# 适用于 Kubernetes 的 AWS 控制器 (ACK) 使用自定义资源定义 (CRD) 和控制器直接从 Kubernetes 管理 AWS 服务。 ACK 扩展了 Kubernetes API，以使用熟悉的 kubectl 命令和 GitOps 工作流程创建、更新和删除 AWS 资源。 ## 概述 **适用于 Kubernetes 的 AWS 控制器 (ACK)** 使您能够： * 将 AWS 资源定义为 Kubernetes 清单（S3 存储桶、RDS 数据库、SQS 队列等） * 使用kubectl管理AWS基础设施 * 为应用程序和基础设施实施端到端的 GitOps * 利用 Kubernetes RBAC 进行 AWS 资源访问控制 * 自动协调期望和实际 AWS 状态之间的偏差 * 采用现有的 AWS 资源，无需重新创建 **架构模式：** Git（清单）→ ArgoCD/Flux → Kubernetes（ACK CRD）→ AWS API → AWS 资源 ↓ 持续对账 **主要特征：** * **Kubernetes Native** ：使用标准 CRD 和操作员模式 * **直接 API 集成** ：直接调用 AWS API（而不是 CloudFormation） * **模块化**：仅安装您需要的服务控制器 * **GitOps-First** ：专为声明式基础设施管理而设计 * **多账户** : 支持跨账户资源管理（CARM） ## 何时使用 ACK ### 完美适合 ✅ **需要 AWS 服务的 EKS 工作负载** * 需要RDS数据库、S3存储桶、SQS队列的应用程序 * 应用程序及其基础设施依赖项的统一控制平面 * Kubernetes 工作负载和 AWS 资源之间的紧密耦合 ✅ **GitOps 基础设施工作流程** * Git 中版本控制的 AWS 基础设施 * 基于公关的基础设施变更审查流程 * ArgoCD/Flux自动同步 ✅ **自助开发者平台** * 开发者通过kubectl配置AWS资源 * 基于命名空间的RBAC控制访问 * 平台团队定义政策和配额 ✅ **多帐户/多租户环境** * 不同的团队/命名空间映射到不同的AWS账户 * 具有隔离AWS资源的集中控制平面 * 每个命名空间/帐户的成本分配 ### 不适合 ❌ **多云基础设施** * ACK 仅限 AWS（使用 Crossplane 进行多云） ❌ **需要全面的 AWS 覆盖** * 仅限 14 个以上 GA 控制器（使用 Terraform 实现更广泛的覆盖范围） ❌ **非 Kubernetes 环境** * 需要 Kubernetes 集群（对于仅限 AWS 的基础设施使用 Terraform/CDK） ❌ **仅限稳定生产 API** * 许多控制器仍处于 alpha 版本 (v1alpha1) ## 支持的 AWS 服务 (2025) ### 通用控制器服务 |控制器|常见用例 ---|---|--- **亚马逊S3** | s3 控制器 |应用数据存储、静态资产 **亚马逊RDS** | rds 控制器 | PostgreSQL、MySQL、Oracle 数据库 **亚马逊 DynamoDB** | dynamodb 控制器 |应用程序的 NoSQL 表 **亚马逊SQS** | sqs-控制器 |用于异步处理的消息队列 **亚马逊SNS** | sns 控制器 |通知和发布/订阅消息传递 **AWS Lambda** | lambda 控制器 |无服务器功能 **亚马逊 ECR** | ecr 控制器 |容器镜像存储库 **亚马逊 EKS** | eks-控制器 |其他 EKS 集群 **亚马逊EC2** | ec2 控制器 | VPC、子网、安全组 **AWS IAM** | iam 控制器 |应用程序的角色、策略 **亚马逊 EFS** | efs 控制器 |共享文件系统 **亚马逊ElastiCache** |弹性疼痛控制器 | Redis/Memcached 集群 **亚马逊 MSK** | msk 控制器 |托管 Kafka 集群 **API网关V2** | apigatewayv2-控制器 | HTTP/WebSocket API **亚马逊 SageMaker** | Sagemaker-控制器 |机器学习模型端点 **亚马逊雅典娜** |雅典娜控制器 |对 S3 数据进行 SQL 查询 **预览版/测试版中提供了其他控制器。**请参阅参考资料以获取完整列表。 ## 快速启动工作流程 ### 1\.了解您的目标 **你想实现什么目标？