Bantu tingkatkan halaman ini

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Untuk berkontribusi pada panduan pengguna ini, pilih Edit halaman ini pada GitHub tautan yang terletak di panel kanan setiap halaman.

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Mengkonfigurasi perutean jalan keluar bidang kontrol

Secara default, Amazon EKS mengelola jaringan jalan keluar dari bidang kontrol Kubernetes ke sumber daya di VPC Anda. Gunakan perutean jalan keluar bidang kontrol untuk mengubah perilaku ini dan mengelola jalur jaringan sendiri. Ini memberi Anda kontrol penuh atas bagaimana lalu lintas dari bidang kontrol antarmuka jaringan elastis (ENI) mencapai sumber daya VPC Anda. Anda dapat melakukan rute melalui gateway NAT, firewall, atau peralatan inspeksi Anda sendiri.

Mode perutean jalan keluar

Amazon EKS mendukung mode perutean jalan keluar bidang kontrol berikut:

Prasyarat

VPC dan subnet Anda harus memenuhi persyaratan jaringan Amazon EKS standar. Untuk informasi selengkapnya, lihat Lihat persyaratan jaringan Amazon EKS untuk VPC dan subnet.

Dalam CUSTOMER_ROUTED mode, server API Kubernetes mengirimkan lalu lintas keluar yang menghadap pelanggan melalui antarmuka jaringan lintas akun. Amazon EKS sudah membuat antarmuka ini di subnet Anda untuk bidang kontrol ke komunikasi node. Lalu lintas ini termasuk panggilan ke webhook masuk dan penyedia OIDC. Amazon EKS tidak membuat antarmuka jaringan jalan keluar yang terpisah. Mode ini mengubah cara antarmuka yang ada digunakan. Subnet yang memegang antarmuka ini harus memenuhi persyaratan berikut:

Dalam CUSTOMER_ROUTED mode, bidang kontrol menyelesaikan nama host menggunakan konfigurasi DNS VPC Anda. Hal ini memungkinkan bidang kontrol mencapai titik akhir di zona host pribadi Route 53 dan DNS lokal yang diteruskan melalui titik akhir Route 53 Resolver.

Tabel berikut merangkum lalu lintas yang dikirim oleh pesawat kontrol melalui VPC CUSTOMER_ROUTED Anda dalam mode:

Buat cluster dengan jalan keluar yang dirutekan pelanggan

Anda dapat menentukan mode jalan keluar bidang kontrol saat membuat cluster baru.

Anda dapat menggunakan ipFamily=ipv6 untuk cluster IPv6. Saat menggunakan IPv6 dengan CUSTOMER_ROUTED mode, pastikan subnet Anda memiliki gateway internet khusus egres untuk lalu lintas IPv6 selain gateway NAT untuk lalu lintas IPv4.

Untuk AWS CloudFormation, atur ControlPlaneEgressMode: CUSTOMER_ROUTEDResourcesVpcConfig. Dukungan Terraform untuk bidang ini akan tersedia di rilis Penyedia di masa mendatang.AWS

Perbarui klaster yang ada

Anda dapat mengubah mode jalan keluar bidang kontrol pada cluster yang ada menggunakan perintah. update-cluster-config

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Pantau status pembaruan:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

Pembaruan selesai saat status ditampilkanSuccessful. Jenis pembaruan adalahControlPlaneEgressUpdate. Pembaruan biasanya selesai dalam 10 menit.

Pertimbangan IPv6

Jika Anda menjalankan klaster IPv6 dengan jalan keluar yang dirutekan pelanggan, Anda perlu mengonfigurasi jalur keluar IPv4 dan IPv6.

Saat menjalankan IPv6 cluster (ipFamily=ipv6) dengan CUSTOMER_ROUTED jalan keluar:

Pertimbangan-pertimbangan

Ingatlah poin-poin berikut saat Anda menggunakan jalan keluar bidang kontrol yang diarahkan pelanggan:

Kunci kondisi IAM

Amazon EKS mendukung kunci eks:controlPlaneEgressMode kondisi. Anda dapat menggunakan kunci ini dalam kebijakan IAM atau kebijakan kontrol layanan (SCP) untuk mengontrol pemanggil mode jalan keluar mana yang dapat ditentukan saat mereka membuat atau memperbarui kluster.

Kunci kondisi berlaku untuk tindakan berikut:

Misalnya, SCP berikut menolak pembuatan klaster dan pembaruan konfigurasi kecuali pemanggil menentukan: CUSTOMER_ROUTED

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Gunakan kebijakan ini untuk menegakkan bahwa semua kluster baru dan yang diperbarui di organisasi Anda menggunakan mode keluarCUSTOMER_ROUTED.

Konfigurasi penyedia OIDC

Jika klaster Anda menggunakan penyedia identitas OIDC, bidang kontrol harus dapat mencapai titik akhir penemuan OIDC melalui HTTPS (port 443). Ini berlaku untuk peran IAM untuk akun layanan, atau penyedia identitas OIDC yang Anda kaitkan untuk otentikasi klaster. Tidak ada OIDC-specific pengaturan; ia menggunakan jalur keluar yang sama yang Anda konfigurasikan di Prasyarat. Untuk mengizinkannya:

Titik akhir tergantung pada penyedia Anda:

Jika otentikasi OIDC gagal, untuk langkah pemecahan masalah lihat. Penyedia OIDC tidak terjangkau

Verifikasi konektivitas

Setelah mengonfigurasi jalan CUSTOMER_ROUTED keluar, verifikasi bahwa bidang kontrol dapat mencapai sumber daya VPC Anda:

Untuk mengatasi masalah umum, lihat. Memecahkan masalah jalan keluar pesawat kontrol

📝 Edit halaman ini GitHub