**Bantu meningkatkan halaman ini **
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
Untuk berkontribusi pada panduan pengguna ini, pilih GitHub ** tautan ** Edit halaman ini di yang terletak di panel kanan setiap halaman.
Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.
# Menyebarkan cluster pribadi dengan akses internet terbatas
Topik ini menjelaskan cara menerapkan cluster Amazon EKS yang digunakan di AWS Cloud, tetapi tidak memiliki akses internet keluar. Jika Anda memiliki cluster lokal di AWS Outpost, lihat[Buat node Amazon Linux di AWS Outposts](eks-outposts-self-managed-nodes.md), alih-alih topik ini.
**catatan**
Topik ini mencakup keluar bidang data (node dan beban kerja tanpa akses internet keluar). Untuk mengontrol bagaimana lalu lintas keluar dari bidang * kontrol cluster * mencapai VPC Anda, lihat. [Mengkonfigurasi perutean keluar pesawat kontrol](control-plane-egress.md)
Jika Anda tidak terbiasa dengan jaringan Amazon EKS, lihat jaringan [ De-mystifying cluster untuk node pekerja Amazon EKS](https://aws.amazon.com/blogs/containers/de-mystifying-cluster-networking-for-amazon-eks-worker-nodes). Jika cluster Anda tidak memiliki akses internet keluar, maka cluster harus memenuhi persyaratan berikut:
## Persyaratan arsitektur cluster
+ Cluster Anda harus menarik gambar dari registri kontainer yang ada di VPC Anda. Anda dapat membuat Amazon Elastic Container Registry di VPC Anda dan menyalin gambar kontainer ke dalamnya untuk diambil node Anda. Untuk informasi selengkapnya, lihat [Salin gambar kontainer dari satu repositori ke repositori lain](copy-image-to-repository.md).
+ Cluster Anda harus mengaktifkan akses pribadi titik akhir. Ini diperlukan untuk node untuk mendaftar dengan titik akhir cluster. titik akhir akses publik adalah opsional. Untuk informasi selengkapnya, lihat [Titik akhir server API klaster](cluster-endpoint.md).
## Persyaratan simpul
+ Self-managed Node Linux dan Windows harus menyertakan argumen bootstrap berikut sebelum diluncurkan. Argumen ini melewati introspeksi Amazon EKS dan tidak memerlukan akses ke Amazon EKS API dari dalam VPC.
1. Tentukan nilai titik akhir cluster Anda dengan perintah berikut. Ganti {{my-cluster}} dengan nama klaster Anda.
```
aws eks describe-cluster --name my-cluster --query cluster.endpoint --output text
```
Contoh output adalah sebagai berikut.
```
https://EXAMPLE108C897D9B2F1B21D5EXAMPLE.sk1.region-code.eks.amazonaws.com
```
1. Tentukan nilai otoritas sertifikat cluster Anda dengan perintah berikut. Ganti {{my-cluster}} dengan nama klaster Anda.
```
aws eks describe-cluster --name my-cluster --query cluster.certificateAuthority --output text
```
Output yang dikembalikan adalah string panjang.
1. Ganti nilai `apiServerEndpoint` dan `certificateAuthority` dalam NodeConfig objek dengan nilai-nilai yang dikembalikan dalam output dari perintah sebelumnya. Untuk informasi selengkapnya tentang menentukan argumen bootstrap saat meluncurkan node Amazon Linux 2023 yang dikelola sendiri, lihat [Buat node Amazon Linux yang dikelola sendiri](launch-workers.md) dan. [Buat node Microsoft Windows yang dikelola sendiri](launch-windows-workers.md)
+ Untuk node Linux:
```
---
MIME-Version: 1.0
Content-Type: multipart/mixed; boundary="BOUNDARY"
--BOUNDARY
Content-Type: application/node.eks.aws
---
apiVersion: node.eks.aws/v1alpha1
kind: NodeConfig
spec:
cluster:
name: my-cluster
apiServerEndpoint: https://EXAMPLE108C897D9B2F1B21D5EXAMPLE.sk1.region-code.eks.amazonaws.com
certificateAuthority: Y2VydGlmaWNhdGVBdXRob3JpdHk=
...