** * **设置** ：在 EKS 集群中安装 ACK 控制器 → 请参阅控制器设置 * **创建资源** ：将 AWS 资源定义为 Kubernetes 清单 → 请参阅创建 AWS 资源 * **采用现有** ：将现有 AWS 资源导入 ACK → 请参阅采用现有资源 * **GitOps** ：与 ArgoCD/Flux 集成 → 请参阅 GitOps 集成 * **多账户**：跨 AWS 账户管理资源 → 请参阅跨账户管理 * **故障排除**：调试 ACK 资源问题 → 请参阅故障排除 ### 2\.设置：安装 ACK 控制器 **先决条件：** * EKS集群（Kubernetes 1.16+） * kubectl配置 * 头盔 3.8+ * AWS CLI **安装步骤：** #### 第 1 步：创建 OIDC 提供商 (IRSA) # 为您的 EKS 集群启用 IRSA eksctl utils Associate-iam-oidc-provider \ --cluster=我的集群 \ --region=us-east-1 \ --批准 #### 步骤 2：为控制器创建 IAM 策略 S3 控制器示例： { "版本": "2012-10-17", “声明”：[ { "效果": "允许", “行动”：[ “s3：创建桶”， “s3：删除桶”， “s3：列表桶”， "s3:获取桶*", "s3:PutBucket*", “s3：删除桶*” ], “资源”：“*” } ] } # 创建 IAM 策略 aws iam 创建策略 \ --policy-name ACK-S3-Controller-Policy \ --policy-document file://s3-policy.json #### 步骤 3：使用 IRSA 创建 IAM 角色 # 创建具有 IAM 角色的服务帐户 eksctl 创建 iamserviceaccount \ --name ack-s3-controller \ --命名空间确认系统\ --cluster 我的集群 \ --attach-policy-arn arn:aws:iam::123456789012:policy/ACK-S3-Controller-Policy \ --批准\ --覆盖现有服务帐户 #### 步骤 4：通过 Helm 安装控制器导出 HELM_EXPERIMENTAL_OCI=1 # 安装S3控制器 helm 安装 ack-s3-controller \ oci://public.ecr.aws/aws-controllers-k8s/s3-chart \ --版本=v0.1.7 \ --命名空间确认系统\ --创建命名空间\ --set=aws.region=us-east-1 \ --set=serviceAccount.create=false \ --set=serviceAccount.name=ack-s3-controller #### 步骤 5：验证安装 # 检查控制器是否正在运行 kubectl get pods -n ack-system # 列出已安装的 CRD kubectl 获取 crds | grep s3.services.k8s.aws **请参阅参考：** `references/controller-setup.md` 以获取所有控制器的详细安装指南。 ### 3\.创建 AWS 资源使用 Kubernetes 清单定义 AWS 资源： #### 示例：S3 存储桶 api版本：s3.services.k8s.aws/v1alpha1 种类: 桶元数据：名称：我的应用程序存储桶命名空间：生产规格：名称： my-app-bucket-unique-12345 版本控制：状态：已启用 kubectl apply -f s3-bucket.yaml # 检查状态 kubectl 获取buckets.s3.services.k8s.aws -n 生产 kubectl 描述存储桶 my-app-bucket -n 生产 #### 示例：RDS PostgreSQL 实例 api版本：rds.services.k8s.aws/v1alpha1 种类：数据库实例元数据：名称：myapp-db 命名空间：生产规格： dbInstanceIdentifier：myapp-db dbInstanceClass：db.t3.medium 引擎：postgres 引擎版本：“15.4” 分配存储：20 存储类型：gp3 存储加密： true master用户名：postgres 主用户密码： name: db-credentials # Kubernetes 秘密密钥：密码备份保留期：7 多可用区：true 可公开访问： false