Ayude a mejorar esta página

Para contribuir a esta guía del usuario, elija el enlace Edit this page on GitHub que se encuentra en el panel derecho de cada página.

Configuración del enrutamiento de salida del plano de control

De forma predeterminada, Amazon EKS administra la red de salida desde el plano de control de Kubernetes hasta los recursos de la VPC. Utilice el enrutamiento de salida del plano de control para cambiar este comportamiento y administrar la ruta de la red por su cuenta Esto le da un control total sobre la forma en que el tráfico de las interfaces de red elásticas (ENI) del plano de control llega a los recursos de la VPC. Puede dirigirlo a través de sus propias puertas de enlace de NAT, firewalls o dispositivos de inspección.

Modos de enrutamiento de salida

Amazon EKS admite los siguientes modos de enrutamiento de salida del plano de control:

Requisitos previos

La VPC y las subredes deben cumplir los requisitos de red estándar de Amazon EKS. Para obtener más información, consulte Requisitos de red de Amazon EKS para VPC y subredes.

En el modo CUSTOMER_ROUTED, el servidor de la API de Kubernetes envía el tráfico orientado al cliente saliente a través de las interfaces de red entre cuentas. Amazon EKS ya crea estas interfaces en las subredes para la comunicación entre el plano de control y el nodo. Este tráfico incluye las llamadas a los webhooks de admisión y a los proveedores de OIDC. Amazon EKS no crea interfaces de red de salida independientes. Este modo cambia cómo se utilizan las interfaces existentes. Las subredes que contienen estas interfaces deben cumplir los siguientes requisitos:

En el modo CUSTOMER_ROUTED, el plano de control resuelve los nombres de host mediante la configuración de DNS de la VPC. Esto permite que el plano de control llegue a los puntos de conexión de las zonas alojadas privadas de Route 53 y al DNS en las instalaciones reenviado a través de los puntos de conexión de Route 53 Resolver.

En la siguiente tabla, se resume el tráfico que el plano de control envía a través de la VPC en el modo CUSTOMER_ROUTED:

Creación de un clúster con salida enrutada por el cliente

Puede especificar el modo de salida del plano de control al crear un clúster nuevo.

Puede utilizar ipFamily=ipv6 para clústeres IPv6. Cuando utilice IPv6 con el modo CUSTOMER_ROUTED, asegúrese de que las subredes tengan una puerta de enlace de Internet de solo salida para el tráfico IPv6, además de una puerta de enlace de NAT para el tráfico IPv4.

Para AWS CloudFormation, establezca ControlPlaneEgressMode: CUSTOMER_ROUTED en ResourcesVpcConfig. La compatibilidad de Terraform con este campo estará disponible en una versión futura del proveedor de AWS.

Actualización de un clúster existente

Puede cambiar el modo de salida del plano de control en un clúster existente con el comando update-cluster-config.

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Supervise el estado de la actualización:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

La actualización se completa cuando el estado muestra Successful. El tipo de actualización es ControlPlaneEgressUpdate. La actualización suele completarse en 10 minutos.

Consideraciones sobre IPv6

Si ejecuta un clúster IPv6 con salida dirigida por el cliente, debe configurar las rutas de salida IPv4 e IPv6.

Al ejecutar un clúster IPv6 (ipFamily=ipv6) con salida CUSTOMER_ROUTED:

Consideraciones

Tenga en cuenta los siguientes puntos cuando use la salida del plano de control dirigida por el cliente:

Clave de condición de IAM

Amazon EKS admite la clave de condición eks:controlPlaneEgressMode. Puede utilizar esta clave en las políticas de IAM o en las políticas de control de servicios (SCP) para controlar qué modo de salida pueden especificar los intermediarios al crear o actualizar los clústeres.

La clave de condición se aplica a las siguientes acciones:

Por ejemplo, la siguiente SCP deniega la creación del clúster y las actualizaciones de configuración a menos que el intermediario especifique CUSTOMER_ROUTED:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Utilice esta política para garantizar que todos los clústeres nuevos y actualizados de la organización utilicen el modo de salida CUSTOMER_ROUTED.

Configuración del proveedor de OIDC

Si el clúster utiliza un proveedor de identidad de OIDC, el plano de control debe poder llegar al punto de conexión de detección de OIDC a través de HTTPS (puerto 443). Esto se aplica a los roles de IAM para las cuentas de servicio o a un proveedor de identidad de OIDC que asocie para la autenticación de clústeres. No hay una configuración específica de OIDC, ya que utiliza la misma ruta de salida que se configura en Requisitos previos. Para permitirlo:

El punto de conexión depende del proveedor:

Si se produce un error en la autenticación OIDC, consulte los pasos de solución de problemas en No se puede acceder al proveedor de OIDC.

Verificación de la conectividad

Después de configurar la salida de CUSTOMER_ROUTED, compruebe que el plano de control pueda llegar a los recursos de la VPC:

Para solucionar problemas comunes, consulte Solución de problemas de salida del plano de control.

📝 Edite esta página en GitHub