT_NUMBER'@gcp-sa-gkemulticloud.iam.gserviceaccount.com"
            }
      }
    }
  ]
}'

Sustituye API_ROLE por el nombre de este rol.

Guarda el nombre de recurso de Amazon (ARN) generado por este comando para usarlo más adelante.

Crear permisos delimitados

Elige a continuación si quieres crear una política para el rol de agente del servicio de API GKE Multi-Cloud con permisos predeterminados o con permisos limitados a recursos con determinadas etiquetas. A continuación, ejecuta el siguiente comando:

Predeterminado

aws iam create-policy --policy-name API_POLICY \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:CreateLaunchTemplate",
        "ec2:CreateNetworkInterface",
        "ec2:CreateSecurityGroup",
        "ec2:CreateTags",
        "ec2:CreateVolume",
        "ec2:DeleteLaunchTemplate",
        "ec2:DeleteNetworkInterface",
        "ec2:DeleteSecurityGroup",
        "ec2:DeleteTags",
        "ec2:DeleteVolume",
        "ec2:DescribeAccountAttributes",
        "ec2:DescribeInstances",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeLaunchTemplates",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:GetConsoleOutput",
        "ec2:ModifyInstanceAttribute",
        "ec2:ModifyNetworkInterfaceAttribute",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress",
        "ec2:RunInstances",
        "iam:AWSServiceName",
        "iam:CreateServiceLinkedRole",
        "iam:GetInstanceProfile",
        "iam:PassRole",
        "autoscaling:CreateAutoScalingGroup",
        "autoscaling:CreateOrUpdateTags",
        "autoscaling:DeleteAutoScalingGroup",
        "autoscaling:DeleteTags",
        "autoscaling:DescribeAutoScalingGroups",
        "autoscaling:DisableMetricsCollection",
        "autoscaling:EnableMetricsCollection",
        "autoscaling:TerminateInstanceInAutoScalingGroup",
        "autoscaling:UpdateAutoScalingGroup",
        "elasticloadbalancing:AddTags",
        "elasticloadbalancing:CreateListener",
        "elasticloadbalancing:CreateLoadBalancer",
        "elasticloadbalancing:CreateTargetGroup",
        "elasticloadbalancing:DeleteListener",
        "elasticloadbalancing:DeleteLoadBalancer",
        "elasticloadbalancing:DeleteTargetGroup",
        "elasticloadbalancing:DescribeListeners",
        "elasticloadbalancing:DescribeLoadBalancers",
        "elasticloadbalancing:DescribeTargetGroups",
        "elasticloadbalancing:DescribeTargetHealth",
        "elasticloadbalancing:ModifyTargetGroupAttributes",
        "elasticloadbalancing:RemoveTags",
        "kms:DescribeKey",
        "kms:Encrypt",
        "kms:GenerateDataKeyWithoutPlaintext"
      ],
      "Resource": "*"
    }
  ]
}'

Sustituye API_POLICY por un nombre para la política de AWS de la API GKE Multi-Cloud.

También puedes restringir los recursos a los que se aplica esta política a una cuenta determinada. Para ello, asigna el valor arn:aws:iam::ACCOUNT_ID:* a Resource y sustituye ACCOUNT_ID por tu ID de cuenta de AWS.

