Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten auf, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Konfiguration des Ausgangsroutings auf der Steuerungsebene

Standardmäßig verwaltet Amazon EKS das Ausgangsnetzwerk von der Kubernetes-Steuerebene zu den Ressourcen in Ihrer VPC. Verwenden Sie das Routing für ausgehenden Datenverkehr auf der Kontrollebene, um dieses Verhalten zu ändern und den Netzwerkpfad selbst zu verwalten. Auf diese Weise haben Sie die volle Kontrolle darüber, wie der Datenverkehr von den Elastic Network Interfaces (ENIs) der Steuerungsebene Ihre VPC-Ressourcen erreicht. Sie können das Routing über Ihre eigenen NAT-Gateways, Firewalls oder Inspektions-Appliances durchführen.

Routing-Modi für ausgehenden Datenverkehr

Amazon EKS unterstützt die folgenden Routing-Modi für ausgehenden Ausgang auf der Kontrollebene:

Voraussetzungen

Ihre VPC und Subnetze müssen die standardmäßigen Amazon EKS-Netzwerkanforderungen erfüllen. Weitere Informationen finden Sie unter Amazon-EKS-Netzwerkanforderungen für VPC und Subnetze.

Im CUSTOMER_ROUTED Modus sendet der Kubernetes-API-Server kundenseitigen Datenverkehr ausgehenden Datenverkehr über die kontenübergreifenden Netzwerkschnittstellen. Amazon EKS erstellt diese Schnittstellen bereits in Ihren Subnetzen für die Kommunikation zwischen der Kontrollebene und den Knoten. Dieser Datenverkehr umfasst Aufrufe an Zugangswebhooks und OIDC-Anbieter. Amazon EKS erstellt keine separaten Netzwerkschnittstellen für ausgehenden Datenverkehr. Dieser Modus ändert die Art und Weise, wie die vorhandenen Schnittstellen verwendet werden. Die Subnetze, die diese Schnittstellen enthalten, müssen die folgenden Anforderungen erfüllen:

Im CUSTOMER_ROUTED Modus löst die Kontrollebene Hostnamen mithilfe der DNS-Konfiguration Ihrer VPC auf. Dadurch kann die Kontrollebene Endpunkte in privaten Hosting-Zonen von Route 53 und lokales DNS erreichen, das über Route 53 Resolver-Endpunkte weitergeleitet wird.

In der folgenden Tabelle wird der Verkehr zusammengefasst, den die Kontrollebene über Ihre VPC im CUSTOMER_ROUTED Modus sendet:

Erstellen Sie einen Cluster mit vom Kunden weitergeleitetem Ausgang

Sie können den Ausgangsmodus der Steuerungsebene angeben, wenn Sie einen neuen Cluster erstellen.

Sie können ihn ipFamily=ipv6 für IPv6-Cluster verwenden. Wenn Sie IPv6 mit CUSTOMER_ROUTED Modus verwenden, stellen Sie sicher, dass Ihre Subnetze zusätzlich zu einem NAT-Gateway für IPv4-Verkehr über ein Internet-Gateway für ausgehenden Datenverkehr verfügen.

Für AWS CloudFormation, geben Sie ein ControlPlaneEgressMode: CUSTOMER_ROUTEDResourcesVpcConfig. Terraform-Unterstützung für dieses Feld wird in einer future Version des AWS Anbieters verfügbar sein.

Aktualisieren eines vorhandenen Clusters

Sie können den Ausgangsmodus der Steuerungsebene auf einem vorhandenen Cluster mithilfe des Befehls ändern. update-cluster-config

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Überwachen Sie den Aktualisierungsstatus:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

Das Update ist abgeschlossen, wenn der Status angezeigt wirdSuccessful. Der Aktualisierungstyp istControlPlaneEgressUpdate. Das Update ist in der Regel innerhalb von 10 Minuten abgeschlossen.

Überlegungen zu IPv6

Wenn Sie einen IPv6-Cluster mit vom Kunden weitergeleitetem Ausgang ausführen, müssen Sie sowohl IPv4- als auch IPv6-Ausgangspfade konfigurieren.

Wenn Sie einen IPv6-Cluster () mit Ausgang ausführen: ipFamily=ipv6 CUSTOMER_ROUTED

Überlegungen

Beachten Sie die folgenden Punkte, wenn Sie den vom Kunden gerouteten Ausgang auf der Kontrollebene verwenden:

IAM-Bedingungsschlüssel

Amazon EKS unterstützt den eks:controlPlaneEgressMode Bedingungsschlüssel. Sie können diesen Schlüssel in IAM-Richtlinien oder Service Control Policies (SCPs) verwenden, um zu steuern, welchen Ausgangsmodus Anrufer angeben können, wenn sie Cluster erstellen oder aktualisieren.

Der Bedingungsschlüssel gilt für die folgenden Aktionen:

Der folgende SCP verweigert beispielsweise die Clustererstellung und Konfigurationsupdates, sofern der Aufrufer nicht Folgendes angibt: CUSTOMER_ROUTED

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Verwenden Sie diese Richtlinie, um zu erzwingen, dass alle neuen und aktualisierten Cluster in Ihrer Organisation den CUSTOMER_ROUTED Ausgangsmodus verwenden.

Konfiguration des OIDC-Anbieters

Wenn Ihr Cluster einen OIDC-Identitätsanbieter verwendet, muss die Steuerungsebene in der Lage sein, den OIDC-Erkennungsendpunkt über HTTPS (Port 443) zu erreichen. Dies gilt für IAM-Rollen für Dienstkonten oder für einen OIDC-Identitätsanbieter, den Sie für die Clusterauthentifizierung zuordnen. Es gibt keine OIDC-specific Einstellung; es wird derselbe Ausgangspfad verwendet, den Sie unter Voraussetzungen konfiguriert haben. Um es zuzulassen:

Der Endpunkt hängt von Ihrem Anbieter ab:

Wenn die OIDC-Authentifizierung fehlschlägt, finden Sie die Schritte zur Fehlerbehebung unter. OIDC-Anbieter nicht erreichbar

Überprüfen Sie die Konnektivität

Stellen Sie nach der Konfiguration von CUSTOMER_ROUTED Egress sicher, dass die Steuerungsebene Ihre VPC-Ressourcen erreichen kann:

Informationen zur Behebung häufiger Probleme finden Sie unter. Behebung von Ausgangsproblemen auf der Steuerungsebene

📝 Bearbeiten Sie diese Seite auf GitHub