Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Credenziali dell'host tramite disconnessioni di rete

EKS Hybrid Nodes è integrato con le attivazioni ibride di AWS Systems Manager (SSM) e AWS IAM Roles Anywhere per le credenziali IAM temporanee utilizzate per autenticare il nodo con il piano di controllo EKS. Sia SSM che IAM Roles Anywhere aggiornano automaticamente le credenziali temporanee che gestiscono sugli host locali. Si consiglia di utilizzare un unico provider di credenziali tra i nodi ibridi del cluster: attivazioni ibride SSM o IAM Roles Anywhere, ma non entrambi.

Attivazioni ibride SSM

Le credenziali temporanee fornite da SSM sono valide per un'ora. Non è possibile modificare la durata di validità delle credenziali quando si utilizza SSM come fornitore di credenziali. Le credenziali temporanee vengono ruotate automaticamente da SSM prima della scadenza e la rotazione non influisce sullo stato dei nodi o delle applicazioni. Tuttavia, in caso di disconnessioni di rete tra l'agente SSM e l'endpoint SSM Regional, SSM non è in grado di aggiornare le credenziali e le credenziali potrebbero scadere.

SSM utilizza il backoff esponenziale per i tentativi di aggiornamento delle credenziali se non è in grado di connettersi agli endpoint SSM Regional. Nella versione dell'agente SSM 3.3.808.0 e successive (rilasciata ad agosto 2024), il backoff esponenziale è limitato a 30 minuti. A seconda della durata della disconnessione dalla rete, potrebbero essere necessari fino a 30 minuti affinché SSM aggiorni le credenziali e i nodi ibridi non si riconnetteranno al piano di controllo EKS finché le credenziali non saranno aggiornate. In questo scenario, è possibile riavviare l'agente SSM per forzare l'aggiornamento delle credenziali. Come effetto collaterale dell'attuale comportamento di aggiornamento delle credenziali SSM, i nodi potrebbero riconnettersi in momenti diversi a seconda di quando l'agente SSM su ciascun nodo riesce ad aggiornare le proprie credenziali. Per questo motivo, è possibile che si verifichi un failover del pod da nodi che non sono ancora riconnessi a nodi già riconnessi.

Scarica la versione dell'agente SSM. Puoi anche controllare la sezione Fleet Manager della console SSM:

# AL2023, RHEL
yum info amazon-ssm-agent
# Ubuntu
snap list amazon-ssm-agent

Riavvia l'agente SSM:

# AL2023, RHEL
systemctl restart amazon-ssm-agent
# Ubuntu
systemctl restart snap.amazon-ssm-agent.amazon-ssm-agent

Visualizza i log dell'agente SSM:

tail -f /var/log/amazon/ssm/amazon-ssm-agent.log

Messaggi di registro previsti durante le disconnessioni di rete:

INFO [CredentialRefresher] Credentials ready
INFO [CredentialRefresher] Next credential rotation will be in 29.995040663666668 minutes
ERROR [CredentialRefresher] Retrieve credentials produced error: RequestError: send request failed
INFO [CredentialRefresher] Sleeping for 35s before retrying retrieve credentials
ERROR [CredentialRefresher] Retrieve credentials produced error: RequestError: send request failed
INFO [CredentialRefresher] Sleeping for 56s before retrying retrieve credentials
ERROR [CredentialRefresher] Retrieve credentials produced error: RequestError: send request failed
INFO [CredentialRefresher] Sleeping for 1m24s before retrying retrieve credentials

IAM Roles Anywhere

Le credenziali temporanee fornite da IAM Roles Anywhere sono valide per un'ora per impostazione predefinita. Puoi configurare la durata della validità delle credenziali con IAM Roles Anywhere tramite il durationSeconds campo nel tuo profilo IAM Roles Anywhere. La durata massima di validità delle credenziali è di 12 ore. L'MaxSessionDurationimpostazione sul ruolo IAM di Hybrid Nodes deve essere maggiore dell'durationSecondsimpostazione sul profilo IAM Roles Anywhere.

Quando si utilizza IAM Roles Anywhere come fornitore di credenziali per i nodi ibridi, la riconnessione al piano di controllo EKS dopo le disconnessioni dalla rete avviene in genere entro pochi secondi dal ripristino della rete, perché il kubelet chiama aws_signing_helper credential-process per ottenere le credenziali su richiesta. Sebbene non sia direttamente correlato ai nodi ibridi o alle disconnessioni di rete, è possibile configurare notifiche e avvisi per la scadenza del certificato quando si utilizza IAM Roles Anywhere. Per maggiori informazioni, consulta Personalizzare le impostazioni di notifica in IAM Roles Anywhere.