Limitado a etiquetas

aws iam create-policy --policy-name API_POLICY_ec2 \
  --policy-document '{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DescribeAccountAttributes",
        "ec2:DescribeInstances",
        "ec2:DescribeInternetGateways",
        "ec2:DescribeKeyPairs",
        "ec2:DescribeLaunchTemplates",
        "ec2:DescribeNetworkInterfaces",
        "ec2:DescribeSecurityGroups",
        "ec2:DescribeSecurityGroupRules",
        "ec2:DescribeSubnets",
        "ec2:DescribeVpcs",
        "ec2:GetConsoleOutput"
      ],
      "Resource": "*"
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateSecurityGroup"],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateSecurityGroup"],
      "Resource": ["arn:aws:ec2:*:*:vpc/*"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress",
        "ec2:DeleteSecurityGroup",
        "ec2:RevokeSecurityGroupEgress",
        "ec2:RevokeSecurityGroupIngress"
      ],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:AuthorizeSecurityGroupEgress",
        "ec2:AuthorizeSecurityGroupIngress"
      ],
      "Resource": ["arn:aws:ec2:*:*:security-group-rule/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateLaunchTemplate"],
      "Resource": ["arn:aws:ec2:*:*:launch-template/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteLaunchTemplate"
      ],
      "Resource": ["arn:aws:ec2:*:*:launch-template/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": ["arn:aws:ec2:*:*:image/ami-*"],
      "Condition": {
        "StringEquals": {
          "ec2:Owner": ["099720109477", "amazon"]
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": [
        "arn:aws:ec2:*:*:subnet/*"
      ],
      "Condition": {
        "ArnLike": {
          "ec2:LaunchTemplate": "arn:aws:ec2:*:*:launch-template/*"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:RunInstances"],
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:key-pair/*",
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "Bool": {
          "ec2:IsLaunchTemplateResource": "true"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateVolume"
      ],
      "Resource": ["arn:aws:ec2:*:*:volume/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteVolume"
      ],
      "Resource": ["arn:aws:ec2:*:*:volume/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:CreateNetworkInterface"
      ],
      "Resource": ["arn:aws:ec2:*:*:network-interface/*"],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateNetworkInterface"],
      "Resource": ["arn:aws:ec2:*:*:security-group/*"],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": ["ec2:CreateNetworkInterface"],
      "Resource": ["arn:aws:ec2:*:*:subnet/*"]
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:DeleteNetworkInterface",
        "ec2:ModifyNetworkInterfaceAttribute"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:security-group-rule/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:instance/*"
      ],
      "Condition": {
         "StringEquals": {
          "ec2:CreateAction" : "RunInstances"
        }
      }
    },
    {
      "Action": [
        "ec2:CreateTags",
        "ec2:DeleteTags"
      ],
      "Effect": "Allow",
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:launch-template/*",
        "arn:aws:ec2:*:*:network-interface/*",
        "arn:aws:ec2:*:*:security-group/*",
        "arn:aws:ec2:*:*:security-group-rule/*",
        "arn:aws:ec2:*:*:volume/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    },
    {
      "Effect": "Allow",
      "Action": [
        "ec2:ModifyInstanceAttribute"
      ],
      "Resource": [
        "arn:aws:ec2:*:*:instance/*",
        "arn:aws:ec2:*:*:security-group/*"
      ],
      "Condition": {
        "StringEquals": {
          "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
        }
      }
    }
  ]
}'

Haz los cambios siguientes:

• API_POLICY: prefijo de las políticas de IAM de AWS de la API multinube de GKE.
• ACCESS_CONTROL_TAG_KEY: la clave de la etiqueta que se aplica a esta política.
• ACCESS_CONTROL_TAG_VALUE: el valor de la etiqueta que se aplica a esta política.

De forma opcional, puede restringir aún más esta política a una región de AWS y a un ID de cuenta. Para restringir la política a una región y un ID de cuenta, sustituya los valores de Resource, como arn:aws:ec2:*:*:security-group/*, por arn:aws:ec2:AWS_REGION:ACCOUNT_ID:security-group/*.

Copia el ARN creado para esta política para usarlo en el siguiente comando.

Crear políticas adicionales para usar etiquetas

Si restringe el acceso con etiquetas, siga estos pasos para crear políticas adicionales. Si usas la política predeterminada, ve a Asignar políticas al rol de API de GKE Multi-Cloud.

