Visualizza i requisiti di rete di Amazon EKS per VPC e sottoreti - Amazon EKS
Considerazioni e requisiti relativi al VPCConsiderazioni e requisiti relativi alle sottoretiConsiderazioni e requisiti relativi alle sottoreti condivisi

Aiutaci a migliorare questa pagina

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Vuoi contribuire a questa guida per l'utente? Scegli il GitHub link Modifica questa pagina che si trova nel riquadro destro di ogni pagina. I tuoi contributi contribuiranno a rendere la nostra guida utente migliore per tutti.

Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Visualizza i requisiti di rete di Amazon EKS per VPC e sottoreti

Durante la creazione di un cluster, in genere si specificano un VPC e due sottoreti che si trovano in zone di disponibilità diverse. Questo argomento offre una panoramica dei requisiti e delle considerazioni specifiche di Amazon EKS per il VPC e le sottoreti utilizzate con il cluster. Se non disponi di un VPC da utilizzare con Amazon EKS, consulta. Crea un Amazon VPC per il tuo cluster Amazon EKS Se stai creando un cluster locale o esteso su AWS Outposts, consulta Crea un VPC e sottoreti per i cluster Amazon EKS su Outposts AWS invece di questo argomento. Il contenuto di questo argomento si applica ai cluster Amazon EKS con nodi ibridi. Per ulteriori requisiti di rete per i nodi ibridi, consultaPreparare la rete per i nodi ibridi.

Considerazioni e requisiti relativi al VPC

Durante la creazione di un cluster, il VPC specificato deve soddisfare i requisiti e le considerazioni seguenti:

  • Il VPC deve disporre di un numero sufficiente di indirizzi IP disponibili per il cluster, qualsiasi nodo e altro Kubernetes risorse che desideri creare. Se il VPC che desideri utilizzare non ha un numero sufficiente di indirizzi IP, prova ad aumentare il numero di indirizzi IP disponibili.

    È possibile farlo aggiornando la configurazione del cluster per modificare le sottoreti e i gruppi di sicurezza utilizzati dal cluster. È possibile eseguire l' AWS Management Console aggiornamento dalla versione più recente della AWS CLI e dalla eksctl versione v0.164.0-rc.0 o successiva. AWS CloudFormation Potrebbe essere necessario eseguire questa operazione per fornire alle sottoreti più indirizzi IP disponibili per aggiornare in modo corretto una versione del cluster.

    Importante

    Tutte le sottoreti aggiunte devono appartenere allo stesso set fornito originariamente al momento della AZs creazione del cluster. Le nuove sottoreti devono soddisfare tutti gli altri requisiti, ad esempio devono disporre di sufficienti indirizzi IP.

    Supponiamo ad esempio che hai creato un cluster e specificato quattro sottoreti. Nell'ordine in cui le hai specificate, la prima sottorete si trova nella zona di disponibilità us-west-2a, la seconda e la terza si trovano nella zona di disponibilità us-west-2b e la quarta si trova nella zona di disponibilità us-west-2c. Se desideri modificare le sottoreti, devi fornire almeno una sottorete in ciascuna delle tre zone di disponibilità e le sottoreti devono trovarsi nello stesso VPC delle sottoreti originali.

    Se hai bisogno di più indirizzi IP rispetto ai blocchi CIDR nel VPC, puoi aggiungere altri blocchi CIDR associando ulteriori blocchi di routing interdominio senza classi (CIDR) al VPC. È possibile associare private (RFC 1918) e pubblico (non-RFC 1918) Blocca CIDR sul tuo VPC prima o dopo la creazione del cluster. Il riconoscimento del blocco CIDR associato a un VPC da parte del cluster può richiedere fino a cinque ore.

    È possibile conservare l'utilizzo degli indirizzi IP tramite un gateway di transito con un VPC di servizi condivisi. Per ulteriori informazioni, consulta Isolato VPCs con servizi condivisi e modelli di conservazione degli indirizzi IP routabili VPC di Amazon EKS in una rete ibrida.

