AWS プライベートリンクを使用して Amazon EKS にアクセスする

「AWS PrivateLink ガイド」の「Access an AWS service using an interface VPC endpoint」を確認する

サポートと制限: Amazon EKS のインターフェイスエンドポイントは、VPC からのすべての Amazon EKS API アクションへの安全なアクセスを可能にしますが、特定の制限があります。Kubernetes API へのアクセスはサポートされません。Kubernetes API は個別のプライベートエンドポイントがあるため、インターフェイスエンドポイントを介してのみアクセスできるように Amazon EKS を設定することはできません。サービスアカウント (IRSA) の IAM ロールで使用されるクラスター OIDC 検出と JWKS エンドポイントは、独自のサービス名とアクセスコントロール動作を持つ別のインターフェイスエンドポイントからも提供されます。AWS PrivateLink を使用してクラスター OIDC エンドポイントにアクセスする を参照してください。

料金: Amazon EKS のインターフェイスエンドポイントを使用すると、標準の AWS PrivateLink 料金 (各アベイラビリティーゾーンでプロビジョニングされた各エンドポイントの時間単位の料金と、エンドポイントを経由するトラフィックのデータ処理料金) が発生します。詳細については、「AWS PrivateLink の料金」を参照してください。

セキュリティとアクセスコントロール: セキュリティを強化し、アクセスを制御するために、以下の追加設定を推奨します。VPC エンドポイントポリシーを使用し、インターフェイスエンドポイントを介して Amazon EKS へのアクセスを制御し、エンドポイントネットワークインターフェイスにセキュリティグループを関連付けてトラフィックを管理し、VPC フローログを使用してインターフェイスエンドポイントを行き来する IP トラフィックをキャプチャおよびモニタリングし、ログを Amazon CloudWatch または Amazon S3 に発行できるようにします。詳細については、「Control access to VPC endpoints using endpoint policies」および「Logging IP traffic using VPC Flow Logs」を参照してください。

接続オプション: インターフェイスエンドポイントは、オンプレミスアクセス (AWS Direct Connect または AWS Site-to-Site VPN を使用してインターフェイスエンドポイントを持つ VPC にオンプレミスデータセンターを接続する) の使用または VPC 間接続 (AWS Transit Gateway または VPC ピアリングを使用して、インターフェイスエンドポイントを持つ VPC に他の VPC を接続し、トラフィックを AWS ネットワーク内に留める) を介して柔軟な接続オプションを実現します。

IP バージョンのサポート: 2024 年 8 月より前に作成されたエンドポイントは、eks.region.amazonaws.com を使用した IPv4 のみをサポートします。2024 年 8 月以降に作成された新規エンドポイントは、デュアルスタック IPv4 および IPv6 (eks.region.amazonaws.com や eks.region.api.aws など) をサポートしています。

リージョン別可用性: EKS API の AWS PrivateLink は、アジアパシフィック (マレーシア) (ap-southeast-5)、アジアパシフィック (タイ) (ap-southeast-7)、メキシコ (中部) (mx-central-1)、アジアパシフィック (台北) (ap-east-2) のリージョンでは使用できません。 AWSEKS-auth (EKS Pod Identity) の PrivateLink サポートは、アジアパシフィック (マレーシア) (ap-southeast-5) リージョンで利用できます。AWSクラスター OIDC エンドポイント (com.amazonaws.region-code.oidc-eks) の PrivateLink は、ほとんどの AWS リージョンで利用できます。

com.amazonaws.region-code.eks

com.amazonaws.region-code.eks-fips (FIPS 準拠のエンドポイントの場合)

com.amazonaws.region-code.eks-auth

com.amazonaws.region-code.oidc-eks

enableDnsHostnames: VPC 内のインスタンスに DNS ホスト名を付けることができます。

enableDnsSupport: VPC 全体で DNS 解決を有効にします。

eks.region.amazonaws.com: 2024 年 8 月より前に IPv4 アドレスにのみ解決される従来の DNS 名。デュアルスタックに更新された既存のエンドポイントの場合、この名前は IPv4 アドレスおよび IPv6 アドレスの両方に解決されます。

eks.region.api.aws: 2024 年 8 月以降に作成された新規エンドポイントに利用できるこのデュアルスタック DNS 名は、IPv4 アドレスおよび IPv6 アドレスの両方に解決されます。

API リクエスト: エンドポイントの設定に基づいて eks.region.amazonaws.com または eks.region.api.aws のいずれかのデフォルトリージョン DNS 名を使用し、Amazon EKS に API リクエストを行います。

アプリケーションの互換性: EKS API を呼び出す既存のアプリケーションは、この機能を活用するために変更する必要はありません。

AWS CLI とデュアルスタックの併用: デュアルスタックエンドポイントを AWS CLI と使用するには、「 AWS SDK とツールリファレンスガイド」の「デュアルスタックと FIPS エンドポイント」の設定を参照してください。

自動ルーティング: Amazon EKS のデフォルトサービスエンドポイントへの呼び出しはインターフェイスエンドポイントを介して自動的に転送されるため、プライベートで安全な接続が保証されます。

com.amazonaws.region-code.oidc-eks

このエンドポイントは、VPC エンドポイントポリシーをサポートしていません。OIDC 検出ドキュメントと JWKS ドキュメントは匿名で提供されます。これは OpenID Connect 仕様で必須であり、IRSA の仕組みです。バリデータは認証情報を提示せずにパブリックキーを取得します。リクエストには IAM プリンシパルまたはアクションがないため、VPC エンドポイントポリシーには評価対象がありません。このエンドポイントは、デフォルトのフルアクセスポリシーのみを受け入れます。エンドポイントネットワークインターフェイスのセキュリティグループとサブネットルーティングを使用して、エンドポイントに到達できるユーザーを制御します。

プライベート接続は認可境界ではありません。AWS PrivateLink 経由で OIDC エンドポイントに到達すると、このトラフィックは AWS ネットワーク上に保持されます。それ自体は、IAM ロールを引き受けることができるユーザーを制御するものではありません。提供されるデータはパブリックキーマテリアルです。引き受けたロールの信頼ポリシーは、OIDC エンドポイントに到達するために使用されるネットワークパスではなく、IRSA 認可を適用します。この適用は、ワークロードが sts:AssumeRoleWithWebIdentity を呼び出すときに発生します。ロールの信頼ポリシーの aud および sub 条件でロールを引き受けることができるワークロードを制御します。「Kubernetes サービスアカウントに IAM ロールを割り当てる」を参照してください。

AWS STS は独自のパスでトークンを検証します。このエンドポイントは、AWS STS が IRSA トークンを検証する方法には影響しません。ワークロードが AssumeRoleWithWebIdentity を呼び出すと、STS は VPC やこのエンドポイントを通じてではなく、AWS 内からクラスターの JWKS を取得します。このエンドポイントを作成するか、VPC で OIDC DNS を上書きしても、トークンの検証は変更されません。また、ワークロードの AssumeRoleWithWebIdentity 呼び出しをプライベートのままにするには、AWS STS インターフェイスエンドポイントを作成し、リージョンの STS エンドポイントを個別に設定します。「サービスアカウントの AWS セキュリティトークンサービスエンドポイントを設定する」を参照してください。

料金: 標準の AWS PrivateLink 料金が適用されます。「AWS PrivateLink の料金」を参照してください。