IAM et facturation

Sur AWS Marketplace, FineParser Enterprise est facturé à l’heure de pod de traitement, au tarif indiqué dans l’offre. Chaque processus de traitement s’enregistre auprès d’AWS Marketplace à son démarrage, et son utilisation est mesurée jusqu’à son arrêt. L’orchestrateur et le service d’ingestion ne sont pas facturés : un pool réduit à zéro n’entraîne donc aucuns frais logiciels. Les processus de traitement maintenus actifs par scaling.minWorkers sont facturés, qu’ils aient ou non des tâches à traiter. Les processus de traitement s’enregistrent au moyen d’un rôle IAM de votre compte, via les rôles IAM pour les comptes de service (IRSA). EKS Pod Identity, les rôles de nœud et les clés d’accès ne sont pas pris en charge. Un processus de traitement qui ne parvient pas à s’enregistrer s’arrête sans prendre en charge aucune tâche.

Créer le rôle et le compte de service

Le rôle nécessite la stratégie gérée par AWS AWSMarketplaceMeteringRegisterUsage et doit faire confiance au compte de service sous lequel la release s’exécute.

Malgré son nom, AWSMarketplaceMeteringFullAccess n’accorde pas RegisterUsage. Les requêtes des processus de traitement signées avec cette stratégie sont refusées.

Votre propre compte de service
Compte de service créé par le chart

eksctl crée à la fois le rôle et un compte de service annoté :

eksctl create iamserviceaccount \
  --cluster <cluster> --region <region> \
  --namespace fineparser --name fineparser \
  --role-name FineParserMetering \
  --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
  --approve

fineparser-values.yaml

serviceAccount:
  create: false
  name: fineparser

Les instructions de lancement d’AWS Marketplace peuvent renseigner serviceAccount.name. Cette valeur doit désigner un compte de service configuré de cette manière.

Pour une release nommée fineparser, le chart nomme son compte de service fineparser-orchestrator. Créez un rôle qui fait confiance à ce nom, puis ajoutez au compte du chart une annotation faisant référence à ce rôle :

eksctl create iamserviceaccount \
  --cluster <cluster> --region <region> \
  --namespace fineparser --name fineparser-orchestrator \
  --role-name FineParserMetering --role-only \
  --attach-policy-arn arn:aws:iam::aws:policy/AWSMarketplaceMeteringRegisterUsage \
  --approve

fineparser-values.yaml

serviceAccount:
  annotations:
    eks.amazonaws.com/role-arn: arn:aws:iam::<account>:role/FineParserMetering

Si vous créez le rôle autrement, sa stratégie d’approbation doit autoriser sts:AssumeRoleWithWebIdentity depuis le fournisseur OIDC du cluster, avec sub défini sur system:serviceaccount:<namespace>:<service-account> et aud défini sur sts.amazonaws.com.

Région

Les processus de traitement s’enregistrent dans la région injectée par le webhook EKS Pod Identity. Ne définissez awsMarketplace.region que si votre cluster n’injecte pas AWS_REGION.

Vérifier le bon fonctionnement de la facturation

Une fois qu’une tâche a lancé un processus de traitement :

kubectl -n fineparser logs deploy/fineparser-worker | grep billing
# billing: enregistré auprès d'AWS Marketplace, ce pod est facturé à l'heure

Tout autre résultat indique la nature du problème. Voir Dépannage.

Prise en main

Notions de base

Concepts

Bonnes pratiques

AWS

Référence

Créer le rôle et le compte de service

Région

Vérifier le bon fonctionnement de la facturation

​Créer le rôle et le compte de service

​Région

​Vérifier le bon fonctionnement de la facturation

Créer le rôle et le compte de service

Région

Vérifier le bon fonctionnement de la facturation