```
Untuk argumen tambahan, lihat skrip [ bootstrap aktif](https://github.com/awslabs/amazon-eks-ami/blob/main/templates/al2/runtime/bootstrap.sh). GitHub
+ Untuk node Windows:
**catatan**
Jika Anda menggunakan layanan kustom CIDR, maka Anda perlu menentukannya menggunakan `-ServiceCIDR` parameter. Jika tidak, resolusi DNS untuk Pod di cluster akan gagal.
```
-APIServerEndpoint cluster-endpoint -Base64ClusterCA certificate-authority
```
Untuk argumen tambahan, lihat[Parameter konfigurasi skrip bootstrap](eks-optimized-windows-ami.md#bootstrap-script-configuration-parameters).
+ Cluster Anda `aws-auth` `ConfigMap` harus dibuat dari dalam VPC Anda. Untuk informasi lebih lanjut tentang membuat dan menambahkan entri ke `aws-auth``ConfigMap`, masukkan `eksctl create iamidentitymapping --help` di terminal Anda. Jika `ConfigMap` tidak ada di server Anda, `eksctl` akan membuatnya ketika Anda menggunakan perintah untuk menambahkan pemetaan identitas.
## Persyaratan pod
+ **Pod Identity ** - Pod yang dikonfigurasi dengan EKS Pod Identity memperoleh kredenSIAL dari EKS Auth API. Jika tidak ada akses internet keluar, Anda harus membuat dan menggunakan titik akhir VPC untuk EKS Auth API:. `com.amazonaws.region-code.eks-auth` Untuk informasi selengkapnya tentang titik akhir EKS dan EKS Auth VPC, lihat. [Akses Amazon EKS menggunakan AWS PrivateLink](vpc-interface-endpoints.md)
+ **IRSA ** - Pod yang dikonfigurasi dengan peran [ IAM untuk akun layanan ](iam-roles-for-service-accounts.md) memperoleh kredenSIAL dari panggilan API Layanan Token AWS Keamanan (AWS STS). Jika tidak ada akses internet keluar, Anda harus membuat dan menggunakan titik akhir AWS STS VPC di VPC Anda. Sebagian besar AWS `v1` SDK menggunakan titik akhir AWS STS global secara default (`sts.amazonaws.com`), yang tidak menggunakan titik akhir AWS STS VPC. Untuk menggunakan titik akhir AWS STS VPC, Anda mungkin perlu mengonfigurasi SDK Anda untuk menggunakan titik akhir AWS STS regional (`sts.{{region-code}}.amazonaws.com`). Untuk informasi selengkapnya, lihat [Konfigurasikan AWS Titik akhir Layanan Token Keamanan untuk akun layanan](configure-sts-endpoint.md).
Untuk mengatur IRSA, Anda juga perlu mencapai titik akhir OIDC cluster dari discovery/JWKS dalam VPC. Misalnya, Anda mencapainya saat membuat penyedia identitas IAM OIDC cluster atau menjalankan validator token Anda sendiri. Jika tidak ada akses internet keluar, buat dan gunakan titik akhir VPC untuk titik akhir OIDC cluster:. `com.amazonaws.{{region-code}}.oidc-eks` Ini terpisah dari titik akhir AWS STS VPC. STS mengambil JWKS cluster dari dalam AWS, sehingga titik akhir OIDC memprivatisasi lalu lintas OIDC Anda, sementara titik akhir STS VPC-originated memprivatisasi panggilan. `AssumeRoleWithWebIdentity` Untuk informasi selengkapnya, lihat [Akses titik akhir OIDC cluster menggunakan AWS PrivateLink](vpc-interface-endpoints.md#oidc-vpc-interface-endpoints).
+ Subnet VPC cluster Anda harus memiliki titik akhir antarmuka VPC untuk AWS layanan apa pun yang perlu diakses oleh Pod Anda. Untuk informasi selengkapnya, lihat Meng [ akses AWS layanan menggunakan antarmuka titik akhir VPC. ](https://docs.aws.amazon.com/vpc/latest/privatelink/create-interface-endpoint.html) Beberapa layanan dan titik akhir yang umum digunakan tercantum dalam tabel berikut. Untuk daftar lengkap titik akhir, lihat [AWS layanan yang terintegrasi dengan AWS PrivateLink ](https://docs.aws.amazon.com/vpc/latest/privatelink/aws-services-privatelink-support.html) dalam [AWS PrivateLink Panduan](https://docs.aws.amazon.com/vpc/latest/privatelink/).