dbSubnetGroupName：我的子网组 vpcSecurityGroupID： - sg-0123456789abcdef0 #### 示例：SQS 队列 api版本：sqs.services.k8s.aws/v1alpha1 种类：队列元数据：名称：订单队列命名空间：生产规格：队列名称：订单队列可见性超时：30 messageRetentionPeriod: 345600 # 4 天 receiveMessageWaitTimeSeconds: 20 # 长轮询 **请参阅参考：** `references/resource-definitions.md` 以获取所有支持的 AWS 服务的综合示例。 ### 4\.参考和导出资源值 ACK 资源会自动使用 AWS 资源详细信息填充状态字段。以两种方式使用它们： #### 模式 1：资源引用（跨资源）使用“*Ref”字段从另一个资源引用一个 ACK 资源： # 创建API网关API api版本：apigatewayv2.services.k8s.aws/v1alpha1 种类：API 元数据：名称：我的API 命名空间：默认规格：名称：我的API 协议类型：HTTP --- # 创建引用 API 的集成 api版本：apigatewayv2.services.k8s.aws/v1alpha1 种类: 一体化元数据：名称：我的集成命名空间：默认规格： api参考：来自： name: my-api # 按名称引用 API 集成类型：AWS_PROXY 集成URI：arn：aws：lambda：us-east-1：123456789012：函数：my-function #### 模式 2：字段导出（到 ConfigMap/Secret）导出 ACK 资源值以供 Kubernetes 工作负载使用： # 将 S3 存储桶 ARN 导出到 ConfigMap api版本：services.k8s.aws/v1alpha1 种类：FieldExport 元数据：名称：导出桶-arn 命名空间：生产规格：来自：资源：组：s3.services.k8s.aws 种类: 桶名称：我的应用程序存储桶路径：“.status.arn” 至：种类：配置映射名称：应用程序配置密钥：S3_BUCKET_ARN 在 pod 中使用导出的值： api版本：v1 种类: 豆荚元数据：名称：我的应用程序命名空间：生产规格：容器： - 名称：应用程序图片：我的应用程序：最新环境来自： - 配置映射参考： name: app-config # 包含 S3_BUCKET_ARN ### 5\.采用现有的 AWS 资源无需重新创建即可导入现有 AWS 资源（在 ACK 外部创建）： api版本：services.k8s.aws/v1alpha1 种类：采用的资源元数据：名称：采用产品桶命名空间：生产规格：亚马逊： nameOrID: existing-prod-bucket-name # 现有 AWS 资源库伯内特：组：s3.services.k8s.aws 种类: 桶元数据： name: prod-bucket # Kubernetes 中的名称命名空间：生产 **流程：** 1.应用AdoptedResource清单 2. ACK描述现有的AWS资源 3. 创建具有完整规格/状态的相应 Kubernetes 资源 4. 通过 ACK 资源管理未来的更改 **好处：** * 无资源重新利用（零停机时间） * 逐步迁移到ACK * 保留现有配置 ### 6\. GitOps 集成使用 ArgoCD 或 Flux 通过 Git 管理 ACK 资源： #### ArgoCD 应用程序 api版本：argoproj.io/v1alpha1 种类：应用元数据：名称：AWS基础设施命名空间：argocd 规格：项目：默认来源：仓库地址：https://github.com/myorg/infrastructur 路径：ack-资源/生产目标修订：主要目的地：服务器：https://kubernetes.default.svc 命名空间：生产同步策略：自动化： prune: false # 安全：不要自动删除 AWS 资源 selfHeal: true # 自动纠正漂移同步选项： - 创建命名空间=true #### Flux 定制 api版本：kustomize.toolkit.fluxcd.io/v1 种类: 定制元数据：名称：AWS基础设施命名空间：通量系统规格：间隔：10m 路径：./ack-resources/生产 prune: false # 安全：不自动删除来源参考：种类：GitRepository 名称：基础设施目标命名空间：生产 **工作流程：** 1. 