  • Se vuoi Kubernetes a cui assegnare IPv6 indirizzi Pods e servizi, associa un blocco IPv6 CIDR al tuo VPC. Per ulteriori informazioni, consulta Associare un blocco IPv6 CIDR al tuo VPC nella Amazon VPC User Guide. Non è possibile utilizzare IPv6 indirizzi con pod e servizi in esecuzione su nodi ibridi e non è possibile utilizzare nodi ibridi con cluster configurati con la famiglia di indirizzi IP. IPv6

  • Il VPC deve supportare il nome host DNS e la risoluzione DNS. In caso contrario, i nodi non possono registrarsi nel cluster. Per ulteriori informazioni, consulta Attributi DNS nel VPC nella Guida per l'utente di Amazon VPC.

  • Il VPC potrebbe richiedere l'utilizzo di endpoint VPC. AWS PrivateLink Per ulteriori informazioni, consulta Considerazioni e requisiti relativi alle sottoreti.

Se hai creato un cluster con Kubernetes 1.14o in precedenza, Amazon EKS ha aggiunto il seguente tag al tuo VPC:

Chiave Valore

kubernetes.io/cluster/my-cluster

owned

Questo tag è stato utilizzato solo da Amazon EKS, per cui è possibile rimuoverlo senza influire sui servizi. Non viene utilizzato con i cluster della versione precedente 1.15 o successiva.

Considerazioni e requisiti relativi alle sottoreti

Durante la creazione di un cluster, Amazon EKS crea da 2 a 4 interfacce di rete elastiche nelle sottoreti specificate. Queste interfacce di rete consentono la comunicazione tra il cluster e il VPC. Queste interfacce di rete consentono inoltre Kubernetes funzionalità come kubectl exec e. kubectl logs Ogni interfaccia di rete creata da Amazon EKS ha il testo Amazon EKS cluster-name nella sua descrizione.

Amazon EKS può creare le proprie interfacce di rete in qualsiasi sottorete specificata al momento della creazione di un cluster. Puoi modificare le sottoreti in cui Amazon EKS crea le interfacce di rete dopo la creazione del cluster. Quando si aggiorna il Kubernetes versione di un cluster, Amazon EKS elimina le interfacce di rete originali che ha creato e crea nuove interfacce di rete. Queste interfacce di rete potrebbero essere create all'interno delle stesse sottoreti o in sottoreti diverse rispetto alle interfacce di rete originali. Per verificare in quali sottoreti vengono create le interfacce di rete, puoi limitare il numero di sottoreti specificate a due quando crei un cluster o aggiornare le sottoreti dopo aver creato il cluster.

Requisiti relativi alla sottorete per i cluster

Le sottoreti specificate al momento della creazione o dell'aggiornamento di un cluster devono soddisfare i seguenti requisiti:

  • Ciascuna sottorete deve disporre di almeno sei indirizzi IP  per l'uso da parte di Amazon EKS. Tuttavia, consigliamo di utilizzare almeno 16 indirizzi IP.

  • Le sottoreti devono trovarsi in almeno due zone di disponibilità diverse.

  • Le sottoreti non possono risiedere in AWS Outposts o Wavelength. AWS Tuttavia, se li hai nel tuo VPC, puoi implementare nodi autogestiti e Kubernetes risorse per questi tipi di sottoreti. Per ulteriori informazioni sui nodi autogestiti, vedere. Gestisci i nodi autonomamente con nodi autogestiti

  • Le sottoreti possono essere pubbliche o private. Tuttavia, si consiglia di specificare sottoreti private, se possibile. Una sottorete pubblica è una sottorete con una tabella di routing che include un percorso verso un gateway Internet, mentre una sottorete privata è una sottorete con una tabella di routing che non include un percorso verso un gateway Internet.