1. Crea una política para controlar el acceso a la gestión de identidades y accesos de AWS con el siguiente comando:

   aws iam create-policy --policy-name API_POLICY_iam \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["iam:CreateServiceLinkedRole"],
         "Resource": [
           "arn:aws:iam::*:role/aws-service-role/autoscaling.amazonaws.com/AWSServiceRoleForAutoScaling"
         ],
         "Condition": {
           "StringEquals": {
             "iam:AWSServiceName": "autoscaling.amazonaws.com"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": ["iam:CreateServiceLinkedRole"],
         "Resource": [
           "arn:aws:iam::*:role/aws-service-role/elasticloadbalancing.amazonaws.com/AWSServiceRoleForElasticLoadBalancing"
         ],
         "Condition": {
           "StringEquals": {
             "iam:AWSServiceName": "elasticloadbalancing.amazonaws.com"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": ["iam:PassRole"],
         "Resource": ["arn:aws:iam::*:role/*"],
         "Condition": {
           "StringEquals": {
             "iam:PassedToService": "ec2.amazonaws.com"
           }
         }
       }
       ,
       {
         "Effect": "Allow",
         "Action": ["iam:GetInstanceProfile"],
         "Resource": ["arn:aws:iam::*:instance-profile/*"]
       }
     ]
   }'
   

   Nota: En un paso posterior, crearás roles para los nodos del plano de control y del grupo de nodos. Cuando crees estos roles, puedes restringir aún más los recursos que pueden usar el permiso iam:PassRole. Para añadir un rol, añade su ARN a la matriz Resource y elimina el valor arn:aws:iam::*:role/*.

2. Crea una política para controlar el acceso a los recursos de AWS EC2 Auto Scaling con el siguiente comando:

   aws iam create-policy --policy-name API_POLICY_autoscaling \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["autoscaling:DescribeAutoScalingGroups"],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:CreateAutoScalingGroup",
           "autoscaling:CreateOrUpdateTags"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:CreateOrUpdateTags",
           "autoscaling:DeleteAutoScalingGroup",
           "autoscaling:DeleteTags",
           "autoscaling:DisableMetricsCollection",
           "autoscaling:EnableMetricsCollection",
           "autoscaling:TerminateInstanceInAutoScalingGroup",
           "autoscaling:UpdateAutoScalingGroup"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   

   Guarda el ARN generado por este comando para usarlo más adelante.

3. Crea una política para controlar el acceso a los recursos de AWS Elastic Load Balancer.

   aws iam create-policy --policy-name API_POLICY_elasticloadbalancing \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:AddTags"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/gke-*"],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:ModifyTargetGroupAttributes",
           "elasticloadbalancing:RemoveTags"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/gke-*"],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:AddTags"
         ],
         "Resource": [
           "arn:aws:elasticloadbalancing:*:*:listener/net/gke-*",
           "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:RequestTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:RemoveTags"
         ],
         "Resource": [
           "arn:aws:elasticloadbalancing:*:*:listener/net/gke-*",
           "arn:aws:elasticloadbalancing:*:*:loadbalancer/net/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   

   Guarda el ARN generado por este comando para usarlo más adelante.

4. Crea una política para controlar el acceso a los recursos de AWS Key Management Service.

   Consulta Crear claves de KMS con permisos específicos para obtener más información sobre los permisos de cada clave.

   aws iam create-policy --policy-name API_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:DescribeKey"],
         "Resource": ["arn:aws:kms:*:*:key/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Encrypt"],
         "Resource": CONTROL_PLANE_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Encrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:GenerateDataKeyWithoutPlaintext"],
         "Resource": CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • CONTROL_PLANE_CONFIG_KMS_KEY_ARN: tu ARN de la clave de cifrado de configuración del plano de control de KMS. Si solo utilizas una clave de KMS para tu clúster, usa el ARN de esa clave para todos los valores.
   • NODE_POOL_CONFIG_KMS_KEY_ARN: el ARN de la clave de cifrado de configuración del grupo de nodos de KMS
   • CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN: el ARN de la clave de cifrado del volumen principal del plano de control de KMS

   Guarda el ARN generado por este comando para usarlo más adelante.

