Contribuisci a migliorare questa pagina
Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Per contribuire a questa guida per l'utente, scegli il GitHub link Modifica questa pagina su che si trova nel riquadro destro di ogni pagina.
Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Accedi ad Amazon EKS utilizzando AWS PrivateLink
Puoi utilizzarlo AWS PrivateLink per creare una connessione privata tra il tuo VPC e Amazon Elastic Kubernetes Service. Puoi accedere ad Amazon EKS come se fosse nel tuo VPC, senza l'uso di un gateway Internet, un dispositivo NAT, una connessione VPN o una connessione Direct Connect. AWS Le istanze nel tuo VPC non richiedono indirizzi IP pubblici per l’accesso ad Amazon EKS.
Stabilisci questa connessione privata creando un endpoint di interfaccia alimentato da AWS PrivateLink. In ciascuna sottorete viene creata un'interfaccia di rete endpoint da abilitare per l'endpoint di interfaccia. Queste sono interfacce di rete gestite dal richiedente che fungono da punto di ingresso per il traffico destinato ad Amazon EKS.
Per ulteriori informazioni, consulta Access AWS services through AWS PrivateLink nella AWS PrivateLink Guida.
Prima di iniziare
Prima di iniziare, esegui le seguenti attività:
-
Leggi Access and AWS service using an interface (VPC endpoint) nella Guida AWS PrivateLink
Considerazioni
-
Supporto e limitazioni: gli endpoint dell’interfaccia Amazon EKS consentono l’accesso sicuro a tutte le azioni dell’API Amazon EKS dal tuo VPC, ma presentano limitazioni specifiche, ovvero non supportano l’accesso alle API Kubernetes, poiché dispongono di un endpoint privato separato né è possibile configurare Amazon EKS in modo che sia accessibile solo tramite l’endpoint di interfaccia. L'endpoint di rilevamento OIDC e JWKS del cluster utilizzato dai ruoli IAM per gli account di servizio (IRSA) viene inoltre gestito da un endpoint di interfaccia separato con il proprio nome di servizio e un comportamento di controllo degli accessi; vedere. Accedi all'endpoint OIDC del cluster utilizzando AWS PrivateLink
-
Prezzi: l'utilizzo degli endpoint di interfaccia per Amazon EKS comporta AWS PrivateLink costi standard: tariffe orarie per ogni endpoint fornito in ciascuna zona di disponibilità, costi di elaborazione dei dati per il traffico attraverso l'endpoint. Per ulteriori informazioni, consulta Prezzi di AWS PrivateLink
. -
Sicurezza e controllo degli accessi: consigliamo di migliorare la sicurezza e controllare l'accesso con queste configurazioni aggiuntive: usa le policy degli endpoint VPC per controllare l'accesso ad Amazon EKS tramite l'endpoint dell'interfaccia, associa i gruppi di sicurezza alle interfacce di rete degli endpoint per gestire il traffico, usa i log di flusso VPC per acquisire e monitorare il traffico IP da e verso gli endpoint dell'interfaccia, con registri pubblicabili su Amazon CloudWatch o Amazon S3. Per ulteriori informazioni, consulta Controllare l’accesso agli endpoint VPC utilizzando le policy degli endpoint e Registrare il traffico IP utilizzando log di flusso VPC.
-
Opzioni di connettività: gli endpoint di interfaccia offrono opzioni di connettività flessibili utilizzando l'accesso locale (connetti il tuo data center locale a un VPC con l'endpoint di interfaccia utilizzando AWS Direct Connect o AWS Site-to-Site VPN) o tramite la connettività inter-VPC (usa AWS Transit Gateway o il peering VPC per connettere altri VPC al VPC con l'endpoint dell'interfaccia, mantenendo il traffico all'interno della AWS rete).
-
Supporto versione IP: gli endpoint creati prima di agosto 2024 supportano solo IPv4 utilizzando eks.region.amazonaws.com. I nuovi endpoint creati dopo agosto 2024 supportano IPv4 e IPv6 dual-stack (ad esempio, eks.region.amazonaws.com, eks.region.api.aws).
-
Disponibilità regionale: AWS PrivateLink per l'API EKS non è disponibile nelle regioni Asia Pacifico (Malesia) (ap-southeast-5), Asia Pacifico (Thailandia) (ap-southeast-7), Messico (Centrale) (mx-central-1) e Asia Pacifico (Taipei) (ap-east-2). AWS PrivateLink il supporto per eks-auth (EKS Pod Identity) è disponibile nella regione Asia Pacifico (Malesia) (ap-southeast-5). AWS PrivateLink per il cluster OIDC endpoint () è disponibile nella maggior parte delle regioni.
com.amazonaws.region-code.oidc-eksAWS
Crea un endpoint di interfaccia per Amazon EKS
Puoi creare un endpoint di interfaccia per Amazon EKS utilizzando la console Amazon VPC o l'interfaccia a riga di AWS comando (CLI).AWS Per ulteriori informazioni, consulta Creare un endpoint VPC nella Guida. AWS PrivateLink
Crea un endpoint di interfaccia per Amazon EKS utilizzando i seguenti nomi servizio:
API EKS
-
com.amazonaws.region-code.eks
-
com.amazonaws.region-code.eks-fips (per gli endpoint) FIPS-compliant
API di autenticazione EKS (Pod Identity EKS)
-
com.amazonaws.region-code.eks-auth
Endpoint OIDC del cluster EKS (IRSA discover/JWKS)
-
com.amazonaws.region-code.oidc-eks
Questo endpoint ha un comportamento di controllo degli accessi diverso dagli endpoint dell'API EKS. Per ulteriori informazioni, consulta Accedi all'endpoint OIDC del cluster utilizzando AWS PrivateLink.
