View a markdown version of this page

Greifen Sie auf Amazon EKS zu mit AWS PrivateLink - Amazon EKS
Bevor Sie beginnenÜberlegungenErstellen eines Schnittstellen-Endpunkts für Amazon EKSPrivate DNS-Feature für Amazon-EKS-SchnittstellenendpunkteGreifen Sie mit folgenden Methoden auf den Cluster-OIDC-Endpunkt zu AWS PrivateLink

Unterstützung für die Verbesserung dieser Seite beitragen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Um zu diesem Benutzerhandbuch beizutragen, wählen Sie den GitHub Link Diese Seite bearbeiten unter, der sich im rechten Bereich jeder Seite befindet.

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Greifen Sie auf Amazon EKS zu mit AWS PrivateLink

Sie können AWS PrivateLink es verwenden, um eine private Verbindung zwischen Ihrer VPC und Amazon Elastic Kubernetes Service herzustellen. Sie können auf Amazon EKS zugreifen, als ob es in Ihrer VPC wäre, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN- oder AWS Direct Connect-Verbindung zu verwenden. Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf Amazon EKS zuzugreifen.

Sie stellen diese private Verbindung her, indem Sie einen Schnittstellenendpunkt erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Hierbei handelt es sich um vom Anforderer verwaltete Netzwerkschnittstellen, die als Eingangspunkt für den Datenverkehr dienen, der für Amazon EKS bestimmt ist.

Weitere Informationen finden Sie AWS PrivateLink im AWS PrivateLink Handbuch unter Zugriff auf AWS Dienste über.

Bevor Sie beginnen

Stellen Sie zunächst sicher, dass Sie die folgenden Aufgaben durchgeführt haben:

Überlegungen

  • Support und Einschränkungen: Amazon-EKS-Schnittstellenendpunkte ermöglichen sicheren Zugriff auf alle Amazon-EKS-API-Aktionen von Ihrem VPC aus, weisen jedoch bestimmte Einschränkungen auf: Sie unterstützen keinen Zugriff auf Kubernetes-APIs, da diese über einen separaten privaten Endpunkt verfügen. Sie können Amazon EKS nicht so konfigurieren, dass nur über den Schnittstellenendpunkt darauf zugegriffen werden kann. Die Cluster-OIDC-Erkennung und der JWKS-Endpunkt, die von IAM-Rollen für Dienstkonten (IRSA) verwendet werden, werden ebenfalls von einem separaten Schnittstellenendpunkt aus bedient, der seinen eigenen Dienstnamen und sein eigenes Verhalten bei der Zugriffskontrolle hat; siehe. Greifen Sie mit folgenden Methoden auf den Cluster-OIDC-Endpunkt zu AWS PrivateLink

  • Preisgestaltung: Für die Verwendung von Schnittstellenendpunkten für Amazon EKS fallen Standardgebühren an: stündliche AWS PrivateLink Gebühren für jeden Endpunkt, der in jeder Availability Zone bereitgestellt wird, Datenverarbeitungsgebühren für den Datenverkehr über den Endpunkt. Weitere Informationen finden Sie auf der Seite über AWS PrivateLink – Preise.

  • Sicherheit und Zugriffskontrolle: Wir empfehlen, die Sicherheit zu erhöhen und den Zugriff mit diesen zusätzlichen Konfigurationen zu kontrollieren. Verwenden Sie VPC-Endpunktrichtlinien, um den Zugriff auf Amazon EKS über den Schnittstellenendpunkt zu kontrollieren, Sicherheitsgruppen mit den Netzwerkschnittstellen der Endpunkte zu verknüpfen, VPC-Flow-Protokolle zu verwenden, um den IP-Verkehr zu und von den Schnittstellenendpunkten zu erfassen und zu überwachen, wobei die Protokolle auf Amazon CloudWatch oder Amazon S3 veröffentlicht werden können. Weitere Informationen finden Sie unter Zugriff auf VPC-Endpunkte mithilfe von Endpunktrichtlinien steuern und Protokollierung von IP-Datenverkehr mithilfe von VPC-Ablaufprotokollen.