  • Le sottoreti non possono risiedere nelle seguenti zone di disponibilità:

    AWS Regione Nome della Regione Zona di disponibilità non consentita IDs

    us-east-1

    Stati Uniti orientali (Virginia settentrionale)

    use1-az3

    us-west-1

    Stati Uniti occidentali (California settentrionale)

    usw1-az2

    ca-central-1

    Canada (Centrale)

    cac1-az3

Utilizzo della famiglia di indirizzi IP per componente

La tabella seguente contiene la famiglia di indirizzi IP utilizzata da ogni componente di Amazon EKS. Puoi utilizzare un NAT (Network Address Translation) o un altro sistema di compatibilità per connetterti a questi componenti da indirizzi IP di origine appartenenti a famiglie con "No" valore per una voce di tabella.

La funzionalità può variare a seconda del IP family (ipFamily) impostazione del cluster. Questa impostazione modifica il tipo di indirizzi IP utilizzati per CIDR bloccalo Kubernetes assegna a Services. Un cluster con il valore impostato di IPv4 viene definito cluster e IPv4 cluster con il valore di impostazione di IPv6 viene definito IPv6 cluster.

Componente IPv4 indirizzi IPv6 indirizzi Indirizzi dual stack

Endpoint pubblico dell'API EKS

Sì 1,3

Sì 1,3

Sì 1,3

Endpoint VPC API EKS

Sì

No

No

Endpoint pubblico dell'API EKS Auth (EKS Pod Identity)

Sì1

Sì1

Sì1

Endpoint VPC dell'API di autenticazione EKS (EKS Pod Identity)

Sì1

Sì1

Sì1

IPv4 Kubernetes endpoint pubblico del cluster 2

Sì

No

No

IPv4 Kubernetes endpoint privato del cluster 2

Sì

No

No

IPv6 Kubernetes endpoint pubblico del cluster 2

Sì 1,4

Sì 1,4

Sì4

IPv6 Kubernetes endpoint privato del cluster 2

Sì 1,4

Sì 1,4

Sì4

Kubernetes sottoreti del cluster

Sì2

No

Sì2

Indirizzi IP primari del nodo

Sì2

No

Sì2

Cluster CIDR intervallo per Service Indirizzi IP

Sì2

Sì2

No

Pod Indirizzi IP dal VPC CNI

Sì2

Sì2

No

IRSA OIDC Emittente URLs

Sì 1,3

Sì 1,3

Sì 1,3

Nota

1 L'endpoint è dual-stack con entrambi IPv4 gli IPv6 indirizzi. Le applicazioni esterne AWS, i nodi del cluster e i pod all'interno del cluster possono raggiungere questo endpoint tramite l'uno o l'altro. IPv4 IPv6

2 È possibile scegliere tra un IPv4 cluster e un IPv6 cluster nel IP family (ipFamily) impostazione del cluster quando si crea un cluster e questa non può essere modificata. È invece necessario scegliere un'impostazione diversa quando si crea un altro cluster e si migrano i carichi di lavoro.

3 L'endpoint dual-stack è stato introdotto nell'agosto 2024. Per utilizzare gli endpoint dual-stack con la AWS CLI, consulta la configurazione degli endpoint Dual-stack e FIPS nella and Tools Reference Guide. AWS SDKs Di seguito sono elencati i nuovi endpoint:

Endpoint pubblico dell'API EKS

eks.region.api.aws

IRSA OIDC Emittente URLs

oidc-eks.region.api.aws

4 L'endpoint del cluster dual-stack è stato introdotto nell'ottobre 2024. EKS crea il seguente endpoint per i nuovi cluster creati dopo questa data e selezionati IPv6 nell'impostazione della famiglia IP (IPFamily) del cluster:

Endpoint pubblico/privato del cluster EKS

eks-cluster.region.api.aws

Requisiti relativi alla sottorete per i nodi

È possibile distribuire nodi e Kubernetes risorse nelle stesse sottoreti specificate al momento della creazione del cluster. Tuttavia, ciò non è necessario. Questo perché puoi anche distribuire nodi e Kubernetes risorse per le sottoreti che non hai specificato al momento della creazione del cluster. Se distribuisci nodi su sottoreti diverse, Amazon EKS non crea interfacce di rete di cluster in tali sottoreti. Qualsiasi sottorete in cui distribuisci nodi e Kubernetes le risorse devono soddisfare i seguenti requisiti:

  • Le sottoreti devono avere un numero sufficiente di indirizzi IP disponibili per distribuire tutti i nodi e Kubernetes risorse per.