Asigna políticas al rol de API de GKE Multi-Cloud

Ejecuta el siguiente comando para adjuntar cada política que hayas creado en los pasos anteriores al rol de API de GKE Multi-Cloud:

aws iam attach-role-policy \
    --policy-arn API_POLICY_ARN \
    --role-name API_ROLE

Sustituir

• API_POLICY_ARN con el ARN de la política de API de cada política que hayas creado anteriormente
• API_ROLE con el nombre del rol de agente de servicio de la API Multi-Cloud de GKE

Crear un clúster o un grupo de nodos

Si creas roles y políticas con el ámbito de los recursos etiquetados, debes especificar las etiquetas al crear un clúster o un grupo de nodos. Para ello, usa el parámetro --tags en los comandos de creación de clústeres y grupos de nodos.

Crear un clúster

Para crear tu clúster, sigue las instrucciones para crear un clúster e incluye el parámetro --tags, como en el siguiente ejemplo:

gcloud container aws clusters create CLUSTER_NAME \
...
    --tags="ACCESS_CONTROL_TAG_KEY=ACCESS_CONTROL_TAG_VALUE"

Haz los cambios siguientes:

• ACCESS_CONTROL_TAG_KEY: la clave de la etiqueta que se aplica a esta política.
• ACCESS_CONTROL_TAG_VALUE: el valor de la etiqueta que se aplica a esta política.

Crear un grupo de nodos

Para crear un grupo de nodos, sigue las instrucciones para crear un grupo de nodos e incluye el parámetro --tags como en el siguiente ejemplo:

gcloud container aws node-pools create NODE_POOL_NAME \
...
    --tags "ACCESS_CONTROL_TAG_KEY=ACCESS_CONTROL_TAG_VALUE"

Haz los cambios siguientes:

• ACCESS_CONTROL_TAG_KEY: la clave de la etiqueta que se aplica a esta política.
• ACCESS_CONTROL_TAG_VALUE: el valor de la etiqueta que se aplica a esta política.

Crear el rol del plano de control

Para crear el rol del plano de control con los permisos predeterminados, sigue estos pasos:

1. Para crear este rol, ejecuta el siguiente comando:

   aws iam create-role --role-name CONTROL_PLANE_ROLE \
       --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
       {
           "Sid": "",
           "Effect": "Allow",
           "Principal": {
                "Service": "ec2.amazonaws.com"
           },
           "Action": "sts:AssumeRole"
       }
     ]
   }'
   

   Sustituye CONTROL_PLANE_ROLE por el nombre del rol del plano de control.

2. Crea una política de gestión de identidades y accesos para este rol. Si has creado varias claves de KMS para cifrar la base de datos y la configuración, incluye todos sus ARNs como una lista separada por comas.

   Elige si quieres conectarte directamente a tu plano de control o conectarte directamente a tu plano de control y usar etiquetas.