  • Konnektivitätsoptionen: Schnittstellenendpunkte bieten flexible Konnektivitätsoptionen über lokalen Zugriff (verbinden Sie Ihr lokales Rechenzentrum mit einer VPC, wobei der Schnittstellenendpunkt über AWS Direct Connect oder AWS Site-to-Site VPN verwendet wird) oder über Inter-VPC-Konnektivität (verwenden Sie AWS Transit Gateway oder VPC-Peering, um andere VPCs mit dem Schnittstellenendpunkt zu verbinden und den Datenverkehr innerhalb des AWS Netzwerks zu halten).

  • Support für IP-Versionen: Endpunkte, die vor August 2024 erstellt wurden, unterstützen nur IPv4 unter Verwendung von eks.region.amazonaws.com. Neue Endpunkte, die nach August 2024 erstellt wurden, unterstützen Dual-Stack-IPv4 und IPv6 (z. B. eks.region.amazonaws.com, eks.region.api.aws).

  • Regionale Verfügbarkeit: AWS PrivateLink denn die EKS-API ist in den Regionen Asien-Pazifik (Malaysia) (ap-southeast-5), Asien-Pazifik (Thailand) (ap-southeast-7), Mexiko (Central) (mx-central-1) und Asien-Pazifik (Taipeh) (ap-east-2) nicht verfügbar. AWS PrivateLink Unterstützung für eks-auth (EKS Pod Identity) ist in der Region Asien-Pazifik (Malaysia) (ap-southeast-5) verfügbar. AWS PrivateLink für den Cluster ist der OIDC-Endpunkt () in den meisten Regionen verfügbar. com.amazonaws.region-code.oidc-eks AWS

Erstellen eines Schnittstellen-Endpunkts für Amazon EKS

Sie können einen Schnittstellenendpunkt für Amazon EKS entweder mit der Amazon VPC-Konsole oder der AWS Befehlszeilenschnittstelle (AWS CLI) erstellen. Weitere Informationen finden Sie im Handbuch unter Erstellen eines VPC-Endpunkts AWS PrivateLink .

Erstellen Sie einen Schnittstellenendpunkt für Amazon EKS unter Verwendung der folgenden Service-Namen:

EKS-API

  • com.amazonaws.region-code.eks

  • com.amazonaws.region-code.eks-fips (für Endpunkte) FIPS-compliant

EKS-Auth-API (EKS Pod Identity)

  • com.amazonaws.region-code.eks-auth

OIDC-Endpunkt des EKS-Clusters (IRSA Discovery/JWKS)

  • com.amazonaws.region-code.oidc-eks

Dieser Endpunkt hat ein anderes Zugriffssteuerungsverhalten als die EKS-API-Endpunkte. Weitere Informationen finden Sie unter Greifen Sie mit folgenden Methoden auf den Cluster-OIDC-Endpunkt zu AWS PrivateLink.

Private DNS-Feature für Amazon-EKS-Schnittstellenendpunkte

Die private DNS-Funktion, die standardmäßig für Schnittstellenendpunkte von Amazon EKS und anderen AWS Diensten aktiviert ist, ermöglicht sichere und private API-Anfragen unter Verwendung standardmäßiger regionaler DNS-Namen. Diese Funktion stellt sicher, dass API-Aufrufe über das private AWS Netzwerk über den Schnittstellenendpunkt weitergeleitet werden, wodurch Sicherheit und Leistung verbessert werden.

Die private DNS-Funktion wird automatisch aktiviert, wenn Sie einen Schnittstellenendpunkt für Amazon EKS oder andere AWS Dienste erstellen. Zur Aktivierung, müssen Sie Ihre VPC korrekt konfigurieren, indem Sie bestimmte Attribute festlegen:

  • aktivieren DnsHostnames: Ermöglicht Instances innerhalb der VPC, DNS-Hostnamen zu haben.

  • aktivieren DnsSupport: Aktiviert die DNS-Auflösung in der gesamten VPC.

Eine Schritt-für-Schritt-Anleitung zum Überprüfen oder Ändern dieser Einstellungen finden Sie unter Anzeigen und Aktualisieren der DNS-Attribute für Ihre VPC.

