Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten unter, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration des Ausgangs-Routings auf der Kontrollebene

Standardmäßig verwaltet Amazon EKS das ausgehende Netzwerk von der Kubernetes-Steuerungsebene zu den Ressourcen in Ihrer VPC. Verwenden Sie das Ausgangs-Routing auf der Kontrollebene, um dieses Verhalten zu ändern und den Netzwerkpfad selbst zu verwalten. Auf diese Weise haben Sie die volle Kontrolle darüber, wie der Datenverkehr von den Elastic Network Interfaces (ENIs) der Kontrollebene Ihre VPC-Ressourcen erreicht. Sie können das Routing durch Ihre eigenen NAT-Gateways, Firewalls oder Inspection-Appliances durchführen.

Routing-Modi für ausgehenden Verkehr

Amazon EKS unterstützt die folgenden Routing-Modi für ausgehenden Datenverkehr auf der Steuerungsebene:

Voraussetzungen

Ihre VPC und Subnetze müssen die standardmäßigen Amazon EKS-Netzwerkanforderungen erfüllen. Weitere Informationen finden Sie unter Amazon-EKS-Netzwerkanforderungen für VPC und Subnetze.

Im CUSTOMER_ROUTED Modus sendet der Kubernetes-API-Server kundenseitigen Datenverkehr über die kontoübergreifenden Netzwerkschnittstellen. Amazon EKS erstellt diese Schnittstellen bereits in Ihren Subnetzen für die Kommunikation zwischen Steuerungsebene und Knoten. Dieser Datenverkehr umfasst Anrufe an Zulassungswebhooks und OIDC-Anbieter. Amazon EKS erstellt keine separaten Netzwerkschnittstellen für ausgehenden Datenverkehr. Dieser Modus ändert die Art und Weise, wie die vorhandenen Schnittstellen verwendet werden. Die Subnetze, die diese Schnittstellen enthalten, müssen die folgenden Anforderungen erfüllen:

Im CUSTOMER_ROUTED Modus löst die Steuerungsebene Hostnamen mithilfe der DNS-Konfiguration Ihrer VPC auf. Auf diese Weise kann die Steuerungsebene Endpunkte in privaten Hosting-Zonen von Route 53 erreichen und das lokale DNS wird über Route 53 Resolver-Endpunkte weitergeleitet.

In der folgenden Tabelle ist der Datenverkehr zusammengefasst, den die Steuerungsebene im Modus durch Ihre VPC sendet: CUSTOMER_ROUTED

Erstellen Sie einen Cluster mit vom Kunden geroutetem Ausgang

Sie können den Ausgangsmodus der Steuerungsebene angeben, wenn Sie einen neuen Cluster erstellen.

Sie können es ipFamily=ipv6 für IPv6-Cluster verwenden. Wenn Sie IPv6 mit CUSTOMER_ROUTED Modus verwenden, stellen Sie sicher, dass Ihre Subnetze zusätzlich zu einem NAT-Gateway für IPv4-Verkehr über ein Internet-Gateway nur für ausgehenden Verkehr verfügen.

Für AWS CloudFormation, setzen Sie ControlPlaneEgressMode: CUSTOMER_ROUTED sich einResourcesVpcConfig. Terraform-Unterstützung für dieses Feld wird in einer zukünftigen Version des AWS Anbieters verfügbar sein.

Aktualisieren eines vorhandenen Clusters

Sie können den Ausgangsmodus der Kontrollebene auf einem vorhandenen Cluster mithilfe des Befehls ändern. update-cluster-config

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Überwachen Sie den Aktualisierungsstatus:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

Das Update ist abgeschlossen, wenn der Status angezeigt wirdSuccessful. Der Aktualisierungstyp istControlPlaneEgressUpdate. Das Update wird in der Regel innerhalb von 10 Minuten abgeschlossen.

Überlegungen zu IPv6

Wenn Sie einen IPv6-Cluster mit vom Kunden geroutetem Ausgang ausführen, müssen Sie sowohl IPv4- als auch IPv6-Ausgangspfade konfigurieren.

Wenn Sie einen IPv6-Cluster () mit Ausgang ausführen: ipFamily=ipv6 CUSTOMER_ROUTED

Überlegungen

Beachten Sie die folgenden Punkte, wenn Sie den vom Kunden geleiteten Ausgang auf der Steuerungsebene verwenden:

IAM-Bedingungsschlüssel

Amazon EKS unterstützt den eks:controlPlaneEgressMode Bedingungsschlüssel. Sie können diesen Schlüssel in IAM-Richtlinien oder Service Control Policies (SCPs) verwenden, um zu steuern, welche Anrufer im Ausgangsmodus angeben können, wenn sie Cluster erstellen oder aktualisieren.

Der Bedingungsschlüssel gilt für die folgenden Aktionen:

Der folgende SCP verweigert beispielsweise Clustererstellung und Konfigurationsupdates, sofern der Aufrufer nichts anderes angibt: CUSTOMER_ROUTED

{
  "Version": "2012-10-17", 
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Verwenden Sie diese Richtlinie, um durchzusetzen, dass alle neuen und aktualisierten Cluster in Ihrer Organisation den CUSTOMER_ROUTED Ausgangsmodus verwenden.

Konfiguration des OIDC-Anbieters

Wenn Ihr Cluster einen OIDC-Identitätsanbieter verwendet, muss die Steuerungsebene in der Lage sein, den OIDC-Discovery-Endpunkt über HTTPS (Port 443) zu erreichen. Dies gilt für IAM-Rollen für Dienstkonten oder einen OIDC-Identitätsanbieter, den Sie für die Clusterauthentifizierung zuordnen. Es gibt keine OIDC-specific Einstellung. Es wird derselbe Ausgangspfad verwendet, den Sie unter Voraussetzungen konfigurieren. Voraussetzungen Um es zuzulassen:

Der Endpunkt hängt von Ihrem Anbieter ab:

Wenn die OIDC-Authentifizierung fehlschlägt, finden Sie Schritte zur Fehlerbehebung unter. OIDC-Anbieter nicht erreichbar

Überprüfen Sie die Konnektivität

Stellen Sie nach der Konfiguration des CUSTOMER_ROUTED Ausgangs sicher, dass die Steuerungsebene Ihre VPC-Ressourcen erreichen kann:

Informationen zur Behebung häufig auftretender Probleme finden Sie unter. Behebung von Ausgangsproblemen auf der Steuerungsebene

📝 Bearbeiten Sie diese Seite auf GitHub