   Conexión directa

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "",
         "Effect": "Allow",
         "Action": [
           "ec2:AttachNetworkInterface",
           "ec2:AttachVolume",
           "ec2:AuthorizeSecurityGroupIngress",
           "ec2:CreateRoute",
           "ec2:CreateSecurityGroup",
           "ec2:CreateSnapshot",
           "ec2:CreateTags",
           "ec2:CreateVolume",
           "ec2:DeleteRoute",
           "ec2:DeleteSecurityGroup",
           "ec2:DeleteSnapshot",
           "ec2:DeleteTags",
           "ec2:DeleteVolume",
           "ec2:DescribeAccountAttributes",
           "ec2:DescribeAvailabilityZones",
           "ec2:DescribeDhcpOptions",
           "ec2:DescribeInstances",
           "ec2:DescribeInstanceTypes",
           "ec2:DescribeInternetGateways",
           "ec2:DescribeLaunchTemplateVersions",
           "ec2:DescribeRegions",
           "ec2:DescribeRouteTables",
           "ec2:DescribeSecurityGroups",
           "ec2:DescribeSnapshots",
           "ec2:DescribeSubnets",
           "ec2:DescribeTags",
           "ec2:DescribeVolumes",
           "ec2:DescribeVolumesModifications",
           "ec2:DescribeVpcs",
           "ec2:DetachVolume",
           "ec2:ModifyInstanceAttribute",
           "ec2:ModifyVolume",
           "ec2:RevokeSecurityGroupIngress",
           "autoscaling:DescribeAutoScalingGroups",
           "autoscaling:DescribeAutoScalingInstances",
           "autoscaling:DescribeLaunchConfigurations",
           "autoscaling:DescribeTags",
           "autoscaling:SetDesiredCapacity",
           "autoscaling:TerminateInstanceInAutoScalingGroup",
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
           "elasticloadbalancing:AttachLoadBalancerToSubnets",
           "elasticloadbalancing:ConfigureHealthCheck",
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:CreateLoadBalancerListeners",
           "elasticloadbalancing:CreateLoadBalancerPolicy",
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:DeleteLoadBalancerListeners",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
           "elasticloadbalancing:DeregisterTargets",
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancerAttributes",
           "elasticloadbalancing:DescribeLoadBalancerPolicies",
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth",
           "elasticloadbalancing:DetachLoadBalancerFromSubnets",
           "elasticloadbalancing:ModifyListener",
           "elasticloadbalancing:ModifyLoadBalancerAttributes",
           "elasticloadbalancing:ModifyTargetGroup",
           "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
           "elasticloadbalancing:RegisterTargets",
           "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
           "elasticloadbalancing:SetLoadBalancerPoliciesOfListener",
           "elasticfilesystem:CreateAccessPoint",
           "elasticfilesystem:DeleteAccessPoint",
           "elasticfilesystem:DescribeAccessPoints",
           "elasticfilesystem:DescribeFileSystems",
           "elasticfilesystem:DescribeMountTargets",
           "kms:CreateGrant",
           "kms:Decrypt",
           "kms:Encrypt",
           "kms:GrantIsForAWSResource"
         ],
         "Resource": "*"
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • CONTROL_PLANE_POLICY con un nombre para la política del plano de control

