Cluster-API-Serverendpunkt - Amazon EKS
IPv6Format des Cluster-EndpunktsIPv4Cluster-EndpunktformatPrivater Cluster-EndpunktÄndern des Cluster-EndpunktzugriffsZugriff auf einen privaten API-Server

Hilf mit, diese Seite zu verbessern

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Wenn Sie zu diesem Benutzerhandbuch beitragen möchten, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Cluster-API-Serverendpunkt

In diesem Thema können Sie den privaten Zugriff für den Kubernetes-API-Serverendpunkt Ihres Amazon EKS-Clusters aktivieren und den öffentlichen Zugriff über das Internet einschränken oder vollständig deaktivieren.

Wenn Sie einen neuen Cluster erstellen, erstellt Amazon EKS einen Endpunkt für den verwalteten Kubernetes-API-Server, über den Sie mit Ihrem Cluster kommunizieren (mit Kubernetes-Verwaltungswerkzeugen wie kubectl). Standardmäßig ist dieser API-Serverendpunkt im Internet öffentlich, und der Zugriff auf den API-Server wird mithilfe einer Kombination aus AWS Identity and Access Management (IAM) und nativer Kubernetes Role Based Access Control (RBAC) gesichert. Dieser Endpunkt wird als öffentlicher Cluster-Endpunkt bezeichnet. Außerdem gibt es einen privaten Cluster-Endpunkt. Weitere Informationen zum privaten Cluster-Endpunkt finden Sie im folgenden AbschnittPrivater Cluster-Endpunkt.

IPv6Format des Cluster-Endpunkts

EKS erstellt einen eindeutigen Dual-Stack-Endpunkt im folgenden Format für neue IPv6 Cluster, die nach Oktober 2024 erstellt wurden. Ein IPv6 Cluster ist ein Cluster, den Sie IPv6 in der IP-Familie (ipFamily) -Einstellung des Clusters auswählen.

AWS

Öffentlicher/privater Endpunkt des EKS-Clusters: eks-cluster.region.api.aws

AWS GovCloud (US)

Öffentlicher/privater Endpunkt des EKS-Clusters: eks-cluster.region.api.aws

Amazon Web Services in China

Öffentlicher/privater Endpunkt des EKS-Clusters: eks-cluster.region.api.amazonwebservices.com.rproxy.govskope.ca.cn

Anmerkung

Der Dual-Stack-Cluster-Endpunkt wurde im Oktober 2024 eingeführt. Weitere Informationen zu IPv6 Clustern finden Sie unterErfahren Sie mehr über IPv6 Adressen für Cluster, Pods und Dienste. Cluster, die vor Oktober 2024 erstellt wurden, verwenden stattdessen das folgende Endpunktformat.

IPv4Cluster-Endpunktformat

EKS erstellt für jeden Cluster, der in der Einstellung IP-Familie (IPFamily) des Clusters ausgewählt wird, einen eindeutigen Endpunkt IPv4 im folgenden Format:

AWS

Öffentlicher/privater Endpunkt des EKS-Clusters eks-cluster.region.eks.amazonaws.com

AWS GovCloud (US)

Öffentlicher/privater Endpunkt des EKS-Clusters eks-cluster.region.eks.amazonaws.com

Amazon Web Services in China

Öffentlicher/privater Endpunkt des EKS-Clusters eks-cluster.region.amazonwebservices.com.rproxy.govskope.ca.cn

Anmerkung

Vor Oktober 2024 verwendeten IPv6 Cluster dieses Endpunktformat ebenfalls. Bei diesen Clustern haben sowohl der öffentliche als auch der private Endpunkt nur IPv4 Adressen, die von diesem Endpunkt aus aufgelöst wurden.

Privater Cluster-Endpunkt

Sie können den privaten Zugriff auf den Kubernetes-API-Server aktivieren, sodass die gesamte Kommunikation zwischen Ihren Knoten und dem API-Server innerhalb Ihrer VPC bleibt. Sie können die IP-Adressen einschränken, die über das Internet auf Ihren API-Server zugreifen können, oder den Internetzugriff auf den API-Server vollständig deaktivieren.

Anmerkung

Da dieser Endpunkt für den Kubernetes-API-Server und kein herkömmlicher AWS PrivateLink Endpunkt für die Kommunikation mit einer AWS API ist, wird er in der Amazon VPC-Konsole nicht als Endpunkt angezeigt.

Wenn Sie privaten Endpunktzugriff für Ihren Cluster aktivieren, erstellt Amazon EKS in Ihrem Namen eine private gehostete Route 53-Zone und ordnet sie der VPC Ihres Clusters zu. Diese privat gehostete Zone wird von Amazon EKS verwaltet und erscheint nicht in den Route 53-Ressourcen Ihres Kontos. Damit die private gehostete Zone Datenverkehr ordnungsgemäß an Ihren API-Server weiterleiten kann, müssen enableDnsHostnames und enableDnsSupport für Ihre VPC auf true gesetzt sein und die DHCP-Optionen für Ihre VPC müssen AmazonProvidedDNS in ihrer Domainnamen-Serverliste enthalten. Weitere Informationen finden Sie unter Aktualisieren der DNS-Unterstützung für Ihre VPC im Amazon-VPC-Benutzerhandbuch.

