6.3. ステップ 1: VPC 所有者: AWS 組織内で共有するための VPC の設定

手順

1. AWS コンソールの VPC セクション で、仕様に合わせて VPC を作成または変更します。正しいリージョンを選択していることを確認してください。

2. Route 53 role を作成します。

   注記

   Route 53 role は、Amazon Route 53 ホストゾーン (ステップ 3 で作成) を作成する予定のアカウントと同じアカウントに作成する必要があります。たとえば、VPC を一元管理しているアカウントにホストゾーンを作成する場合は、VPC 所有者 アカウントに Route 53 role を作成する必要があります。ワークロードアカウントにホストゾーンを作成する場合は、クラスター作成者 アカウントに Route 53 role を作成する必要があります。

   1. ロールを引き受ける権限を付与するカスタム信頼ポリシーファイルを作成します。

      $ cat <<EOF > /tmp/route53-role.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<Account-ID>:root"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      EOF

      信頼ポリシーのプリンシパル (Principal.AWS) は、root ではなく、イングレス Operator ロールとインストーラーアカウントロールにスコープを絞ることができます。

   2. AWS 管理ポリシー ROSASharedVPCRoute53Policy 用の IAM ロールを作成します。

      $ aws iam create-role --role-name <role_name> \
          --assume-role-policy-document file:///tmp/route53-role.json

   3. 必要な共有 VPC 権限を許可するために、AWS 管理ポリシー ROSASharedVPCRoute53Policy をアタッチします。

      $ aws iam attach-role-policy --role-name <role_name> \
      --policy-arn arn:aws:iam::aws:policy/ROSASharedVPCRoute53Policy

3. VPC endpoint role を作成します。

   1. ロールを引き受ける権限を付与するカスタム信頼ポリシーファイルを作成します。

      $ cat <<EOF > /tmp/shared-vpc-role.json
      {
          "Version": "2012-10-17",
          "Statement": [
              {
                  "Effect": "Allow",
                  "Principal": {
                      "AWS": "arn:aws:iam::<Account-ID>:root"
                  },
                  "Action": "sts:AssumeRole"
              }
          ]
      }
      EOF

      信頼ポリシーのプリンシパル (Principal.AWS) は、root ではなく、イングレス Operator ロールとインストーラーアカウントロールにスコープを絞ることができます。

   2. AWS 管理ポリシー ROSASharedVPCEndpointPolicy 用の IAM ロールを作成します。

      $ aws iam create-role --role-name <role_name> \
          --assume-role-policy-document file:///tmp/vpce-role.json

   3. 必要な共有 VPC 権限を許可するために、AWS 管理ポリシー ROSASharedVPCEndpointPolicy をアタッチします。

      $ aws iam attach-role-policy --role-name <role_name> \
      --policy-arn arn:aws:iam::aws:policy/ROSASharedVPCEndpointPolicy

4. 設定を続行するために、Route 53 role ARN と VPC endpoint role ARN を クラスター作成者 に提供します。