   Directo con etiquetas

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_autoscaling \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:DescribeAutoScalingGroups",
           "autoscaling:DescribeAutoScalingInstances",
           "autoscaling:DescribeLaunchConfigurations",
           "autoscaling:DescribeTags"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "autoscaling:SetDesiredCapacity",
           "autoscaling:TerminateInstanceInAutoScalingGroup"
         ],
         "Resource": [
           "arn:aws:autoscaling:*:*:autoScalingGroup:*:autoScalingGroupName/gke-*"
         ],
         "Condition": {
           "StringEquals": {
             "aws:ResourceTag/ACCESS_CONTROL_TAG_KEY": "ACCESS_CONTROL_TAG_VALUE"
           }
         }
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_ec2 \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ec2:DescribeAccountAttributes",
           "ec2:DescribeAvailabilityZones",
           "ec2:DescribeDhcpOptions",
           "ec2:DescribeInstances",
           "ec2:DescribeInstanceTypes",
           "ec2:DescribeInternetGateways",
           "ec2:DescribeLaunchTemplateVersions",
           "ec2:DescribeRegions",
           "ec2:DescribeRouteTables",
           "ec2:DescribeSecurityGroups",
           "ec2:DescribeSnapshots",
           "ec2:DescribeSubnets",
           "ec2:DescribeTags",
           "ec2:DescribeVolumes",
           "ec2:DescribeVolumesModifications",
           "ec2:DescribeVpcs"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:AttachNetworkInterface"],
         "Resource": [
           "arn:aws:ec2:*:*:instance/*",
           "arn:aws:ec2:*:*:network-interface/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": [
           "ec2:CreateVolume",
           "ec2:CreateTags",
           "ec2:AttachVolume",
           "ec2:DeleteVolume",
           "ec2:DetachVolume",
           "ec2:ModifyVolume"
         ],
         "Resource": ["arn:aws:ec2:*:*:volume/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:AttachVolume", "ec2:DetachVolume"],
         "Resource": ["arn:aws:ec2:*:*:instance/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSecurityGroup", "ec2:CreateTags"],
         "Resource": ["arn:aws:ec2:*:*:security-group/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSecurityGroup"],
         "Resource": ["arn:aws:ec2:*:*:vpc/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "ec2:AuthorizeSecurityGroupIngress",
           "ec2:DeleteSecurityGroup",
           "ec2:RevokeSecurityGroupIngress"
         ],
         "Resource": ["arn:aws:ec2:*:*:security-group/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSnapshot", "ec2:CreateTags", "ec2:DeleteSnapshot"],
         "Resource": ["arn:aws:ec2:*:*:snapshot/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateSnapshot"],
         "Resource": ["arn:aws:ec2:*:*:volume/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:CreateRoute", "ec2:DeleteRoute"],
         "Resource": ["arn:aws:ec2:*:*:route-table/*"]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:ModifyInstanceAttribute"],
         "Resource": [
           "arn:aws:ec2:*:*:instance/*",
           "arn:aws:ec2:*:*:security-group/*",
           "arn:aws:ec2:*:*:volume/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": ["ec2:DeleteTags"],
         "Resource": [
           "arn:aws:ec2:*:*:security-group/*",
           "arn:aws:ec2:*:*:snapshot/*",
           "arn:aws:ec2:*:*:volume/*"
         ]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_elasticloadbalancing \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DescribeLoadBalancers",
           "elasticloadbalancing:DescribeLoadBalancerAttributes",
           "elasticloadbalancing:DescribeListeners",
           "elasticloadbalancing:DescribeLoadBalancerPolicies",
           "elasticloadbalancing:DescribeTargetGroups",
           "elasticloadbalancing:DescribeTargetHealth"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:AttachLoadBalancerToSubnets",
           "elasticloadbalancing:ApplySecurityGroupsToLoadBalancer",
           "elasticloadbalancing:CreateListener",
           "elasticloadbalancing:CreateLoadBalancer",
           "elasticloadbalancing:CreateLoadBalancerPolicy",
           "elasticloadbalancing:CreateLoadBalancerListeners",
           "elasticloadbalancing:ConfigureHealthCheck",
           "elasticloadbalancing:DeleteLoadBalancer",
           "elasticloadbalancing:DeleteLoadBalancerListeners",
           "elasticloadbalancing:DetachLoadBalancerFromSubnets",
           "elasticloadbalancing:DeregisterInstancesFromLoadBalancer",
           "elasticloadbalancing:ModifyLoadBalancerAttributes",
           "elasticloadbalancing:RegisterInstancesWithLoadBalancer",
           "elasticloadbalancing:SetLoadBalancerPoliciesForBackendServer",
           "elasticloadbalancing:SetLoadBalancerPoliciesOfListener"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:loadbalancer/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:AddTags",
           "elasticloadbalancing:CreateTargetGroup",
           "elasticloadbalancing:DeleteTargetGroup",
           "elasticloadbalancing:DeregisterTargets",
           "elasticloadbalancing:ModifyTargetGroup",
           "elasticloadbalancing:RegisterTargets"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:targetgroup/*"]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticloadbalancing:DeleteListener",
           "elasticloadbalancing:ModifyListener"
         ],
         "Resource": ["arn:aws:elasticloadbalancing:*:*:listener/*"]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_elasticfilesystem \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:DescribeAccessPoints",
           "elasticfilesystem:DescribeFileSystems",
           "elasticfilesystem:DescribeMountTargets"
         ],
         "Resource": "*"
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:CreateAccessPoint"
         ],
         "Resource": [
           "arn:aws:elasticfilesystem:*:*:file-system/*"
         ]
       },
       {
         "Effect": "Allow",
         "Action": [
           "elasticfilesystem:DeleteAccessPoint"
         ],
         "Resource": [
           "arn:aws:elasticfilesystem:*:*:access-point/*"
         ]
       }
     ]
   }'
   
