Assegna gruppi di sicurezza a singoli Pod - Amazon EKS
Compatibilità con il plug-in Amazon VPC CNI per le funzionalità di KubernetesConsiderazioni

Aiutaci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina nel riquadro destro di ogni pagina.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Assegna gruppi di sicurezza a singoli Pod

Si applica a: nodi Linux con EC2 istanze Amazon

Si applica a: sottoreti private

I gruppi di sicurezza per Pods integrano i gruppi EC2 di sicurezza Amazon con Kubernetes Pods. Puoi utilizzare i gruppi EC2 di sicurezza Amazon per definire regole che consentano il traffico di rete in entrata e in uscita da e verso i Pods da distribuire ai nodi in esecuzione su molti EC2 tipi di istanze Amazon e Fargate. Per una spiegazione dettagliata di questa funzionalità, consulta il post sul blog Introducing security groups for Pods.

Compatibilità con il plug-in Amazon VPC CNI per le funzionalità di Kubernetes

Puoi utilizzare gruppi di sicurezza per Pods con le seguenti funzionalità:

Considerazioni

Prima di distribuire gruppi di sicurezza per Pods, considera le seguenti limitazioni e condizioni:

  • I gruppi di sicurezza per Pods non possono essere utilizzati con i nodi Windows.

  • I gruppi di sicurezza per Pods possono essere utilizzati con cluster configurati per la IPv6 famiglia che contiene EC2 nodi Amazon utilizzando la versione 1.16.0 o successiva del plug-in Amazon VPC CNI. Puoi utilizzare gruppi di sicurezza per Pods con IPv6 famiglie di configurazioni di cluster che contengono solo nodi Fargate utilizzando la versione 1.7.7 o successiva del plug-in Amazon VPC CNI. Per ulteriori informazioni, consulta Scopri IPv6 gli indirizzi di cluster, pod e servizi

  • I gruppi di sicurezza per Pods sono supportati dalla maggior parte delle famiglie di EC2 istanze Amazon basate su Nitro, ma non da tutte le generazioni di una famiglia. Ad esempio, sono supportate la m5 famiglia e le generazioni c5 r5 m6gc6g,,, e di r6g istanze. Non è supportato alcun tipo di istanza nella famiglia t. Per un elenco completo dei tipi di istanze supportati, consulta il file limits.go su. GitHub I nodi devono essere uno dei tipi di istanza elencati che contengono IsTrunkingCompatible: true nel file.

  • Se utilizzate insieme gruppi di sicurezza e di rete personalizzati per i Pods, viene utilizzato il gruppo di sicurezza specificato dai gruppi di sicurezza per i Pods anziché il gruppo di sicurezza specificato in. ENIConfig

  • Se utilizzi una versione 1.10.2 o una precedente del plug-in Amazon VPC CNI e includi l'terminationGracePeriodSecondsimpostazione nelle specifiche del tuo Pod, il valore per l'impostazione non può essere zero.

  • Se utilizzi una versione 1.10 o una precedente del plug-in Amazon VPC CNI o una versione 1.11 con POD_SECURITY_GROUP_ENFORCING_MODE =, che è l'impostazione predefinitastrict, i servizi Kubernetes di tipo NodePort e che LoadBalancer utilizzano destinazioni di istanze con un externalTrafficPolicy set to Local non sono supportati con i Pod a cui assegni gruppi di sicurezza. Per ulteriori informazioni sull'utilizzo di un load balancer con target di istanza, consultare Indirizza il traffico TCP e UDP con Network Load Balancer.

  • Se utilizzi una versione 1.10 o una precedente del plug-in Amazon VPC CNI o la versione 1.11 con POD_SECURITY_GROUP_ENFORCING_MODE =strict, che è l'impostazione predefinita, il NAT di origine è disabilitato per il traffico in uscita dai pod con gruppi di sicurezza assegnati in modo da applicare le regole del gruppo di sicurezza in uscita. Per accedere a Internet, i Pod con gruppi di sicurezza assegnati devono essere avviati su nodi distribuiti in una sottorete privata configurata con un gateway o un'istanza NAT. I pod con gruppi di sicurezza assegnati distribuiti alle sottoreti pubbliche non sono in grado di accedere a Internet.

    Se utilizzi una versione 1.11 o successiva del plug-in con POD_SECURITY_GROUP_ENFORCING_MODE =standard, il traffico Pod destinato all'esterno del VPC viene tradotto nell'indirizzo IP dell'interfaccia di rete principale dell'istanza. Per questo traffico, vengono utilizzate le regole dei gruppi di sicurezza per l'interfaccia di rete principale, anziché le regole dei gruppi di sicurezza del Pod.

  • Per utilizzare la politica di rete di Calico con i Pod a cui sono associati gruppi di sicurezza, è necessario utilizzare la versione 1.11.0 o successiva del plug-in Amazon VPC CNI e impostare =. POD_SECURITY_GROUP_ENFORCING_MODE standard In caso contrario, il flusso di traffico da e verso i Pod con i gruppi di sicurezza associati non è soggetto all'applicazione delle policy di rete di Calico e si limita esclusivamente all'applicazione dei gruppi EC2 di sicurezza di Amazon. Per aggiornare la versione di CNI di Amazon VPC, consulta la sezione Assegna IPs ai pod con Amazon VPC CNI

  • I pod in esecuzione su EC2 nodi Amazon che utilizzano gruppi di sicurezza in cluster che utilizzano NodeLocal DNSCachesono supportati solo con la versione 1.11.0 o successiva del plug-in Amazon VPC CNI e con =. POD_SECURITY_GROUP_ENFORCING_MODE standard Per aggiornare la versione del plug-in CNI di Amazon VPC, consulta la sezione Assegna IPs ai pod con Amazon VPC CNI

  • I gruppi di sicurezza per i Pod potrebbero portare a una maggiore latenza di avvio dei Pod per i Pod con un tasso di abbandono elevato. Ciò è dovuto alla limitazione della velocità nel controller delle risorse.

  • L'ambito del gruppo EC2 di sicurezza è a livello di POD. Per ulteriori informazioni, consulta Gruppo di sicurezza.

    Se imposti POD_SECURITY_GROUP_ENFORCING_MODE=standard andAWS_VPC_K8S_CNI_EXTERNALSNAT=false, il traffico destinato agli endpoint esterni al VPC utilizza i gruppi di sicurezza del nodo, non i gruppi di sicurezza del Pod.