开发者在Git中创建/修改ACK资源 2.提交PR供审核 3. 合并到主触发器ArgoCD/Flux同步 4. ACK控制器创建/更新AWS资源 5. 持续对账确保一致性 **请参阅参考资料：** `references/gitops-patterns.md` 以获取全面的 GitOps 工作流程和最佳实践。 ### 7\.跨账户管理 (CARM) 从单个 Kubernetes 集群管理多个账户中的 AWS 资源： #### 步骤 1：使用帐户角色映射创建 ConfigMap api版本：v1 种类：ConfigMap 元数据：名称：ack-角色-帐户-映射命名空间：ack-system 数据： "111122223333": "arn:aws:iam::111122223333:角色/ack-controller-角色" "444455556666": "arn:aws:iam::444455556666:角色/ack-controller-角色" #### 步骤 2：使用帐户 ID 注释命名空间 api版本：v1 种类：命名空间元数据：姓名：A队注释： services.k8s.aws/所有者帐户 ID：“111122223333” #### 步骤 3：部署资源（使用命名空间帐户） api版本：s3.services.k8s.aws/v1alpha1 种类: 桶元数据：名称：团队一桶命名空间: team-a # 使用帐户 111122223333 规格：名称：团队一桶独特 **好处：** * 多租户独立计费 * 基于RBAC的访问控制 * 每个团队/帐户的安全边界 ### 8\.故障排除 #### 检查资源状态 # 查看资源状态 kubectl 获取buckets.s3.services.k8s.aws -n 生产 kubectl 描述存储桶 my-bucket -n 生产 # 检查状态条件 kubectl 获取存储桶 my-bucket -n 生产 -o jsonpath='{.status.conditions}' **状态条件：** * `ACK.ResourceSynced: True` \- 资源与 AWS 状态匹配 * `ACK.Terminal: True` \- 资源处于错误状态 * `ACK.Recovering: True` \- 资源从错误中恢复 #### 检查控制器日志 # 查看控制器日志 kubectl 日志 -n ack-系统部署/ack-s3-controller -f # 过滤特定资源 kubectl 日志 -n ack-系统部署/ack-s3-controller | grep 我的桶 #### 常见问题 **问题：资源陷入挂起状态** # 检查事件 kubectl 描述存储桶 my-bucket -n 生产 # 常见原因： # - 缺少 IAM 权限 # - AWS API 限制 # - 资源配置无效 **问题：漂移协调不起作用** # 验证控制器正在运行 kubectl get pods -n ack-system # 检查协调间隔（默认~10分钟） # 通过注释资源强制协调 kubectl 注释存储桶 my-bucket -n 生产力-sync="$(date +%s)" **问题：跨账户资源失败** # 验证命名空间注释 kubectl 获取命名空间 team-a -o yaml | grep 所有者帐户 ID # 验证 ConfigMap 是否具有角色映射 kubectl get configmap ack-role-account-map -n ack-system -o yaml # 检查控制器是否具有承担角色权限 ## 生产最佳实践 ### 1\.删除政策保护关键资源免遭意外删除： api版本：rds.services.k8s.aws/v1alpha1 种类：数据库实例元数据：名称：生产数据库命名空间：生产注释： services.k8s.aws/deletion-policy: keep # 删除时保留 AWS 资源规格： dbInstanceIdentifier：生产数据库 # ... 规格 **策略层次结构：** 1.资源标注（最高优先级） 2. 命名空间注解 3.控制器标志（最低优先级） **政策价值观：** * `delete` (默认): 当K8s资源删除时删除AWS资源 * `retain`: K8s资源删除时保留AWS资源 ### 2\.