   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt", "kms:Encrypt"],
         "Resource": DATABASE_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": CONTROL_PLANE_CONFIG_KMS_KEY_ARN
       },
       {
         "Effect": "Allow",
         "Action": ["kms:CreateGrant"],
         "Resource": CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN,
         "Condition": {
           "Bool": {
             "kms:GrantIsForAWSResource": "true"
           }
         }
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • CONTROL_PLANE_POLICY: nombre de la política del plano de control
   • ACCESS_CONTROL_TAG_KEY: la clave de la etiqueta que se aplica a esta política.
   • ACCESS_CONTROL_TAG_VALUE: el valor de la etiqueta que se aplica a esta política.
   • DATABASE_KMS_KEY_ARN: tu ARN de la clave de cifrado de etcd de KMS
   • CONTROL_PLANE_CONFIG_KMS_KEY_ARN: tu ARN de la clave de cifrado del plano de control de KMS
   • CONTROL_PLANE_MAIN_VOLUME_KMS_KEY_ARN: tu ARN de la clave de cifrado del volumen principal del plano de control de KMS

   Copia el valor de cada Policy.Arn para usarlo en un comando posterior.

3. Si utilizas un proxy HTTP, crea una política adicional para AWS Secrets Manager.

   aws iam create-policy --policy-name CONTROL_PLANE_POLICY_secretsmanager \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "secretsmanager:GetSecretValue"
         ],
         "Resource": PROXY_CONFIG_ARN
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • KMS_KEY_ARN con el ARN de la clave de cifrado de etcd de KMS
   • CONTROL_PLANE_POLICY con un nombre para la política del plano de control

   Copia el valor de cada Policy.Arn para usarlo en el siguiente comando.

4. Adjunta la nueva política al rol correspondiente.

   aws iam attach-role-policy \
       --policy-arn CONTROL_PLANE_POLICY_ARN \
       --role-name CONTROL_PLANE_ROLE
   

   Haz los cambios siguientes:

   • CONTROL_PLANE_ROLE
   • CONTROL_PLANE_POLICY_ARN con el valor Policy.Arn del comando anterior

5. Para crear un perfil de instancia de IAM, ejecuta el siguiente comando.

   aws iam create-instance-profile \
       --instance-profile-name CONTROL_PLANE_PROFILE
   

   Sustituye CONTROL_PLANE_PROFILE por el nombre del perfil del plano de control de GKE Multi-Cloud.

6. Por último, añade el nuevo rol al perfil de instancia que acabas de crear.

   aws iam add-role-to-instance-profile \
       --instance-profile-name CONTROL_PLANE_PROFILE \
       --role-name CONTROL_PLANE_ROLE
   

   Haz los cambios siguientes:

   • CONTROL_PLANE_PROFILE
   • CONTROL_PLANE_ROLE

   Usarás el nombre del perfil de instancia que elijas aquí más adelante durante la creación del clúster.

Crear el rol del grupo de nodos

Para crear el rol de grupo de nodos con permisos predeterminados, sigue estos pasos:

1. Crea un rol para que lo usen las VMs del grupo de nodos.

   aws iam create-role --role-name NODE_POOL_ROLE \
       --assume-role-policy-document '{
       "Version": "2012-10-17",
       "Statement": [
       {
           "Sid": "",
           "Effect": "Allow",
           "Principal": {
           "Service": "ec2.amazonaws.com"
           },
           "Action": "sts:AssumeRole"
       }
     ]
   }'
   

   Sustituye NODE_POOL_ROLE por el nombre del rol de tu grupo de nodos.

