Crossplane Stack for Amazon Web Services (AWS) 镜像文档

1. 镜像概述和主要用途

Crossplane Stack for Amazon Web Services (AWS) 是 Crossplane 生态系统中的核心组件，旨在通过 Kubernetes API 原生管理 Amazon Web Services (AWS) 云资源。该镜像封装了 AWS 云服务的适配器逻辑，允许用户以声明式方式定义、部署和管理 AWS 资源（如 EC2 实例、S3 存储桶、RDS 数据库等），实现基础设施即代码 (IaC) 的 Kubernetes 原生体验。

其核心用途包括：

• 将 AWS 资源管理能力集成到 Kubernetes 控制平面
• 统一云资源与 Kubernetes 应用的声明式编排
• 通过 Crossplane 的组合 (Composition) 和复合资源 (XR) 抽象，实现可重用、标准化的云资源模板

2. 核心功能和特性

2.1 多 AWS 服务支持

覆盖 AWS 核心服务的资源管理，包括但不限于：

• 计算：EC2、ECS、EKS
• 存储：S3、EBS、EFS
• 数据库：RDS、DynamoDB
• 网络：VPC、EC2 网络接口、Route 53
• 安全：IAM、KMS、Security Group

2.2 Kubernetes 原生 API

• 提供 CRD (Custom Resource Definition) 形式的 AWS 资源抽象，支持通过 kubectl 直接操作
• 兼容 Kubernetes 自愈能力：资源状态实时同步，自动修复偏离预期状态的配置

2.3 声明式资源管理

• 基于 YAML 声明资源期望状态，Crossplane 自动处理实际状态与期望状态的一致性
• 支持资源依赖管理（如先创建 VPC 再创建 EC2 实例）

2.4 策略与安全控制

• 集成 IAM 角色权限控制，支持基于 Kubernetes ServiceAccount 的细粒度权限分配
• 支持资源标签、命名规范等策略的强制执行（通过 Crossplane Policy）

2.5 可组合的资源模板

• 通过 Composition 将底层 AWS 资源组合为高层抽象（如“应用环境”包含 VPC、RDS、S3）
• 支持多团队资源隔离与标准化交付

3. 使用场景和适用范围

3.1 云资源编排与自动化

• 替代传统 IaC 工具（如 Terraform），实现 Kubernetes 集群内的一站式资源管理
• 自动化多环境（开发、测试、生产）的 AWS 资源部署

3.2 多团队云资源治理

• 平台团队通过 Composition 定义标准化资源模板，业务团队直接使用高层抽象资源
• 基于 Kubernetes RBAC 实现资源访问控制，确保团队间资源隔离

3.3 混合云/多云环境管理

• 在混合云架构中统一管理 AWS 与其他云厂商资源（需配合其他 Crossplane Provider）
• 降低多云环境下的工具链复杂度

3.4 DevOps 与 GitOps 集成

• 与 GitOps 工具（如 ArgoCD、Flux）结合，实现资源配置的版本控制与自动部署
• 支持 CI/CD 流水线中嵌入 AWS 资源 provisioning 步骤

4. 详细的使用方法和配置说明

4.1 前置条件

• 运行中的 Kubernetes 集群（v1.21+）
• Crossplane 核心组件已安装（参考 Crossplane ***安装文档）
• AWS 账户及 IAM 凭证（需具备目标资源的管理权限）

4.2 安装 AWS Stack

4.2.1 通过 Crossplane Package 安装

yaml
# 应用 Provider 配置
apiVersion: pkg.crossplane.io/v1
kind: Provider
metadata:
  name: provider-aws
spec:
  package: xpkg.upbound.io/crossplane-contrib/provider-aws:v0.41.0  # 版本需与 Crossplane 兼容

执行：

bash
kubectl apply -f provider-aws.yaml

4.2.2 验证安装

bash
kubectl get providers
# 输出示例：
# NAME           INSTALLED   HEALTHY   PACKAGE                                          AGE
# provider-aws   True        True      xpkg.upbound.io/crossplane-contrib/provider-aws   5m

4.3 配置 AWS 凭证

4.3.1 创建 AWS 凭证 Secret

将 AWS 访问密钥（AWS_ACCESS_KEY_ID 和 AWS_SECRET_ACCESS_KEY）存储为 Kubernetes Secret：

yaml
apiVersion: v1
kind: Secret
metadata:
  name: aws-creds
  namespace: crossplane-system
type: Opaque
data:
  access-key-id: <base64-encoded-AWS_ACCESS_KEY_ID>
  secret-access-key: <base64-encoded-AWS_SECRET_ACCESS_KEY>

执行：

bash
kubectl apply -f aws-creds.yaml

4.3.2 配置 ProviderConfig

关联 Secret 与 AWS Stack，定义默认区域等参数：

yaml
apiVersion: aws.crossplane.io/v1beta1
kind: ProviderConfig
metadata:
  name: default
spec:
  credentials:
    source: Secret
    secretRef:
      namespace: crossplane-system
      name: aws-creds
      key: access-key-id
      key: secret-access-key
  region: us-west-2  # 替换为目标 AWS 区域

执行：

bash
kubectl apply -f provider-config.yaml

4.4 创建 AWS 资源示例

4.4.1 创建 S3 存储桶

yaml
apiVersion: s3.aws.crossplane.io/v1beta1
kind: Bucket
metadata:
  name: crossplane-demo-bucket
spec:
  forProvider:
    region: us-west-2
    acl: private
  providerConfigRef:
    name: default  # 关联上述 ProviderConfig

执行：

bash
kubectl apply -f s3-bucket.yaml

4.4.2 验证资源状态

bash
kubectl get bucket crossplane-demo-bucket
# 输出示例（状态为 READY 表示创建成功）：
# NAME                     READY   SYNCED   EXTERNAL-NAME             AGE
# crossplane-demo-bucket   True    True     crossplane-demo-bucket    2m

4. Docker 部署方案示例

Crossplane Stack for AWS 通常作为 Kubernetes 集群内的 Pod 运行，以下为容器镜像及部署配置参考：

4.1 镜像信息

• 镜像名称：xpkg.upbound.io/crossplane-contrib/provider-aws
• 常用标签：v0.41.0（需与 Crossplane 核心版本兼容，参考 ***版本矩阵）

4.2 Kubernetes 部署示例（Provider Pod）

Crossplane 通过 Provider CRD 自动部署 Stack 容器，底层 Deployment 配置示例：

yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: crossplane-provider-aws
  namespace: crossplane-system
spec:
  replicas: 1
  selector:
    matchLabels:
      pkg.crossplane.io/provider: provider-aws
  template:
    metadata:
      labels:
        pkg.crossplane.io/provider: provider-aws
    spec:
      containers:
      - name: provider
        image: xpkg.upbound.io/crossplane-contrib/provider-aws:v0.41.0
        args:
        - --debug
        resources:
          limits:
            cpu: 100m
            memory: 128Mi
          requests:
            cpu: 100m
            memory: 128Mi

5. 配置参数与环境变量

5.1 核心配置参数（通过 ProviderConfig）

5.2 环境变量（容器级）

6. 注意事项

• 确保 Crossplane 核心版本与 Stack 版本兼容（参考***版本矩阵）
• AWS 凭证需最小权限原则，避免过度授权
• 大型资源（如 EKS 集群）创建耗时较长，需耐心等待状态同步
• 生产环境建议启用 IRSA（IAM Roles for Service Accounts）替代静态密钥

参考资料

• Crossplane ***文档
• AWS Provider CRD 参考
• Crossplane AWS 示例库