  • Se vuoi Kubernetes a cui assegnare IPv6 indirizzi Pods e servizi, quindi è necessario disporre di un blocco IPv6 CIDR e un blocco IPv4 CIDR associati alla sottorete. Per ulteriori informazioni, consulta Associare un blocco IPv6 CIDR alla sottorete nella Amazon VPC User Guide. Le tabelle di instradamento associate alle sottoreti devono includere instradamenti a indirizzi IPv4 e IPv6. Per maggiori informazioni, consulta Routes (Instradamenti) nella Guida dell'utente di Amazon VPC. Ai pod viene assegnato solo un indirizzo IPv6, mentre alle interfacce di rete create da Amazon EKS per il cluster e ai nodi vengono assegnati un indirizzo IPv4 e uno IPv6.

  • Se hai bisogno di un accesso in entrata da Internet al tuo Pods, assicurati di disporre di almeno una sottorete pubblica con un numero sufficiente di indirizzi IP disponibili su cui implementare sistemi di bilanciamento del carico e ingressi. Puoi implementare sistemi di bilanciamento del carico nelle sottoreti pubbliche. I sistemi di bilanciamento del carico possono bilanciare il carico su Pods in sottoreti private o pubbliche. Consigliamo di implementare i nodi su sottoreti private, se possibile.

  • Se si prevede di implementare i nodi in una sottorete pubblica, quest'ultima deve essere configurata per assegnare automaticamente indirizzi IPv4 pubblici o indirizzi IPv6. Se si implementano nodi in una sottorete privata a cui è associato un blocco CIDR IPv6, anche questa sottorete deve essere configurata per assegnare automaticamente indirizzi IPv6. Se hai utilizzato il AWS CloudFormation modello fornito da Amazon EKS per distribuire il tuo VPC dopo il 26 marzo 2020, questa impostazione è abilitata. Se hai utilizzato i modelli per implementare il VPC prima di tale data o utilizzi un VPC personale, devi abilitare questa impostazione manualmente. Per il modello, vedi. Crea un Amazon VPC per il tuo cluster Amazon EKS Per ulteriori informazioni, consulta Modificare l'attributo di IPv4 indirizzamento pubblico per la sottorete e Modificare l'attributo di IPv6 indirizzamento per la sottorete nella Amazon VPC User Guide.

  • Se la sottorete in cui distribuisci un nodo è una sottorete privata e la relativa tabella di routing non include un percorso verso un dispositivo NAT (Network Address Translation) () o un gateway di sola uscita (IPv4)IPv6, aggiungi endpoint VPC utilizzando al tuo VPC. AWS PrivateLink Gli endpoint VPC sono necessari per tutti i AWS servizi che i tuoi nodi e Pods è necessario comunicare con. Alcuni esempi includono Amazon ECR, Elastic Load Balancing, CloudWatch Amazon AWS , Security Token Service e Amazon Simple Storage Service (Amazon S3). L'endpoint deve includere la sottorete in cui si trovano i nodi. Non tutti i AWS servizi supportano gli endpoint VPC. Per ulteriori informazioni, consulta Cos'è? AWS PrivateLink e AWS servizi che si integrano con AWS PrivateLink. Per un elenco di altri requisiti Amazon EKS, consulta Implementa cluster privati con accesso limitato a Internet.