2. Crea una política con los permisos que necesitan las VMs del grupo de nodos. Elige si te vas a conectar directamente a tu plano de control o si vas a usar un proxy HTTP.

   Directo

   aws iam create-policy --policy-name NODE_POOL_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • NODE_POOL_POLICY: el nombre de la política del grupo de nodos.
   • NODE_POOL_CONFIG_KMS_KEY_ARN: el ARN de la clave de cifrado de la configuración del pool de nodos de KMS.

   Proxy HTTP

   aws iam create-policy --policy-name NODE_POOL_POLICY_kms \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["kms:Decrypt"],
         "Resource": NODE_POOL_CONFIG_KMS_KEY_ARN
       }
     ]
   }'
   
   aws iam create-policy --policy-name NODE_POOL_POLICY_secretsmanager \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "secretsmanager:GetSecretValue"
         ],
         "Resource": PROXY_CONFIG_ARN
       }
     ]
   }'
   

   Haz los cambios siguientes:

   • KMS_KEY_ARN: la clave de KMS de tu grupo de nodos.
   • NODE_POOL_POLICY: el nombre de la política del grupo de nodos.
   • PROXY_CONFIG_ARN: el ARN de tu configuración de proxy. Para obtener más información, consulta Crear una configuración de proxy.

   Copia el valor de cada Policy.Arn para usarlo en el siguiente comando.

3. Adjunta el rol a su política.

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn "NODE_POOL_POLICY_ARN"
   

   Haz los cambios siguientes:

   • NODE_POOL_ROLE: el nombre del rol del grupo de nodos.
   • NODE_POOL_POLICY_ARN: el valor de Policy.Arn del comando anterior.

4. Si tus cargas de trabajo necesitan usar el registro de contenedores de ECR, adjunta la siguiente política para acceder a ECR:

   Registro público

   Crea una política con los siguientes permisos:

     aws iam create-policy --policy-name NODE_POOL_POLICY_ecr \
     --policy-document '{
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "ecr-public:GetAuthorizationToken",
           "sts:GetServiceBearerToken"
         ],
         "Resource": "*"
       }
     ]
   }'
   

   Copia el valor de Policy.Arn como NODE_POOL_ECR_POLICY_ARN

   Adjúntalo al rol de grupo de nodos que has creado.

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn "NODE_POOL_ECR_POLICY_ARN"
   

   Haz los cambios siguientes:

   • NODE_POOL_ROLE: el nombre del rol del grupo de nodos.
   • NODE_POOL_ECR_POLICY_ARN: el valor de Policy.Arn del comando anterior.

   Registro privado

   Asigna AmazonEC2ContainerRegistryReadOnly al rol del grupo de nodos para acceder al registro privado:

   aws iam attach-role-policy --role-name NODE_POOL_ROLE \
       --policy-arn arn:aws:iam::aws:policy/AmazonEC2ContainerRegistryReadOnly
   

   Sustituye NODE_POOL_ROLE por el nombre del rol de tu grupo de nodos.

5. Crea un perfil de instancia para este rol.

   aws iam create-instance-profile \
       --instance-profile-name NODE_POOL_PROFILE
   

   Sustituye NODE_POOL_PROFILE por el nombre de tu perfil de grupo de nodos.

6. Añade el nuevo rol al perfil de instancia.

   aws iam add-role-to-instance-profile \
       --instance-profile-name NODE_POOL_PROFILE \
       --role-name NODE_POOL_ROLE
   

   Haz los cambios siguientes:

   • NODE_POOL_PROFILE: el nombre de tu perfil de grupo de nodos.
   • NODE_POOL_ROLE: el nombre del rol del grupo de nodos.

Siguientes pasos

• Crear una clave de KMS de AWS