Contribuisci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina su che si trova nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Configurazione del routing in uscita dal piano di controllo

Per impostazione predefinita, Amazon EKS gestisce la rete in uscita dal piano di controllo di Kubernetes alle risorse nel tuo VPC. Usa il routing in uscita del piano di controllo per modificare questo comportamento e gestire tu stesso il percorso di rete. Questo ti dà il pieno controllo sul modo in cui il traffico proveniente dalle interfacce di rete elastiche (ENI) del piano di controllo raggiunge le tue risorse VPC. È possibile eseguire il routing attraverso i propri gateway NAT, firewall o dispositivi di ispezione.

Modalità di routing in uscita

Amazon EKS supporta le seguenti modalità di routing in uscita dal piano di controllo:

Prerequisiti

Il tuo VPC e le tue sottoreti devono soddisfare i requisiti di rete standard di Amazon EKS. Per ulteriori informazioni, consulta Visualizzazione di requisiti di rete di Amazon EKS per VPC e sottoreti.

In CUSTOMER_ROUTED modalità, il server API Kubernetes invia il traffico rivolto ai clienti in uscita attraverso le interfacce di rete tra account. Amazon EKS crea già queste interfacce nelle tue sottoreti per la comunicazione tra piano di controllo e nodo. Questo traffico include le chiamate ai webhook di ammissione e ai provider OIDC. Amazon EKS non crea interfacce di rete di uscita separate. Questa modalità modifica il modo in cui vengono utilizzate le interfacce esistenti. Le sottoreti che contengono queste interfacce devono soddisfare i seguenti requisiti:

In CUSTOMER_ROUTED modalità, il piano di controllo risolve i nomi host utilizzando la configurazione DNS del VPC. Ciò consente al piano di controllo di raggiungere gli endpoint nelle zone private ospitate di Route 53 e il DNS locale inoltrato tramite gli endpoint Route 53 Resolver.

La tabella seguente riassume il traffico che il piano di controllo invia attraverso il tuo VPC in modalità: CUSTOMER_ROUTED

Crea un cluster con i dati di uscita indirizzati dal cliente

È possibile specificare la modalità di uscita del piano di controllo quando si crea un nuovo cluster.

È possibile utilizzarlo ipFamily=ipv6 per i cluster IPv6. Quando utilizzi IPv6 con CUSTOMER_ROUTED modalità, assicurati che le sottoreti dispongano di un gateway Internet di sola uscita per il traffico IPv6 oltre a un gateway NAT per il traffico IPv4.

Per AWS CloudFormation, imposta ControlPlaneEgressMode: CUSTOMER_ROUTEDResourcesVpcConfig. Il supporto Terraform per questo campo sarà disponibile in una versione futura del AWS Provider.

Aggiornare un cluster esistente

È possibile modificare la modalità di uscita del piano di controllo su un cluster esistente utilizzando il comando. update-cluster-config

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Monitora lo stato dell'aggiornamento:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

L'aggiornamento è completo quando viene visualizzato lo statoSuccessful. Il tipo di aggiornamento èControlPlaneEgressUpdate. L'aggiornamento viene in genere completato entro 10 minuti.

Considerazioni sull'IPv6

Se si esegue un cluster IPv6 con uscita indirizzata dal cliente, è necessario configurare i percorsi di uscita IPv4 e IPv6.

Quando si esegue ipFamily=ipv6 un cluster CUSTOMER_ROUTED IPv6 () con uscita:

Considerazioni

Tieni presente i seguenti punti quando utilizzi l'uscita dal piano di controllo indirizzato dal cliente:

Chiave di condizione IAM

Amazon EKS supporta la chiave eks:controlPlaneEgressMode condizionale. Puoi utilizzare questa chiave nelle policy IAM o nelle policy di controllo dei servizi (SCP) per controllare quale modalità di uscita i chiamanti possono specificare quando creano o aggiornano i cluster.

La chiave condizionale si applica alle seguenti azioni:

Ad esempio, il seguente SCP nega la creazione e gli aggiornamenti della configurazione del cluster a meno che il chiamante non specifichi: CUSTOMER_ROUTED

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Utilizza questa policy per far sì che tutti i cluster nuovi e aggiornati dell'organizzazione utilizzino la modalità di uscita. CUSTOMER_ROUTED

Configurazione del provider OIDC

Se il cluster utilizza un provider di identità OIDC, il piano di controllo deve essere in grado di raggiungere l'endpoint di rilevamento OIDC tramite HTTPS (porta 443). Questo vale per i ruoli IAM per gli account di servizio o per un provider di identità OIDC associato per l'autenticazione del cluster. Non è prevista alcuna OIDC-specific impostazione; utilizza lo stesso percorso di uscita configurato in Prerequisiti. Prerequisiti Per consentirlo:

L'endpoint dipende dal tuo provider:

Se l'autenticazione OIDC fallisce, per la procedura di risoluzione dei problemi, consulta. Provider OIDC non raggiungibile

Verifica la connettività

Dopo aver configurato l'CUSTOMER_ROUTEDuscita, verifica che il piano di controllo possa raggiungere le tue risorse VPC:

Per la risoluzione dei problemi più comuni, consulta. Risoluzione dei problemi relativi all'uscita del piano di controllo

📝 Modifica questa pagina su GitHub