Sebaiknya aktifkan nama DNS pribadi [ untuk titik akhir VPC Anda, sehingga beban kerja dapat terus menggunakan titik akhir AWS layanan publik tanpa masalah. ](https://docs.aws.amazon.com/vpc/latest/privatelink/interface-endpoints.html#enable-private-dns-names)
[See the AWS documentation website for more details](http://docs.aws.amazon.com/id_id/eks/latest/userguide/private-clusters.html)
+ Setiap node yang dikelola sendiri harus digunakan ke subnet yang memiliki titik akhir antarmuka VPC yang Anda butuhkan. Jika Anda membuat grup node terkelola, grup keamanan titik akhir antarmuka VPC harus mengizinkan CIDR untuk subnet, atau Anda harus menambahkan grup keamanan node yang dibuat ke grup keamanan titik akhir antarmuka VPC.
+ **Penyimpanan EFS ** - Jika Pod Anda menggunakan volume Amazon EFS, maka sebelum menerapkan S [ impan sistem file elastis dengan Amazon EFS](efs-csi.md), [ file ](https://github.com/kubernetes-sigs/aws-efs-csi-driver/blob/master/deploy/kubernetes/overlays/stable/kustomization.yaml) kustomization.yaml driver harus diubah untuk mengatur gambar kontainer agar menggunakan Wil AWS ayah yang sama dengan cluster Amazon EKS.
+ Jika Anda menggunakan EKS Optimized AMI, Anda harus mengaktifkan `ec2` titik akhir pada tabel di atas. Atau, Anda dapat mengatur nama DNS Node secara manual. AMI yang dioptimalkan menggunakan API EC2 untuk mengatur nama DNS node secara otomatis.
+ Anda dapat menggunakan [AWS Load Balancer Controller ](aws-load-balancer-controller.md) untuk menerapkan Appl AWS ication Load Balancers (ALB) dan Network Load Balancers ke cluster pribadi Anda. Saat menyebarkannya, Anda harus menggunakan flag [ baris perintah ](https://kubernetes-sigs.github.io/aws-load-balancer-controller/latest/deploy/configurations/#controller-command-line-flags) untuk menyetel`enable-shield`,`enable-waf`, dan `enable-wafv2` false. [Penemuan sertifikat ](https://kubernetes-sigs.github.io/aws-load-balancer-controller/latest/guide/ingress/cert_discovery/#discover-via-ingress-rule-host) dengan nama host dari objek Ingress tidak didukung. Ini karena pengontrol perlu mencapai Manajer AWS Sertifikat, yang tidak memiliki titik akhir antarmuka VPC.
Pengendali yang didukung pada penyeimbang beban jaringan dengan target IP, yang diperlukan untuk penggunaan pada Fargate. Untuk informasi selengkapnya, lihat [Rute aplikasi dan lalu lintas HTTP dengan Application Load Balancers](alb-ingress.md) dan [Buat penyeimbang beban jaringan](network-load-balancing.md#network-load-balancer).
+ [Cluster Autoscaler ](https://github.com/kubernetes/autoscaler/blob/master/cluster-autoscaler/cloudprovider/aws/README.md) didukung. Saat menerapkan Cluster Autoscaler Pod, pastikan baris perintah menyertakan. `--aws-use-static-instance-list=true` Untuk informasi selengkapnya, lihat [ Menggunakan Daftar Instans Statis ](https://github.com/kubernetes/autoscaler/blob/master/cluster-autoscaler/cloudprovider/aws/README.md#use-static-instance-list) pada GitHub. Node pekerja VPC juga harus menyertakan titik akhir VPC AWS STS dan titik akhir VPC penskalaan otomatis.
+ Beberapa produk perangkat lunak kontainer menggunakan panggilan API yang mengakses Layanan AWS Pengukuran Marketplace untuk memantau penggunaan. Cluster pribadi tidak mengizinkan panggilan ini, jadi Anda tidak dapat menggunakan jenis kontainer ini di cluster pribadi.