IAM und Abrechnung

Über AWS Marketplace wird FineParser Enterprise pro Worker-Pod-Stunde zum im Angebot ausgewiesenen Tarif abgerechnet. Jeder Worker registriert sich beim Start bei AWS Marketplace, und seine Nutzung wird erfasst, bis er gestoppt wird. Orchestrator und Ingest-Service werden nicht abgerechnet, sodass für einen auf null skalierten Pool keine Softwaregebühren anfallen. Worker, die aufgrund von scaling.minWorkers weiterlaufen, werden abgerechnet – unabhängig davon, ob sie Aufgaben bearbeiten oder nicht. Worker registrieren sich über IAM-Rollen für Dienstkonten (IRSA) mit einer IAM-Rolle in Ihrem Konto. EKS Pod Identity, Knotenrollen und Zugriffsschlüssel werden nicht unterstützt. Ein Worker, der sich nicht registrieren kann, wird beendet, ohne Aufgaben zu übernehmen.

Rolle und Dienstkonto erstellen

Die Rolle benötigt die von AWS verwaltete Richtlinie AWSMarketplaceMeteringRegisterUsage und muss dem Dienstkonto vertrauen, unter dem das Release ausgeführt wird.

AWSMarketplaceMeteringFullAccess gewährt trotz des Namens keine Berechtigung für RegisterUsage. Worker, die damit signieren, werden abgewiesen.

Eigenes Dienstkonto
Vom Chart erstelltes Dienstkonto

eksctl erstellt die Rolle und ein annotiertes Dienstkonto in einem Schritt:

eksctl create iamserviceaccount \
  --cluster <cluster> --region <region> \
  --namespace fineparser --name fineparser \
  --role-name FineParserMetering \
  --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
  --approve

fineparser-values.yaml

serviceAccount:
  create: false
  name: fineparser

Die Startanweisungen von AWS Marketplace füllen serviceAccount.name möglicherweise vorab aus. Der Wert muss auf ein Dienstkonto verweisen, das auf diese Weise eingerichtet wurde.

Bei einem Release mit dem Namen fineparser erhält das Dienstkonto des Charts den Namen fineparser-orchestrator. Erstellen Sie eine Rolle, die diesem Namen vertraut, und versehen Sie das Konto des Charts anschließend mit einer entsprechenden Annotation:

eksctl create iamserviceaccount \
  --cluster <cluster> --region <region> \
  --namespace fineparser --name fineparser-orchestrator \
  --role-name FineParserMetering --role-only \
  --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
  --approve

fineparser-values.yaml

serviceAccount:
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::<account>:role/FineParserMetering

Wenn Sie die Rolle auf andere Weise erstellen, muss ihre Vertrauensrichtlinie sts:AssumeRoleWithWebIdentity für den OIDC-Provider des Clusters zulassen, wobei sub auf system:serviceaccount:<namespace>:<service-account> und aud auf sts.amazonaws.com gesetzt sein muss.

Region

Worker registrieren sich in der Region, die vom EKS Pod Identity Webhook injiziert wird. Legen Sie awsMarketplace.region nur dann fest, wenn Ihr Cluster AWS_REGION nicht injiziert.

Abrechnung überprüfen

Sobald ein Job einen Worker gestartet hat:

kubectl -n fineparser logs deploy/fineparser-worker | grep billing
# billing: bei AWS Marketplace registriert; dieser Pod wird stündlich abgerechnet

Jede andere Ausgabe nennt das Problem. Siehe Fehlerbehebung.

Erste Schritte

Grundlagen

Konzepte

Bewährte Vorgehensweisen

AWS

Referenz

Rolle und Dienstkonto erstellen

Region

Abrechnung überprüfen

​Rolle und Dienstkonto erstellen

​Region

​Abrechnung überprüfen

Rolle und Dienstkonto erstellen

Region

Abrechnung überprüfen