이 페이지 개선에 도움 주기

이 사용자 가이드에 기여하려면 모든 페이지의 오른쪽 창에 있는 GitHub에서 이 페이지 편집 링크를 선택합니다.

컨트롤 플레인 송신 라우팅 구성

기본적으로 Amazon EKS는 Kubernetes 컨트롤 플레인에서 VPC 내 리소스로의 송신 네트워킹을 관리합니다. 컨트롤 플레인 송신 라우팅을 사용하여 이 동작을 변경하고 네트워크 경로를 직접 관리합니다. 이를 통해 컨트롤 플레인 탄력적 네트워크 인터페이스(ENI)의 트래픽이 VPC 리소스에 도달하는 방식을 완벽하게 제어할 수 있습니다. 자체 NAT 게이트웨이, 방화벽 또는 검사 어플라이언스를 통해 라우팅할 수 있습니다.

송신 라우팅 모드

Amazon EKS는 다음과 같은 컨트롤 플레인 송신 라우팅 모드를 지원합니다.

사전 조건

VPC 및 서브넷이 표준 Amazon EKS 네트워킹 요구 사항을 충족해야 합니다. 자세한 내용은 VPC 및 서브넷에 대한 Amazon EKS 네트워킹 요구 사항 보기 섹션을 참조하세요.

CUSTOMER_ROUTED 모드에서 Kubernetes API 서버는 교차 계정 네트워크 인터페이스를 통해 고객 대면 아웃바운드 트래픽을 전송합니다. Amazon EKS는 이미 컨트롤 플레인과 노드 간 통신을 위해 서브넷에 이러한 인터페이스를 생성합니다. 이 트래픽에는 승인 웹후크 및 OIDC 공급자에 대한 직접 호출이 포함됩니다. Amazon EKS는 별도의 송신 네트워크 인터페이스를 생성하지 않습니다. 이 모드는 기존 인터페이스의 사용 방식을 변경합니다. 이러한 인터페이스를 포함하는 서브넷은 다음 요구 사항을 충족해야 합니다.

CUSTOMER_ROUTED 모드에서 컨트롤 플레인은 VPC의 DNS 구성을 사용하여 호스트 이름을 확인합니다. 이를 통해 컨트롤 플레인은 Route 53 프라이빗 호스팅 영역의 엔드포인트 그리고 Route 53 Resolver 엔드포인트를 통해 전달된 온프레미스 DNS에 도달할 수 있습니다.

다음 표에는 컨트롤 플레인이 CUSTOMER_ROUTED 모드에서 VPC를 통해 전송하는 트래픽이 요약되어 있습니다.

고객 라우팅 송신으로 클러스터 생성

새 클러스터를 생성할 때 컨트롤 플레인 송신 모드를 지정할 수 있습니다.

IPv6 클러스터에는 ipFamily=ipv6를 사용할 수 있습니다. CUSTOMER_ROUTED 모드에서 IPv6를 사용하는 경우 서브넷에 IPv4 트래픽용 NAT 게이트웨이 외에 IPv6 트래픽용 송신 전용 인터넷 게이트웨이가 있는지 확인합니다.

AWS CloudFormation의 경우 ResourcesVpcConfig에서 ControlPlaneEgressMode: CUSTOMER_ROUTED를 설정합니다. 이 필드에 대한 Terraform 지원은 AWS 공급자의 향후 릴리스에서 사용할 수 있습니다.

기존 클러스터 업데이트

update-cluster-config 명령을 사용하여 기존 클러스터에서 컨트롤 플레인 송신 모드를 변경할 수 있습니다.

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

업데이트 상태 모니터링:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

상태가 Successful라면 업데이트가 완료된 것입니다. 업데이트 유형은 ControlPlaneEgressUpdate입니다. 업데이트는 일반적으로 10분 내에 완료됩니다.

IPv6 고려 사항

고객 라우팅 송신으로 IPv6 클러스터를 실행하는 경우 IPv4 및 IPv6 송신 경로를 모두 구성해야 합니다.

CUSTOMER_ROUTED 송신으로 IPv6 클러스터(ipFamily=ipv6)를 실행하는 경우:

고려 사항

고객 라우팅 컨트롤 플레인 송신을 사용할 때는 다음 사항에 유의하세요.

IAM 조건 키

Amazon EKS는 eks:controlPlaneEgressMode 조건 키를 지원합니다. IAM 정책 또는 서비스 제어 정책(SCP)에서 이 키를 사용하여 호출자가 클러스터를 생성 또는 업데이트할 때 지정할 수 있는 송신 모드를 제어할 수 있습니다.

조건 키는 다음 작업에 적용됩니다.

예를 들어 다음 SCP는 호출자가 CUSTOMER_ROUTED를 지정하지 않는 한 클러스터 생성 및 구성 업데이트를 거부합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

조직의 모든 신규 및 업데이트된 클러스터가 CUSTOMER_ROUTED 송신 모드를 사용하도록 하려면 이 정책을 사용합니다.

OIDC 공급자 구성

클러스터가 OIDC ID 제공업체를 사용하는 경우 컨트롤 플레인은 HTTPS(포트 443)를 통해 OIDC 검색 엔드포인트에 도달할 수 있어야 합니다. 이는 서비스 계정의 IAM 역할 또는 클러스터 인증을 위해 연결하는 OIDC ID 제공업체에 적용됩니다. OIDC별 설정은 없습니다. 사전 조건에서 구성한 것과 동일한 송신 경로를 사용합니다. 이를 허용하려면:

엔드포인트는 공급자에 따라 다릅니다.

OIDC 인증에 실패하면 OIDC 공급자에 연결할 수 없음에서 문제 해결 단계를 참조하세요.

연결 확인

CUSTOMER_ROUTED 송신을 구성한 후 컨트롤 플레인이 VPC 리소스에 도달할 수 있는지 확인합니다.

일반적인 문제 해결 방법은 컨트롤 플레인 송신 문제 해결 섹션을 참조하십시오.

📝 GitHub에서 이 페이지 편집