Sie können Ihre Anforderungen für den Zugriff auf Ihre API-Server-Endpunkte definieren, wenn Sie einen neuen Cluster erstellen. Sie können den Zugriff auf die API-Server-Endpunkte für einen Cluster jederzeit aktualisieren.

Ändern des Cluster-Endpunktzugriffs

Verwenden Sie die Verfahren in diesem Abschnitt, um den Endpunktzugriff für einen bestehenden Cluster zu ändern. Die folgende Tabelle zeigt die unterstützten Kombinationen von API-Server-Endpunktzugriffen und das damit verbundene Verhalten.

Endpunkt für öffentlichen Zugriff Endpunkt für privaten Zugriff Behavior

Enabled

Disabled

  • Dies ist das Standardverhalten für neue Amazon-EKS-Cluster.

  • Kubernetes-API-Anfragen, die aus der VPC Ihres Clusters stammen (z. B. die Kommunikation zwischen Knoten und Kontrollebene), verlassen die VPC, aber nicht das Amazon-Netzwerk.

  • Ihr Cluster-API-Server ist über das Internet erreichbar. Optional können Sie die CIDR-Blöcke einschränken, die auf den öffentlichen Endpunkt zugreifen können. Wenn Sie den Zugriff auf bestimmte CIDR-Blöcke beschränken, wird empfohlen, auch den privaten Endpunkt zu aktivieren oder sicherzustellen, dass die von Ihnen angegebenen CIDR-Blöcke die Adressen enthalten, von denen Knoten und Fargate-Pods (falls Sie sie verwenden) auf den öffentlichen Endpunkt zugreifen.

Enabled

Aktiviert

  • Kubernetes-API-Anfragen innerhalb der VPC Ihres Clusters (z. B. Kommunikation zwischen Knoten und Kontrollebene) verwenden den privaten VPC-Endpunkt.

  • Ihr Cluster-API-Server ist über das Internet erreichbar. Optional können Sie die CIDR-Blöcke einschränken, die auf den öffentlichen Endpunkt zugreifen können.

  • Wenn Sie Hybridknoten mit Ihrem Amazon EKS-Cluster verwenden, wird nicht empfohlen, sowohl den öffentlichen als auch den privaten Cluster-Endpunktzugriff zu aktivieren. Da Ihre Hybridknoten außerhalb Ihrer VPC laufen, lösen sie den Cluster-Endpunkt in die öffentlichen IP-Adressen auf. Es wird empfohlen, für Cluster mit Hybridknoten entweder den öffentlichen oder den privaten Cluster-Endpunktzugriff zu verwenden.

Disabled

Aktiviert

  • Der gesamte Datenverkehr zu Ihrem Cluster-API-Server muss aus der VPC Ihres Clusters oder einem verbundenen Netzwerk stammen.

  • Es gibt keinen öffentlichen Zugriff auf Ihren API-Server aus dem Internet. Alle kubectl-Befehle müssen aus der VPC oder einem verbundenen Netzwerk stammen. Die Verbindungsoptionen finden Sie unter Zugriff auf einen privaten API-Server.

  • Der API-Serverendpunkt des Clusters wird von öffentlichen DNS-Servern in eine private IP-Adresse von der VPC aufgelöst. In der Vergangenheit konnte der Endpunkt nur innerhalb der VPC aufgelöst werden.

    Wenn Ihr Endpunkt nicht in eine private IP-Adresse innerhalb der VPC für einen vorhandenen Cluster aufgelöst wird, können Sie:

    • Den öffentlichen Zugriff aktivieren und ihn dann erneut deaktivieren. Sie müssen dies nur einmal für einen Cluster tun und der Endpunkt wird von diesem Punkt an zu einer privaten IP-Adresse aufgelöst.

    • Aktualisieren Sie Ihren Cluster.

CIDR-Blöcke im öffentlichen Endpunkt (Cluster) IPv6

Sie können IPv4 CIDR-Blöcke zum öffentlichen Endpunkt eines IPv6 Clusters hinzufügenIPv6, da es sich bei dem öffentlichen Endpunkt um einen Dual-Stack-Endpunkt handelt. Dies gilt nur für neue Cluster mit der ipFamily EinstellungIPv6, die Sie im Oktober 2024 oder später vorgenommen haben. Sie können diese Cluster anhand des neuen Endpunktdomänennamens identifizierenapi.aws.

