Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Multi-tenancy para entornos de Beanstalk Cluster

Los entornos de Beanstalk Cluster que utilizan las mismas subredes se ejecutan en el mismo clúster de Amazon EKS, por lo que comparten la infraestructura informática. Elastic Beanstalk los separa en ese clúster compartido: la aplicación de cada entorno se ejecuta en su propia partición del clúster y Elastic Beanstalk bloquea el tráfico de red entre los entornos de forma predeterminada. En este tema se describe la separación que se obtiene, cómo ampliarla o reforzarla y qué requisitos no puede cumplir un clúster compartido.

El aislamiento entre los entornos de Beanstalk Cluster tiene dos dimensiones independientes. El aislamiento de la red controla qué entornos pueden enviar tráfico a la aplicación de un entorno. El aislamiento informático controla si las réplicas de aplicaciones de un entorno comparten nodos con otros entornos. Puede configurar cualquiera de los dos sin el otro.

Elegir un límite de aislamiento

Decida qué tan fuerte debe ser el límite que necesita un entorno antes de crearlo, ya que la elección se hace a través de las subredes que usted asigna y no puede cambiar las subredes de un entorno existente. Hay dos límites disponibles que corresponden a los dos modelos de tenencia múltiple que documenta Amazon EKS.

Un clúster compartido proporciona una separación lógica entre los entornos, que se impone mediante la configuración que Elastic Beanstalk aplica al clúster. Un clúster independiente proporciona la separación de la infraestructura. Amazon EKS considera que el clúster es la estructura que proporciona un límite de seguridad sólido, ya que una carga de trabajo que obtenga acceso a un nodo podría alcanzar las credenciales y los datos de cualquier otra cosa que se ejecute en ese nodo. La separación lógica dentro de un clúster es un clúster flexible con varios inquilinos; un clúster para cada inquilino es un clúster con varios inquilinos en condiciones duras. Para obtener la orientación general que esto refleja, consulte el aislamiento de inquilinos en la Guía de mejores prácticas de Amazon EKS.

Los clústeres independientes cuestan más y utilizan la capacidad de forma menos eficiente, porque cada clúster se factura por separado y los nodos no se pueden compartir entre clústeres. Un clúster compartido es la elección correcta para los entornos que un equipo posee y opera en conjunto, como los servicios que forman una sola aplicación. Separar la producción del desarrollo es un motivo habitual para usar diferentes conjuntos de subredes, incluso cuando nada lo requiere. Para saber cómo Elastic Beanstalk agrupa los entornos en clústeres, consulte. Agrupación de entornos Para ver la configuración de subred en sí, consulte. Configuración de redes para entornos de Beanstalk Cluster

Aislamiento de red en un clúster compartido

De forma predeterminada, Elastic Beanstalk bloquea el tráfico de red entre los entornos de Beanstalk Cluster en un clúster compartido. No se requiere ninguna configuración para obtenerlo y no hay ninguna opción que lo desactive. Las réplicas de aplicaciones de un entorno no pueden recibir tráfico de las copias de aplicaciones de otro entorno en ningún puerto, a menos que usted lo autorice con una de las opciones de esta sección.

Elastic Beanstalk permite que sus propios componentes operativos lleguen a su aplicación, de modo que los informes de estado, la recopilación de registros y el escalado basado en métricas sigan funcionando.

El tráfico que llega a un entorno a través de su balanceador de cargas no se ve afectado. El bloqueo se aplica al tráfico que se envía desde las réplicas de aplicaciones de un entorno directamente a las de otro, no al tráfico que llega desde fuera del clúster. Las solicitudes que llegan a su aplicación a través del balanceador de carga de aplicaciones se entregan con normalidad, incluidas las solicitudes que otro entorno envía al punto final público de ese balanceador de carga.

Permitir que los entornos se comuniquen

Hay tres opciones en el espacio de aws:elasticbeanstalk:eks:environment nombres que permiten el tráfico entre los entornos de un clúster compartido. Cada una de ellas incluye una lista separada por comas. Los nombres se limitan a los caracteres a-zA-Z,0-9, y-; deben empezar por una letra y tener entre 4 y 40 caracteres. Cambiar alguno de ellos no interrumpe el entorno.

Se establece ingress-groups en cada entorno que se une al grupo; la pertenencia a un grupo no se configura desde un solo lugar. Un entorno abandona un grupo cuando se elimina el grupo de su ingress-groups valor o se termina el entorno. Configure las opciones de la lista de llamadas permitidas en el entorno que recibe el tráfico y asigne un nombre a las personas que llama a las que desea permitir el acceso.

Los dos mecanismos se combinan. Un entorno puede unirse a un grupo para los servicios con los que trabaja en calidad de igual a igual y permitir por separado a la persona que llama para que se comunique con él de alguna manera. Para saber cómo configurar las opciones de configuración en un entorno, consulte. Opciones de configuración

Permitir el tráfico no configura la detección. La aplicación sigue necesitando saber a qué dirección llamar, la cual se proporciona del mismo modo que se proporciona cualquier otra configuración, mediante una propiedad del entorno. Elastic Beanstalk no inyecta las direcciones de los entornos permitidos.

Nodos dedicados para un entorno

De forma predeterminada, Elastic Beanstalk programa las réplicas de aplicaciones de cualquier entorno en la capacidad de nodos compartidos del clúster, de modo que las copias de diferentes entornos puedan ejecutarse en el mismo nodo. Para mantener las réplicas de las aplicaciones de un entorno en nodos que no utilice ningún otro entorno, defina la node-pool opción del espacio de aws:elasticbeanstalk:eks:environment nombres con el nombre que prefiera.

A continuación, Elastic Beanstalk reserva un conjunto de nodos para ese nombre y programa solo las réplicas de aplicaciones de entornos con el mismo valor. node-pool Los entornos que no establecen ningún valor, o que tienen un valor diferente, no se pueden colocar en esos nodos.

Los cambios node-pool reinician las réplicas de las aplicaciones del entorno para que Elastic Beanstalk pueda reprogramarlas en los nodos correctos. Los nodos dedicados también reducen el efecto que el uso de recursos de un entorno tiene en otro, ya que los entornos ya no compiten por la CPU y la memoria del mismo nodo. Los nodos dedicados son independientes del aislamiento de la red: los entornos pueden ejecutarse en nodos independientes y aun así se les permite comunicarse, o compartir nodos y no poder comunicarse.

node-poolResérvese para un requisito que se refiera específicamente a la capacidad de los nodos. Si su objetivo es separar los entornos entre sí, es más sencillo asignarles diferentes subredes y separa el clúster de los nodos.

Lo que un clúster compartido no separa

Comprenda estos límites antes de colocar entornos con diferentes requisitos de seguridad o cumplimiento en el mismo clúster. Cada uno de ellos es consecuencia de que los entornos comparten un clúster, y cada uno de ellos se elimina asignando a los entornos diferentes subredes para que Elastic Beanstalk cree clústeres independientes.

Application-level las protecciones son su responsabilidad en cualquiera de los dos límites. La separación de redes entre entornos no autentica a las personas que llaman, no cifra el tráfico entre entornos ni restringe lo que hace una aplicación con las credenciales que contiene. Asigne a cada entorno su propia función de aplicación para que sus AWS permisos se limiten a él y trate el tráfico permitido entre entornos como el tráfico que su aplicación aún debe autorizar. Consulte Permisos de aplicación.

Hacer coincidir un requisito con un control