Aktionen für AWS Fargate OS-Patching-Ereignisse festlegen

Amazon EKS patcht das Betriebssystem für AWS Fargate-Knoten regelmäßig, um deren Sicherheit zu gewährleisten. Im Rahmen des Patching-Prozesses werden die Knoten recycelt, um Betriebssystem-Patches zu installieren. Updates werden so durchgeführt, dass sie Ihre Services möglichst wenig beeinflussen. Wenn Pods jedoch nicht erfolgreich entfernt werden, müssen sie manchmal gelöscht werden. Die folgenden Maßnahmen können Ihnen helfen, potenzielle Unterbrechungen zu minimieren:

Amazon EKS arbeitet eng mit der Kubernetes-Community zusammen, um Bugfixes und Sicherheitspatches so schnell wie möglich verfügbar zu machen. Alle Fargate Pods beginnen mit der neuesten Kubernetes-Patch-Version, die bei Amazon EKS für die Kubernetes-Version Ihres Clusters erhältlich ist. Wenn Sie einen Pod mit einer älteren Patch-Version haben, recycelt Amazon EKS ihn möglicherweise, um ihn auf die neueste Version zu aktualisieren. Dadurch wird sichergestellt, dass Ihre Pods mit den neuesten Sicherheitsupdates ausgestattet sind. Auf diese Weise werden Sie bei einem kritischen CVE-Problem (Common Vulnerabilities and Exposures) auf dem Laufenden gehalten, um Sicherheitsrisiken zu reduzieren.

Wenn das AWS Fargate-Betriebssystem aktualisiert wird, sendet Ihnen Amazon EKS eine Benachrichtigung, die Ihre betroffenen Ressourcen und das Datum der bevorstehenden Pod-Räumung enthält. Wenn das angegebene Räumungsdatum ungünstig ist, haben Sie die Möglichkeit, Ihre betroffenen Pods vor dem in der Benachrichtigung angegebenen Räumungsdatum manuell neu zu starten. Alle Pods, die vor dem Zeitpunkt, zu dem du die Benachrichtigung erhältst, erstellt wurden, unterliegen der Räumung. Weitere Anweisungen zum manuellen Neustart Ihrer Pods finden Sie in der Kubernetes-Dokumentation.

Um die Anzahl der Pods zu begrenzen, die beim Recycling von Pods gleichzeitig ausgefallen sind, können Sie Budgets für die Unterbrechung von Pods festlegen ()PDBs. Sie können dies verwenden PDBs , um die Mindestverfügbarkeit auf der Grundlage der Anforderungen Ihrer einzelnen Anwendungen zu definieren und gleichzeitig Aktualisierungen zuzulassen. Die Mindestverfügbarkeit Ihrer PDB muss unter 100% liegen. Weitere Informationen finden Sie in der Kubernetes-Dokumentation unter Angabe eines Unterbrechungsbudgets für Ihre Anwendung.

Amazon EKS verwendet die Eviction-API, um den Pod sicher zu entleeren und dabei die Einstellungen zu berücksichtigen PDBs , die Sie für die Anwendung festgelegt haben. Pods werden von der Availability Zone bereinigt, um Auswirkungen zu minimieren. Wenn die Räumung erfolgreich ist, erhält der neue Pod den neuesten Patch und es sind keine weiteren Maßnahmen erforderlich.

Wenn die Räumung eines Pods fehlschlägt, sendet Amazon EKS ein Ereignis mit Details zu den Pods, bei denen die Räumung fehlgeschlagen ist, an Ihr Konto. Sie können vor der geplanten Beendigungszeit auf die Nachricht reagieren. Die spezifische Zeit variiert je nach Dringlichkeit des Patches. Wenn es soweit ist, versucht Amazon EKS erneut, die Pods zu vertreiben. Dieses Mal wird bei einer fehlgeschlagenen Bereinigung jedoch kein neues Ereignis gesendet. Schlägt die Räumung erneut fehl, werden Ihre vorhandenen Pods regelmäßig gelöscht, sodass die neuen Pods über den neuesten Patch verfügen können.

Im Folgenden finden Sie ein Beispiel für ein Ereignis, das ausgelöst wurde, wenn die Pod-Entfernung fehlschlägt. Es enthält Details zum Cluster, zum Pod-Namen, zum Pod-Namespace, zum Fargate-Profil und zur geplanten Kündigungszeit.

{
    "version": "0",
    "id": "12345678-90ab-cdef-0123-4567890abcde",
    "detail-type": "EKS Fargate Pod Scheduled Termination",
    "source": "aws.eks",
    "account": "111122223333",
    "time": "2021-06-27T12:52:44Z",
    "region": "region-code",
    "resources": [
        "default/my-database-deployment"
    ],
    "detail": {
        "clusterName": "my-cluster",
        "fargateProfileName": "my-fargate-profile",
        "podName": "my-pod-name",
        "podNamespace": "default",
        "evictErrorMessage": "Cannot evict pod as it would violate the pod's disruption budget",
        "scheduledTerminationTime": "2021-06-30T12:52:44.832Z[UTC]"
    }
}

Wenn einem Pod mehrere PDBs zugeordnet sind, kann dies außerdem dazu führen, dass die Räumung fehlschlägt. In diesem Fall gibt das Ereignis die folgende Fehlernachricht zurück.

"evictErrorMessage": "This pod has multiple PodDisruptionBudget, which the eviction subresource does not support",

Basierend auf diesem Ereignis können Sie eine gewünschte Aktion erstellen. Sie können beispielsweise Ihr Budget für die Unterbrechung Ihres Pods (PDB) anpassen, um zu kontrollieren, wie die Pods geräumt werden. Nehmen wir genauer an, dass Sie mit einer PDB beginnen, die den Zielprozentsatz der verfügbaren Pods festlegt. Bevor Ihre Pods während eines Upgrades zwangsweise beendet werden, können Sie die PDB auf einen anderen Prozentsatz an Pods anpassen. Um dieses Ereignis zu erhalten, müssen Sie eine EventBridge Amazon-Regel für das AWS Konto und die AWS Region erstellen, zu der der Cluster gehört. Die Regel muss das folgende benutzerdefinierte Muster verwenden. Weitere Informationen finden Sie im EventBridge Amazon-Benutzerhandbuch unter Erstellen von EventBridge Amazon-Regeln, die auf Ereignisse reagieren.

{
  "source": ["aws.eks"],
  "detail-type": ["EKS Fargate Pod Scheduled Termination"]
}

Es kann ein geeignetes Ziel zur Erfassung durch das Ereignis festgelegt werden. Eine vollständige Liste der verfügbaren Ziele finden Sie unter EventBridge Amazon-Ziele im EventBridge Amazon-Benutzerhandbuch. Sie können auch eine Benachrichtigungskonfiguration unter AWS Benutzerbenachrichtigungen erstellen. Wenn Sie AWS Management Console zum Erstellen der Benachrichtigung verwenden, wählen Sie unter Event Rules Elastic Kubernetes Service (EKS) als AWS Servicename und EKS Fargate Pod Scheduled Termination als Ereignistyp aus. Weitere Informationen finden Sie unter Erste Schritte mit AWS Benutzerbenachrichtigungen im Benutzerhandbuch für AWS Benutzerbenachrichtigungen.

Häufig gestellte Fragen zu EKS Pod-Räumungen finden Sie unterFAQs: Räumungsmitteilung für Fargate Pod in AWS re:POST.