Implementazione di cluster privati con accesso limitato a Internet

Il tuo cluster deve estrarre immagini da un registro di container che si trova nel tuo VPC. Puoi creare un Amazon Elastic Container Registry nel VPC e copiare al suo interno le immagini dei container per i nodi da cui estrarre. Per ulteriori informazioni, consulta Copia di un'immagine di container da un repository a un altro.

Il tuo cluster deve avere l'accesso privato all'endpoint abilitato. Ciò è obbligatorio per la registrazione dei nodi con l'endpoint del cluster. L'accesso pubblico all'endpoint è facoltativo. Per ulteriori informazioni, consulta Endpoint del server API del cluster.

Prima di essere lanciati, i nodi Linux e Windows autogestiti devono includere i seguenti argomenti di bootstrap. Questi argomenti ignorano l’introspezione Amazon EKS e non richiedono l’accesso all’API Amazon EKS dal VPC.

aws-auth ConfigMap del tuo cluster deve essere creata all’interno del tuo VPC. Per ulteriori informazioni sulla creazione e l'aggiunta di voci a aws-auth ConfigMap, digita eksctl create iamidentitymapping --help nel terminale. Se ConfigMap non esiste sul server, eksctl la creerà quando usi il comando per aggiungere una mappatura dell’identità.

Pod Identity: i pod configurati con EKS Pod Identity acquisiscono le credenziali dall’API EKS Auth. Se non è presente un accesso a Internet in uscita, è necessario creare e utilizzare un endpoint VPC per l’API EKS Auth: com.amazonaws.region-code.eks-auth. Per ulteriori informazioni sugli endpoint VCP EKS ed EKS Auth, consulta Accesso ad Amazon EKS tramite AWS PrivateLink.

IRSA: i pod configurati con ruoli IAM per gli account di servizio acquisiscono le credenziali da una chiamata API del Security Token Service AWS (AWS STS). Se non è presente un accesso a Internet in uscita, è necessario creare e utilizzare un endpoint VPC AWS STS nel VPC. La maggior parte degli AWS SDK v1 utilizzano l’endpoint AWS STS globale per impostazione predefinita (sts.amazonaws.com), che non usa l’endpoint VPC AWS STS. Per utilizzare l’endpoint VPC AWS STS potrebbe essere necessario configurare l’SDK per utilizzare l’endpoint AWS STS regionale (sts.region-code.amazonaws.com). Per ulteriori informazioni, consulta Configurare l’endpoint del Servizio di token di sicurezza AWS per un account di servizio.

Le sottoreti VPC del cluster devono disporre di un endpoint di interfaccia VPC per qualsiasi AWS a cui i pod devono accedere. Per ulteriori informazioni, consulta Accesso a un servizio AWS utilizzando un endpoint VPC di interfaccia. Nella tabella seguente sono elencati alcuni servizi ed endpoint di uso comune. Per un elenco completo degli endpoint, consulta Servizi AWS che si integrano con AWS PrivateLink nella Guida di PrivateLinkAWS.

Consigliamo di abilitare i nomi DNS privati per gli endpoint VPC, in modo che i carichi di lavoro possano continuare a utilizzare gli endpoint del servizio AWS pubblico senza problemi.

Qualsiasi nodo autogestito deve essere implementato in sottoreti con gli endpoint di interfaccia VPC richiesti. Se crei un gruppo di nodi gestiti, il gruppo di sicurezza dell'endpoint di interfaccia VPC deve consentire il CIDR per le sottoreti oppure dovrai aggiungere il gruppo di sicurezza del nodo creato al gruppo di sicurezza dell'endpoint di interfaccia VPC.

Archiviazione EFS: se i tuoi pod utilizzano volumi Amazon EFS, prima di implementare l’archiviazione di un sistema di file elastico con Amazon EFS, il file kustomization.yaml del driver deve essere modificato in modo da impostare che le immagini del container utilizzino la stessa regione AWS del cluster Amazon EKS.

Route53 non supporta AWS PrivateLink. Non è possibile gestire i record DNS di Route53 da un cluster Amazon EKS privato. Ciò ha un impatto su external-dnsdi Kubernetes.

Se utilizzi l’AMI ottimizzata EKS, devi abilitare l’endpoint ec2 nella tabella precedente. In alternativa, esiste la possibilità di impostare manualmente il nome DNS del nodo. L’AMI ottimizzata utilizza le API EC2 per impostare automaticamente il nome DNS del nodo.

È possibile utilizzare il Load Balancer Controller AWS per implementare AWS Application Load Balancer (ALB) e Network Load Balancer sul tuo cluster privato. Quando lo implementi, devi usare i flag della riga di comando per impostareenable-shield, enable-waf e enable-wafv2 su fasle. Il rilevamento dei certificati con i nomi host degli oggetti in entrata non è supportato. Questo perché il controller deve raggiungere AWS Certificate Manager, che non ha un endpoint dell’interfaccia VPC.

Il controller supporta bilanciatori di carico di rete destinazioni IP, necessari per l'utilizzo con Fargate. Per ulteriori informazioni, consultare Instradare il traffico di applicazioni e HTTP con Application Load Balancer e Creazione di un Network Load Balancer.

Cluster Autoscaler è supportato. Quando si implementano i pod di Cluster Autoscaler, assicurarsi che la riga di comando includa --aws-use-static-instance-list=true. Per ulteriori informazioni, consultare Usa elenco di istanze statiche su GitHub. Il nodo worker VPC deve includere anche l’endpoint VPC AWS STS e l’endpoint VPC con scalabilità automatica.

Alcuni prodotti software dei container utilizzano chiamate API che accedono al servizio di misurazione AWS Marketplace per monitorare l’utilizzo. I cluster privati non consentono queste chiamate, pertanto questi tipi di container non possono essere utilizzati nei cluster privati.