CIDR-Blöcke auf dem öffentlichen Endpunkt (IPv4Cluster)

Sie können IPv4 CIDR-Blöcke zum öffentlichen Endpunkt eines IPv4 Clusters hinzufügen. Sie können dem öffentlichen Endpunkt eines Clusters keine IPv6 CIDR-Blöcke hinzufügen. IPv4 Wenn Sie es versuchen, gibt EKS die folgende Fehlermeldung zurück: The following CIDRs are invalid in publicAccessCidrs

CIDR-Blöcke auf dem öffentlichen Endpunkt (IPv6Cluster, der vor Oktober 2024 erstellt wurde)

Sie können IPv4 CIDR-Blöcke zum öffentlichen Endpunkt der alten IPv6 Cluster hinzufügen, die Sie vor Oktober 2024 erstellt haben. Sie können diese Cluster anhand des eks.amazonaws.com Endpunkts identifizieren. Sie können dem öffentlichen Endpunkt dieser alten IPv6 Cluster, die Sie vor Oktober 2024 erstellt haben, keine IPv6 CIDR-Blöcke hinzufügen. Wenn Sie es versuchen, gibt EKS die folgende Fehlermeldung zurück: The following CIDRs are invalid in publicAccessCidrs

Zugriff auf einen privaten API-Server

Wenn Sie den öffentlichen Zugriff für den Kubernetes-API-Serverendpunkt Ihres Clusters deaktiviert haben, können Sie nur von Ihrer VPC oder einem verbundenen Netzwerk aus auf den API-Server zugreifen. Hier sind einige Möglichkeiten, um auf den Kubernetes-API-Server-Endpunkt zuzugreifen:

Verbundenes Netzwerk

Verbinden Sie Ihr Netzwerk über ein AWS -Transit-Gateway oder eine andere Konnektivitätsoption mit der VPC und verwenden Sie dann einen Computer im verbundenen Netzwerk. Sie müssen sicherstellen, dass Ihre Amazon-EKS-Steuerebenen-Sicherheitsgruppe Regeln enthält, die den eingehenden Datenverkehr auf Port 443 von Ihrem verbundenen Netzwerk zulassen.

Gastgeber bei Amazon EC2 Bastion

Sie können eine EC2 Amazon-Instance in einem öffentlichen Subnetz in der VPC Ihres Clusters starten und sich dann über SSH bei dieser Instance anmelden, um Befehle auszuführen. kubectl Weitere Informationen finden Sie unter Linux-Bastion-Hosts in AWS. Sie müssen sicherstellen, dass Ihre Amazon-EKS-Steuerebenen-Sicherheitsgruppe Regeln enthält, die den eingehenden Datenverkehr auf Port 443 von Ihrem Bastion-Host zulassen. Weitere Informationen finden Sie unter Amazon EKS-Sicherheitsgruppenanforderungen für Cluster anzeigen.

Achten Sie bei der Konfiguration kubectl für Ihren Bastion-Host darauf, AWS Anmeldeinformationen zu verwenden, die bereits der RBAC-Konfiguration Ihres Clusters zugeordnet sind, oder fügen Sie den IAM-Prinzipal, den Ihre Bastion verwenden wird, zur RBAC-Konfiguration hinzu, bevor Sie den öffentlichen Zugriff auf Endgeräte entfernen. Weitere Informationen erhalten Sie unter Gewähren Sie IAM-Benutzern und -Rollen Zugriff auf Kubernetes APIs und Nicht autorisiert oder Zugriff verweigert (kubectl).

AWS Cloud9 IDE

AWS Cloud9 ist eine cloudbasierte integrierte Entwicklungsumgebung (IDE), mit der Sie Ihren Code mit nur einem Browser schreiben, ausführen und debuggen können. Sie können eine AWS Cloud9-IDE in der VPC Ihres Clusters erstellen und die IDE für die Kommunikation mit Ihrem Cluster verwenden. Weitere Informationen finden Sie unter Umgebung in AWS Cloud9 erstellen. Sie müssen sicherstellen, dass Ihre Amazon-EKS-Steuerebenen-Sicherheitsgruppe Regeln enthält, die den eingehenden Datenverkehr auf Port 443 von Ihrer IDE-Sicherheitsgruppe zulassen. Weitere Informationen finden Sie unter Amazon EKS-Sicherheitsgruppenanforderungen für Cluster anzeigen.

Achten Sie bei der Konfiguration kubectl für Ihre AWS Cloud9-IDE darauf, AWS Anmeldeinformationen zu verwenden, die bereits der RBAC-Konfiguration Ihres Clusters zugeordnet sind, oder fügen Sie den IAM-Prinzipal, den Ihre IDE verwenden wird, zur RBAC-Konfiguration hinzu, bevor Sie den öffentlichen Endpunktzugriff entfernen. Weitere Informationen erhalten Sie unter Gewähren Sie IAM-Benutzern und -Rollen Zugriff auf Kubernetes APIs und Nicht autorisiert oder Zugriff verweigert (kubectl).

📝 Bearbeiten Sie diese Seite auf GitHub