保密管理切勿以纯文本形式存储密码： # 创建秘密 api版本：v1 种类：秘密元数据：名称： db-credentials 命名空间：生产类型: 不透明字符串数据：密码：“安全密码123！” --- # RDS实例中的引用 api版本：rds.services.k8s.aws/v1alpha1 种类：数据库实例元数据：名称：mydb 规格：主用户密码：名称： db-credentials 密钥：密码 **更好：将外部 Secrets Operator 与 AWS Secrets Manager 结合使用进行秘密轮换。 ### 3\. IAM 最低权限授予每个控制器所需的最低权限： { "版本": "2012-10-17", “声明”：[ { "效果": "允许", “行动”：[ “s3：创建桶”， “s3：删除桶”， "s3:获取桶*", “s3:PutBucket*” ], "Resource": "arn:aws:s3:::prefix-*" // 限制为特定前缀 } ] } ### 4\.资源配额限制每个命名空间的资源创建： api版本：v1 种类：资源配额元数据：名称：aws-资源配额命名空间：生产规格：硬：计数/buckets.s3.services.k8s.aws：“10” 计数/dbinstances.rds.services.k8s.aws：“5” 计数/queues.sqs.services.k8s.aws：“20” ### 5\.监控为 ACK 控制器启用 Prometheus 指标： api版本：monitoring.coreos.com/v1 种类：服务监视器元数据：名称：ack-s3-控制器命名空间：ack-system 规格：选择器：匹配标签： app.kubernetes.io/名称：ack-s3-controller 端点： - 端口：指标间隔：30秒 **关键指标：** * `ack_resource_reconcile_duration_seconds`：协调延迟 * `ack_resource_reconcile_errors_total`: 错误计数 * `ack_resource_synced`: 资源同步状态 ### 6\.高可用性通过领导者选举运行多个控制器副本： # 头盔值副本数量：3 亲和力： podAntiAffinity： requiredDuringSchedulingIgnoredDuringExecution： - 标签选择器：匹配标签： app.kubernetes.io/名称：ack-s3-controller 拓扑键：kubernetes.io/hostname ## ACK 与替代方案 ### ACK 与 Terraform 方面|确认|地形 ---|---|--- **云支持** |仅限 AWS |多云（AWS、Azure、GCP、300 多个提供商） **范式** | Kubernetes 原生，持续协调 |基于状态、应用驱动 **成熟度** |较新的、许多 alpha API |成熟、稳定、广泛采用 **服务范围** | 14+ 正式版、12+ 预览版 | 1000 多个 AWS 资源 **漂移处理** |自动连续对账|按计划检测/应用，手动修复 **最适合** | EKS 工作负载、GitOps、以 K8s 为中心的团队 |多云、全面覆盖 **选择性方法：** 将 ACK 用于应用程序相关资源（RDS、SQS、S3 用于应用程序），将 Terraform 用于基础基础设施（VPC、IAM、网络）。 ### ACK 与 Crossplane 方面|确认|横切面 ---|---|--- **范围** |仅限 AWS |多云 **抽象** |无（1:1 AWS API）|组合（自定义抽象） **成熟度** | AWS 赞助 | CNCF项目 **最适合** |仅限 AWS 的简单用例 |多云、平台工程 **注意：** Crossplaneprovider-aws 在底层使用 ACK 代码生成。 ### ACK 与 AWS CDK 方面|确认| AWS CDK ---|---|--- **语言** | YAML（K8s 清单）| TypeScript、Python、Java、C#、Go **输出** |直接AWS API调用| CloudFormation 模板 **执行** |持续（K8s对账）|按需（CDK 部署） **最适合** | K8s 原生工作流程、GitOps |应用程序开发人员、可重用模式 ## 常见模式 ### 模式 1：应用程序堆栈在一个清单中定义整个应用程序堆栈： # 数据库.yaml api版本：rds.services.k8s.aws/v1alpha1 种类：数据库实例元数据：名称：应用程序数据库命名空间：生产规格： dbInstanceIdentifier：应用程序数据库 # ...