4 创建EKS平台

4.1 创建EKS集群

Amazon EKS是AWS上托管的K8S容器管理平台，关于EKS这里不做过多描述了，具体的可以参考AWS的官方文档：https://docs.aws.amazon.com/zh_cn/eks/latest/userguide/what-is-eks.html

这里我们采用CDK来创建EKS集群，具体的代码和解释如下：

里面的参数都可以按照需要修改，在添加node节点时也可以选择添加spot instance。

4.2 向EKS的node group授予policy

有些情况下，我们要向EKS的节点授予一定权限，比如我们需要node上的应用从System Manager的parameter store中取信息，那我们需要向node group授予SSM的policy，通过以下代码实现：

通常在用CDK创建EKS集群时会默认创建一个AutoScalingGroup，然后在add capacity的时候会创建第二个AutoSacalingGroup，所以在授予policy时需要向两个ASG中的node都授予。代码里也有两个部分。在我们的应用中我们设置了default capacity为0，所以禁止了创建默认ASG的行为，就只有一个ASG，不需要向默认创建的ASG授予policy。这时候如果执行第一部分代码会报错，所以前面两行代码注释掉了。在实际使用中要注意这两者的差别，两个ASG需要分别控制和管理。

所有Policy都可以采用这种方式授予node group，包括AWS托管的Policy和自定义的policy。

4.3 创建K8S资源

通过以上步骤我们创建了一个具有control plan控制平面、node group和ASG的Amazon EKS集群，除了自身的coredns外不具有其他的Kubernetes资源。但是我们知道K8S中有很多Kubernetes资源包括deployment、services、RBAC、ingress等是典型云原生应用运行必不可少的部分。由于这类资源对CloudfFormation来说并不属于AWS托管的服务，无法投过CDK提供的L2 construct library直接部署，因此在AWS CDK中会透过@aws-cdk/aws-cloudformation的CustomerResource Class来实现，也就是@aws-cdk/aws-eks里面的KubernetesResource Class，而它背后是通过AWS Lambda调度lambda-layer-kubectl Lambda Layer来运行kubectl客户端创建出K8S资源，详细可以参考@aws-cdk/aws-ek/lib/k8s-resource.ts).

但是CDK中现在还不支持以YAML文件定义的资源，而只能添加一组JSON Array。因此我单独实现了一个小工具用来将YAML文件转换为需要的JSON Array。

现在，我们可以将转换好的JSON Array提供给cluster作为资源。比如说，在以下的示例代码中为该EKS集群增加了RBAC和Ingress controller资源：

在应用运行的时候，这些资源会重新组装成为manifest.yaml，通过kubectl的方式在该EKS平台上运行，创建出需要的K8S资源。

所有需要的资源都可以采用这种方式添加到cluster中。

4.4 定义EKSStack的入口

我们在app.py中定义EKS Stack的执行入口

这里我们还用dependency表示EKS依赖于Landingzone，也就是先要创建AWS上基础的网络架构，在创建EKS平台。

4.5 查看Stack

现在我们在命令行中运行ls，可以看到两个Stack，他们之间是有相互依赖关系的。

同样我们也可以通过cdk synth查看生成的CloudFormation模板。

5.运行Stack

我们通过cdk deploy依次运行Landingzone Stack和EKS Stack，分别创建基础网络和EKS平台。当然我们也可以直接运行EKS stack，因为它对Landingzone stack有依赖，所以cdk会先检查Landingzone是否创建了，如果没有的话会先创建Landingzone。

可以看到，对于一些IAM和安全组相关的资源创建/删除/更改，CDK会提示要求确认。其他资源则不会有提示。在选择了“y”之后，就会创建cloudformation changeset，然后通过cloudformation创建资源，同时在console上输出Cloudformation的运行过程。

这时我们也可以在AWS console中的Cloudformation查看运行状态。

创建过程中，如果我们把CDK运行的命令行窗口关掉也不要紧，Cloudformation仍然会继续执行。

执行好后，我们在命令行和console里都可以看到运行结果。

我们也可以采用同样的方式创建EKS Stack。可以在AWS console中查看创建的结果：

可以看到有两个stack，其中一个带有nested字样的是嵌套stack，是用来运行kubectl客户端的lambda layer。

我们再在EKS的界面看一下：

现在我们就可以登入EKS里玩一下啦！~

总结

这篇文章是我们云原生专栏的开篇。在这篇文章里，我们了解了如何采用CDK轻松快速地在一个全新的AWS账号下构建基础网络架构，并在其上构建EKS平台及需要的K8S资源。

AWS CDK对底层CloudFormation进行了更高级别抽象，针对一些常用的架构设计方式，比如每个AZ中几个子网、子网的类型、安全组设置、IAM权限设置等提供了高级别的方法，可以更加方便和高效地创建AWS资源，而且多语言支持简单易上手。

但是CDK的L2 construct在对CloudFormation资源封装的同时也缺失了一些底层属性，所以可以满足大部分使用场景但不能满足所有。如果有需要的属性缺失的话，可以基于L1 construct 实现，也可以在github上提交Issue或者自己提交PR修改L2。AWS CDK是一个非常活跃的开源项目，更新很快，也欢迎大家贡献维护。

感谢

感谢解决方案架构师专家Pahud Hsieh (謝洪恩)、解决方案架构师经理薛军和安全顾问Kelvin Medina对本文章提出的宝贵意见。

下一篇介绍

下一篇中，我们会了解如何采用CDK构建应用所需要的日志收集和展示系统，

本篇作者

!

### 张芸

张芸，AWS资深云计算及应用架构顾问。目前在AWS负责针对企业客户的云原生转型，微服务、容器化和无服务器改造等咨询实施服务。曾就职于EMC中国研究院，具有10年以上云计算和大数据相关技术研究和开发经验。拥有多项美国和中国专利，涉及云计算及服务，分布式系统，软件定义数据中心和自动化运维等领域，合作编著图书《大数据—战略·技术·实践》。

创作场景

使用 AWS CDK 轻松构建云原生应用之 EKS 平台（四）