Aidez à améliorer cette page

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Pour contribuer à ce guide de l'utilisateur, cliquez sur le GitHub lien Modifier cette page sur qui se trouve dans le volet droit de chaque page.

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration du routage des sorties du plan de contrôle

Par défaut, Amazon EKS gère le réseau de sortie depuis le plan de contrôle Kubernetes vers les ressources de votre VPC. Utilisez le routage de sortie du plan de contrôle pour modifier ce comportement et gérer vous-même le chemin réseau. Cela vous permet de contrôler totalement la manière dont le trafic provenant des interfaces réseau élastiques (ENI) du plan de contrôle atteint vos ressources VPC. Vous pouvez effectuer le routage via vos propres passerelles NAT, pare-feux ou appareils d'inspection.

Modes de routage de sortie

Amazon EKS prend en charge les modes de routage de sortie du plan de contrôle suivants :

Conditions préalables

Votre VPC et vos sous-réseaux doivent répondre aux exigences réseau standard d'Amazon EKS. Pour de plus amples informations, veuillez consulter Afficher les exigences réseau Amazon EKS pour les VPC et les sous-réseaux.

En CUSTOMER_ROUTED mode, le serveur d'API Kubernetes envoie le trafic sortant destiné aux clients via les interfaces réseau entre comptes. Amazon EKS crée déjà ces interfaces dans vos sous-réseaux pour la communication entre le plan de contrôle et le nœud. Ce trafic inclut les appels aux webhooks d'admission et aux fournisseurs OIDC. Amazon EKS ne crée pas d'interfaces réseau de sortie distinctes. Ce mode modifie la façon dont les interfaces existantes sont utilisées. Les sous-réseaux qui contiennent ces interfaces doivent répondre aux exigences suivantes :

En CUSTOMER_ROUTED mode, le plan de contrôle résout les noms d'hôtes en utilisant la configuration DNS de votre VPC. Cela permet au plan de contrôle d'atteindre les points de terminaison situés dans les zones hébergées privées Route 53 et le DNS local transféré via les points de terminaison Route 53 Resolver.

Le tableau suivant récapitule le trafic que le plan de contrôle envoie via votre VPC CUSTOMER_ROUTED en mode :

Créez un cluster avec une sortie routée par le client

Vous pouvez spécifier le mode de sortie du plan de contrôle lorsque vous créez un nouveau cluster.

Vous pouvez utiliser ipFamily=ipv6 pour les clusters IPv6. Lorsque vous utilisez le CUSTOMER_ROUTED mode IPv6 avec, assurez-vous que vos sous-réseaux disposent d'une passerelle Internet de sortie uniquement pour le trafic IPv6, en plus d'une passerelle NAT pour le trafic IPv4.

Pour AWS CloudFormation, ControlPlaneEgressMode: CUSTOMER_ROUTED installez-vousResourcesVpcConfig. Le support Terraform pour ce champ sera disponible dans une future version du AWS fournisseur.

Mise à jour d’un cluster existant

Vous pouvez modifier le mode de sortie du plan de contrôle sur un cluster existant à l'aide de la update-cluster-config commande.

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Surveillez l'état de la mise à jour :

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

La mise à jour est terminée lorsque le statut s'afficheSuccessful. Le type de mise à jour estControlPlaneEgressUpdate. La mise à jour est généralement terminée dans les 10 minutes.

Considérations relatives à IPv6

Si vous exécutez un cluster IPv6 avec une sortie routée par le client, vous devez configurer les chemins de sortie IPv4 et IPv6.

Lors de l'exécution d'un cluster IPv6 (ipFamily=ipv6) avec CUSTOMER_ROUTED sortie :

Considérations

Gardez les points suivants à l'esprit lorsque vous utilisez une sortie du plan de contrôle acheminée par le client :

Clé de condition IAM

Amazon EKS prend en charge la clé de eks:controlPlaneEgressMode condition. Vous pouvez utiliser cette clé dans les politiques IAM ou les politiques de contrôle des services (SCP) pour contrôler le mode de sortie que les appelants peuvent spécifier lorsqu'ils créent ou mettent à jour des clusters.

La clé de condition s'applique aux actions suivantes :

Par exemple, le SCP suivant refuse la création de clusters et les mises à jour de configuration sauf si l'appelant le spécifie : CUSTOMER_ROUTED

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Utilisez cette politique pour faire en sorte que tous les clusters nouveaux et mis à jour de votre organisation utilisent le mode de CUSTOMER_ROUTED sortie.

Configuration du fournisseur OIDC

Si votre cluster utilise un fournisseur d'identité OIDC, le plan de contrôle doit pouvoir atteindre le point de terminaison de découverte OIDC via HTTPS (port 443). Cela s'applique aux rôles IAM pour les comptes de service ou à un fournisseur d'identité OIDC que vous associez pour l'authentification du cluster. Il n'y a aucun OIDC-specific paramètre ; il utilise le même chemin de sortie que celui que vous avez configuré dans Prérequis. Pour l'autoriser :

Le point final dépend de votre fournisseur :

Si l'authentification OIDC échoue, voir Le fournisseur OIDC est inaccessible les étapes de résolution des problèmes.

Vérifiez la connectivité

Après avoir configuré la CUSTOMER_ROUTED sortie, vérifiez que le plan de contrôle peut atteindre les ressources de votre VPC :

Pour résoudre les problèmes courants, consultezRésolution des problèmes de sortie du plan de commande.

📝 Modifiez cette page sur GitHub