数据库配置 --- # 队列.yaml api版本：sqs.services.k8s.aws/v1alpha1 种类：队列元数据：名称：应用程序队列命名空间：生产规格：队列名称：应用程序队列 --- # 导出应用程序的值 api版本：services.k8s.aws/v1alpha1 种类：FieldExport 元数据：名称：导出数据库端点规格：来自：资源：组：rds.services.k8s.aws 种类：数据库实例名称：应用程序数据库路径：“.status.endpoint.address” 至：种类：秘密名称：应用程序配置键：DB_HOST ### 模式 2：多区域设置跨区域部署相同的资源： # us-east-1-bucket.yaml api版本：s3.services.k8s.aws/v1alpha1 种类: 桶元数据：名称：多区域桶东命名空间：生产注释： services.k8s.aws/区域：us-east-1 规格：名称： my-bucket-us-east-1-unique --- # us-west-2-bucket.yaml api版本：s3.services.k8s.aws/v1alpha1 种类: 桶元数据：名称：多区域桶西命名空间：生产注释： services.k8s.aws/区域：us-west-2 规格：名称： my-bucket-us-west-2-unique ### 模式三：环境提升使用 Kustomize 叠加层进行特定于环境的配置：确认资源/ ├── 基地/ │ ├── kustomization.yaml │ ├── rds-instance.yaml │ └── s3-bucket.yaml ├── 叠加/ │ ├── 开发/ │ │ └── kustomization.yaml # db.t3.small，单可用区 │ ├── 分期/ │ │ └── kustomization.yaml # db.t3.medium，多可用区 │ └── 生产/ │ └── kustomization.yaml # db.r5.large，多可用区，加密 ## 后续步骤 ### 用于安装和配置 → 请参阅“references/controller-setup.md”： * 所有 14+ 控制器的详细安装 * 每个服务的 IAM 策略模板 * IRSA配置示例 * 控制器配置选项 * 多控制器设置 * 升级程序 ### 资源定义和示例 → 请参阅“references/resource-definitions.md”： * 所有 AWS 服务的综合示例 * S3、RDS、DynamoDB、SQS、SNS、Lambda、ECR、IAM、EC2、EKS * 具有加密、备份、HA 的生产配置 * 跨资源参考 * 字段导出到 ConfigMaps/Secrets * 采用现有的AWS资源 ### 对于 GitOps 集成 → 请参阅 `references/gitops-patterns.md`： * ArgoCD集成模式 * Flux CD 集成模式 * 多集群GitOps * 环境促进策略 * 偏差检测与协调 * 灾难恢复程序 * 使用外部秘密操作员进行秘密管理 ## 资源 **官方文档：** * ACK 社区： * GitHub： * 服务列表： **容器图像：** * ECR 公共画廊： **学习：** * EKS 研讨会： * AWS 博客 (ACK)：（过滤器：ACK） **常用命令：** # 列出命名空间中的所有ACK资源 kubectl get services.k8s.aws -n <命名空间> # 用事件描述ACK资源 kubectl 描述bucket.s3.services.k8s.aws <名称> -n <命名空间> # 查看控制器日志 kubectl 日志 -n ack-系统部署/ack-s3-controller -f # 将资源导出到 YAML kubectl get bucket.s3.services.k8s.aws <名称> -n <命名空间> -o yaml # 验证资源（试运行） kubectl apply --dry-run=server -f bucket.yaml ## 总结 ACK 将 AWS 资源管理引入 Kubernetes 生态系统，通过 GitOps 工作流程实现真正的基础设施即代码。它非常适合运行 EKS 工作负载、需要应用程序与 AWS 服务之间紧密集成的团队，并且可以灵活地使用熟悉的 Kubernetes 工具和流程。 **最佳实践：** 有选择地将 ACK 用于应用程序相关资源（数据库、队列、应用程序存储），同时将 Terraform 用于基础基础设施（VPC、IAM 角色、网络）。这种混合方法结合了两种工具的优点。

确认资源

包含技能