  • Se si desidera implementare i load balancer in una sottorete, quest'ultima deve presentare il tag seguente:

    • Sottoreti private

      Chiave Valore

      kubernetes.io/role/internal-elb

      1

    • Sottoreti pubbliche

      Chiave Valore

      kubernetes.io/role/elb

      1

Quando un Kubernetes cluster in cui è stata creata la versione 1.18 precedente, Amazon EKS ha aggiunto il seguente tag a tutte le sottoreti specificate.

Chiave Valore

kubernetes.io/cluster/my-cluster

shared

Quando ne crei uno nuovo Kubernetes raggruppa ora, Amazon EKS non aggiunge il tag alle tue sottoreti. Se il tag si trovava su sottoreti utilizzate da un cluster che in precedenza era una versione precedente a quella1.19, il tag non veniva rimosso automaticamente dalle sottoreti quando il cluster veniva aggiornato a una versione più recente. La versione 2.1.1 o precedente del AWS Load Balancer Controller richiede questo tag. Se si utilizza una versione più recente di Load Balancer Controller, è possibile rimuovere il tag senza interrompere i servizi. Per ulteriori informazioni sul controller, vedereIndirizza il traffico Internet con AWS Load Balancer Controller.

Se hai distribuito un VPC eksctl utilizzando o uno qualsiasi dei modelli AWS CloudFormation VPC di Amazon EKS, si applica quanto segue:

  • In data 26 marzo 2020 o successiva. Gli indirizzi IPv4 pubblici vengono assegnati automaticamente dalle sottoreti pubbliche ai nuovi nodi implementati nelle sottoreti pubbliche.

  • Prima del 26 marzo 2020: IPv4 gli indirizzi pubblici non vengono assegnati automaticamente dalle sottoreti pubbliche ai nuovi nodi che vengono distribuiti nelle sottoreti pubbliche.

Questa modifica influisce sui nuovi gruppi di nodi implementati nelle sottoreti pubbliche nei modi seguenti:

Considerazioni e requisiti relativi alle sottoreti condivisi

Puoi utilizzare la condivisione VPC per condividere sottoreti con altri AWS account all'interno delle stesse Organizzazioni. AWS È possibile creare cluster Amazon EKS in sottoreti condivise, tenendo a mente le seguenti considerazioni:

  • Il proprietario della sottorete VPC deve condividere una sottorete con un account partecipante prima che tale account possa creare un cluster Amazon EKS al suo interno.

  • Non puoi avviare risorse utilizzando il gruppo di sicurezza predefinito per il VPC perché appartiene al proprietario. Inoltre, i partecipanti non possono avviare le risorse utilizzando i gruppi di sicurezza di proprietà di altri partecipanti o del proprietario.

  • In una sottorete condivisa, il partecipante e il proprietario controllano separatamente i gruppi di sicurezza all'interno di ciascun account. Il proprietario della sottorete può visualizzare i gruppi di sicurezza che sono stati creati dai partecipanti, ma non può eseguire operazioni sugli stessi. Se il proprietario della sottorete desidera rimuovere o modificare questi gruppi di sicurezza, è il partecipante che ha creato il gruppo di sicurezza che deve eseguire l'operazione.

  • Se un cluster viene creato da un partecipante, valgono le seguenti considerazioni:

  • Il proprietario del VPC condiviso non può visualizzare, aggiornare o eliminare un cluster creato da un partecipante nella sottorete condivisa. Ciò si aggiunge alle risorse VPC alle quali ogni account ha un accesso diverso. Per ulteriori informazioni, consulta la sezione Responsabilità e autorizzazioni per proprietari e partecipanti nella Guida per l'utente di Amazon VPC.

  • Se si utilizza la funzionalità di rete personalizzata di Amazon VPC CNI plugin for Kubernetes, è necessario utilizzare le mappature degli ID delle zone di disponibilità elencate nell'account del proprietario per crearle ciascuna. ENIConfig Per ulteriori informazioni, consulta Implementazione Pods in sottoreti alternative con rete personalizzata.

Per ulteriori informazioni sulla condivisione delle sottoreti VPC, consulta la pagina Condivisione del VPC con altri account nella Guida per l'utente di Amazon VPC.