Bantu meningkatkan halaman ini

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk berkontribusi pada panduan pengguna ini, pilih GitHub tautan Edit halaman ini di yang terletak di panel kanan setiap halaman.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi perutean keluar pesawat kontrol

Secara default, Amazon EKS mengelola jaringan keluar dari bidang kontrol Kubernetes ke sumber daya di VPC Anda. Gunakan perutean keluar pesawat kontrol untuk mengubah perilaku ini dan mengelola sendiri jalur jaringan. Ini memberi Anda kontrol penuh atas bagaimana lalu lintas dari antarmuka jaringan elastis bidang kontrol (ENI) mencapai sumber daya VPC Anda. Anda dapat merutekan melalui gateway NAT, firewall, atau peralatan inspeksi Anda sendiri.

Mode perutean keluar

Amazon EKS mendukung mode routing keluar pesawat kontrol berikut:

Prasyarat

VPC dan subnet Anda harus memenuhi persyaratan jaringan Amazon EKS standar. Untuk informasi selengkapnya, lihat Lihat persyaratan jaringan Amazon EKS untuk VPC dan subnet.

Dalam CUSTOMER_ROUTED mode, server API Kubernetes mengirimkan lalu lintas yang menghadap pelanggan keluar melalui antarmuka jaringan lintas akun. Amazon EKS sudah membuat antarmuka ini di subnet Anda untuk komunikasi bidang kontrol ke node. Lalu lintas ini mencakup panggilan ke webhook masuk dan penyedia OIDC. Amazon EKS tidak membuat antarmuka jaringan keluar terpisah. Mode ini mengubah cara antarmuka yang ada digunakan. Subnet yang memegang antarmuka ini harus memenuhi persyaratan berikut:

Dalam CUSTOMER_ROUTED mode, bidang kontrol menyelesaikan nama host menggunakan konfigurasi DNS VPC Anda. Hal ini memungkinkan bidang kontrol untuk mencapai titik akhir di zona host pribadi Route 53 dan DNS lokal yang diteruskan melalui titik akhir Route 53 Resolver.

Tabel berikut merangkum lalu lintas yang dikirim pesawat kontrol melalui VPC Anda dalam mode: CUSTOMER_ROUTED

Buat cluster dengan keluar yang dirutekan pelanggan

Anda dapat menentukan mode keluar bidang kontrol saat Anda membuat cluster baru.

Anda dapat menggunakan ipFamily=ipv6 untuk cluster IPv6. Saat menggunakan IPv6 dengan CUSTOMER_ROUTED mode, pastikan subnet Anda memiliki gateway internet khusus keluar untuk lalu lintas IPv6 selain gateway NAT untuk lalu lintas IPv4.

Untuk AWS CloudFormation, ControlPlaneEgressMode: CUSTOMER_ROUTED aturResourcesVpcConfig. Dukungan Terraform untuk bidang ini akan tersedia dalam rilis Penyedia di masa mendatang. AWS

Memperbarui cluster yang ada

Anda dapat mengubah mode keluar bidang kontrol pada cluster yang ada menggunakan update-cluster-config perintah.

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Pantau status pembaruan:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

Pembaruan selesai ketika status ditampilkanSuccessful. Jenis pembaruannya adalahControlPlaneEgressUpdate. Pembaruan biasanya selesai dalam waktu 10 menit.

Pertimbangan IPv6

Jika Anda menjalankan cluster IPv6 dengan keluaran yang dirutekan pelanggan, Anda perlu mengonfigurasi jalur keluar IPv4 dan IPv6.

Saat menjalankan cluster IPv6 (ipFamily=ipv6) dengan keluarCUSTOMER_ROUTED:

Pertimbangan-pertimbangan

Ingatlah poin-poin berikut saat Anda menggunakan pintu keluar pesawat kontrol yang dirutekan pelanggan:

Kunci kondisi IAM

Amazon EKS mendukung kunci eks:controlPlaneEgressMode kondisi. Anda dapat menggunakan kunci ini dalam kebijakan IAM atau kebijakan kontrol layanan (SCP) untuk mengontrol pemanggil mode keluar mana yang dapat menentukan kapan mereka membuat atau memperbarui cluster.

Kunci kondisi berlaku untuk tindakan berikut:

Misalnya, SCP berikut menolak pembuatan cluster dan pembaruan konfigurasi kecuali pemanggil menentukan: CUSTOMER_ROUTED

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Gunakan kebijakan ini untuk memaksakan bahwa semua cluster baru dan yang diperbarui di organisasi Anda menggunakan CUSTOMER_ROUTED mode keluar.

Konfigurasi penyedia OIDC

Jika cluster Anda menggunakan penyedia identitas OIDC, bidang kontrol harus dapat mencapai titik akhir penemuan OIDC melalui HTTPS (port 443). Ini berlaku untuk peran IAM untuk akun layanan, atau penyedia identitas OIDC yang Anda kaitkan untuk otentikasi cluster. Tidak ada OIDC-specific pengaturan; ia menggunakan jalur keluar yang sama yang Anda konfigurasikan di Pras yarat. Untuk mengizinkannya:

Titik akhir tergantung pada penyedia Anda:

Jika otentikasi OIDC gagal, untuk langkah-langkah pemecahan masalah lihatPenyedia OIDC tidak terjangkau.

Verifikasi konektivitas

Setelah mengonfigur CUSTOMER_ROUTED asi keluar, verifikasi bahwa bidang kontrol dapat mencapai sumber daya VPC Anda:

Untuk mengatasi masalah umum, lihatMemecahkan masalah jalan keluar pesawat kontrol.

📝 Edit halaman ini di GitHub