DNS-Namen und IP-Adresstypen

Wenn das private DNS-Feature aktiviert ist, können Sie bestimmte DNS-Namen verwenden, um eine Verbindung zu Amazon EKS herzustellen. Diese Optionen werden im Laufe der Zeit weiterentwickelt:

  • eks.region.amazonaws.com: Der herkömmliche DNS-Name, der vor August 2024 nur zu IPv4-Adressen aufgelöst wird. Für vorhandene Endpunkte, die auf Dual-Stack aktualisiert wurden, wird dieser Name sowohl in IPv4- als auch in IPv6-Adressen aufgelöst.

  • eks.region.api.aws: Dieser Dual-Stack-DNS-Name ist für neue Endpunkte verfügbar, die nach August 2024 erstellt wurden, und wird sowohl in IPv4- als auch in IPv6-Adressen aufgelöst.

Nach August 2024 werden neue Schnittstellenendpunkte mit zwei DNS-Namen bereitgestellt, und Sie haben die Möglichkeit, den Dual-Stack-IP-Adresstyp zu wählen. Für vorhandene Endpunkte wird durch die Aktualisierung auf Dual-Stack eks.region.amazonaws.com so geändert, dass sowohl IPv4 als auch IPv6 unterstützt werden.

Verwendung des privaten DNS-Features

Nach der Konfiguration kann das private DNS-Feature in Ihre Workflows integriert werden und bietet Ihnen folgende Möglichkeiten:

  • API-Anfragen: Verwenden Sie die standardmäßigen regionalen DNS-Namen, entwedereks.region.amazonaws.com oder eks.region.api.aws, basierend auf der Konfiguration Ihres Endpunkts, um API-Anfragen an Amazon EKS zu senden.

  • Anwendungskompatibilität: Ihre vorhandenen Anwendungen, die EKS-APIs aufrufen, erfordern keine Änderungen, um dieses Feature zu nutzen.

  • AWS CLI mit Dual-Stack: Informationen zur Verwendung der Dual-Stack-Endpunkte mit der AWS CLI finden Sie in der Konfiguration der FIPS-Endpunkte im Referenzhandbuch für AWS SDKs Dual-stack und Tools.

  • Automatische Weiterleitung: Jeder Aufruf des Standard-Service-Endpunkts von Amazon EKS wird automatisch über den Schnittstellenendpunkt weitergeleitet, wodurch eine private und sichere Verbindung gewährleistet wird.

Greifen Sie mit folgenden Methoden auf den Cluster-OIDC-Endpunkt zu AWS PrivateLink

Jeder Amazon EKS-Cluster veröffentlicht ein öffentliches OpenID Connect (OIDC) -Discovery-Dokument und das JSON Web Key Set (JWKS) unter seiner OIDC-Aussteller-URL. IAM-Rollen für Dienstkonten (IRSA) verwendet diesen Endpunkt, um die öffentlichen Signaturschlüssel des Clusters zu veröffentlichen. Tools, die IRSA einrichten oder Tokens validieren, rufen Schlüssel direkt von diesem Endpunkt ab.

Sie können AWS PrivateLink es verwenden, um diesen OIDC-Endpunkt privat von Ihrer VPC aus zu erreichen, ohne dass Internetausgänge erforderlich sind. Dies ist nützlich für private VPCs oder VPCs ohne ausgehenden Zugriff, bei denen VPC-Tools den OIDC-Endpunkt erreichen müssen. Beispielsweise müssen Sie den IAM-OIDC-Identitätsanbieter (eksctlTerraform oder die CLI) des Clusters erstellen oder Ihre eigenen Token-Validatoren innerhalb der VPC ausführen. AWS Bisher erforderte das Erreichen dieses Endpunkts einen Internetzugang oder DNS-Problemumgehungen (siehe Container-Roadmap #2038 auf). https://github.com/aws/containers-roadmap/issues/2038 GitHub

Erstellen Sie einen Schnittstellenendpunkt für den Cluster-OIDC-Endpunkt mit dem folgenden Dienstnamen:

  • com.amazonaws.region-code.oidc-eks

Überlegungen

  • Dieser Endpunkt unterstützt keine VPC-Endpunktrichtlinien. Die OIDC-Discovery- und JWKS-Dokumente werden anonym zugestellt. Dies ist in der OpenID Connect-Spezifikation vorgeschrieben und so funktioniert IRSA: Validatoren rufen öffentliche Schlüssel ab, ohne Anmeldeinformationen vorzulegen. Da Anfragen keinen IAM-Prinzipal oder keine IAM-Action enthalten, hat eine VPC-Endpunktrichtlinie nichts, anhand dessen sie bewertet werden könnte. Dieser Endpunkt akzeptiert nur die Standardrichtlinie für vollen Zugriff. Steuern Sie mit den Sicherheitsgruppen an den Netzwerkschnittstellen des Endpunkts und mit Subnetz-Routing, wer den Endpunkt erreichen kann.

  • Private Konnektivität ist keine Autorisierungsgrenze. Wenn Sie den OIDC-Endpunkt erreichen, AWS PrivateLink bleibt dieser Datenverkehr im AWS Netzwerk — er allein bestimmt nicht, wer eine IAM-Rolle übernehmen kann. Bei den bereitgestellten Daten handelt es sich um öffentliche Schlüssel. Die Vertrauensrichtlinie der übernommenen Rolle erzwingt die IRSA-Autorisierung, nicht der Netzwerkpfad, der zum Erreichen des OIDC-Endpunkts verwendet wurde. Diese Durchsetzung erfolgt, wenn ein Workload anruft. sts:AssumeRoleWithWebIdentity Steuern Sie anhand der sub Bedingungen aud und in der Vertrauensrichtlinie der Rolle, welche Workloads eine Rolle übernehmen können. Weitere Informationen finden Sie unter Zuweisen von IAM-Rollen zu Kubernetes-Dienstkonten.

  • AWS STS validiert Token auf seinem eigenen Pfad. Dieser Endpunkt hat keinen Einfluss darauf, wie AWS STS IRSA-Token validiert. Wenn ein Workload anruftAssumeRoleWithWebIdentity, ruft STS die JWKS des Clusters von innen ab AWS, nicht über Ihre VPC oder diesen Endpunkt. Das Erstellen dieses Endpunkts oder das Überschreiben von OIDC-DNS in Ihrer VPC ändert nichts an der Token-Validierung. Um den AssumeRoleWithWebIdentity Anruf des Workloads auch privat zu halten, erstellen Sie einen AWS STS-Schnittstellenendpunkt und konfigurieren Sie den regionalen STS-Endpunkt separat; siehe Den AWS Security Token Service-Endpunkt für ein Dienstkonto konfigurieren.

  • Preisgestaltung: Es AWS PrivateLink fallen Standardgebühren an. Sehen Sie sich die AWS PrivateLink Preise an.

Private DNS- und Dual-Stack-Namen

Jeder Cluster hat einen OIDC-Aussteller-Hostnamen, der von der IP-Familie des Clusters bestimmt wird. IPv4-Cluster, die die Standardeinstellung sind, verwenden. oidc.eks.region-code.amazonaws.com IPv6-Cluster verwenden den Dual-Stack-Hostnamenoidc-eks.region-code.api.aws, der sowohl in IPv4- als auch in IPv6-Adressen aufgelöst wird. In den Regionen AWS China lautet der Dual-Stack-Hostname. oidc-eks---region-code---api.amazonwebservices.com.rproxy.goskope.com.cn

Der Schnittstellenendpunkt registriert beide Hostnamen. Wenn privates DNS aktiviert ist (Standardeinstellung), wird jeder Hostname zu Ihrem Schnittstellenendpunkt aufgelöst. Die Aussteller-URL Ihres Clusters wird daher in den Endpunkt aufgelöst, unabhängig davon, ob der Cluster den Hostnamen oder den oidc.eks.region-code.amazonaws.com Dual-Stack-Hostnamen verwendet. Ein Client, der der Aussteller-URL eines Tokens folgt, um das Discovery-Dokument und JWKS abzurufen, erreicht den Endpunkt in beiden Fällen privat.