Funzionalità DNS privata per gli endpoint dell’interfaccia Amazon EKS
La funzionalità DNS privata, abilitata di default per gli endpoint di interfaccia di Amazon EKS e altri AWS servizi, facilita le richieste API sicure e private utilizzando nomi DNS regionali predefiniti. Questa funzionalità garantisce che le chiamate API vengano indirizzate attraverso l'endpoint dell'interfaccia sulla AWS rete privata, migliorando la sicurezza e le prestazioni.
La funzionalità DNS privato si attiva automaticamente quando si crea un endpoint di interfaccia per Amazon EKS o altri servizi. AWS Per abilitarla, devi configurare correttamente il tuo VPC impostando attributi specifici:
-
abilita DnsHostnames: consente alle istanze all'interno del VPC di avere nomi host DNS.
-
abilita DnsSupport: abilita la risoluzione DNS in tutto il VPC.
Per istruzioni dettagliate per verificare o modificare queste impostazioni, consulta Visualizzare e aggiornare gli attributi DNS per il VPC.
Nomi DNS e tipi di indirizzi IP
Con la funzionalità DNS privata abilitata, è possibile utilizzare nomi DNS specifici per connetterti ad Amazon EKS e queste opzioni si evolvono nel tempo:
-
eks.region.amazonaws.com: il nome DNS tradizionale, che si risolve solo negli indirizzi IPv4 prima di agosto 2024. Per gli endpoint esistenti aggiornati al dual-stack, questo nome è risolto sia in indirizzi IPv4 che IPv6.
-
eks.region.api.aws: disponibile per i nuovi endpoint creati dopo agosto 2024, questo nome DNS dual-stack si risolve in indirizzi IPv4 e IPv6.
Dopo agosto 2024, i nuovi endpoint di interfaccia sono forniti con due nomi DNS ed è possibile optare per il tipo di indirizzo IP dual-stack. Per gli endpoint esistenti, l’aggiornamento a dual-stack modifica eks.region.amazonaws.com in modo che supporti sia IPv4 che IPv6.
Utilizzo della funzionalità DNS privata
Una volta configurata, la funzionalità DNS privata può essere integrata nei flussi di lavoro, offrendo le seguenti funzionalità:
-
Richieste API: utilizza i nomi DNS regionali predefiniti,
eks---region.amazonaws.com.rproxy.goskope.comoeks.region.api.aws, in base alla configurazione dell’endpoint per effettuare richieste API ad Amazon EKS. -
Compatibilità delle applicazioni: le applicazioni esistenti che chiamano le API EKS non richiedono modifiche per sfruttare questa funzionalità.
-
AWS CLI con Dual-Stack: per utilizzare gli endpoint dual-stack con la AWS CLI, consulta la configurazione degli endpoint Dual-stack e FIPS nella Guida di riferimento di SDK and Tools. AWS
-
Routing automatico: qualsiasi chiamata all’endpoint del servizio predefinito di Amazon EKS è instradata automaticamente tramite l’endpoint di interfaccia, garantendo una connettività privata e sicura.
Accedi all'endpoint OIDC del cluster utilizzando AWS PrivateLink
Ogni cluster Amazon EKS pubblica un documento di rilevamento OpenID Connect (OIDC) pubblico e un JSON Web Key Set (JWKS) all'URL dell'emittente OIDC. I ruoli IAM per gli account di servizio (IRSA) utilizzano questo endpoint per pubblicare le chiavi di firma pubbliche del cluster. Gli strumenti che configurano l'IRSA o convalidano i token recuperano direttamente le chiavi da questo endpoint.
Puoi utilizzarlo AWS PrivateLink per raggiungere questo endpoint OIDC privatamente dal tuo VPC, senza uscita da Internet. Ciò è utile per i VPC privati o senza uscita in cui gli strumenti in-VPC devono raggiungere l'endpoint OIDC, ad esempio creando il provider di identità IAM OIDC del cluster (eksctl, Terraform o CLI) o eseguendo i propri validatori di token all'interno del VPC. AWS In precedenza, il raggiungimento di questo endpoint richiedeva l'accesso a Internet o soluzioni alternative al DNS (vedi containers-roadmap #2038 su). https://github.com/aws/containers-roadmap/issues/2038
Crea un endpoint di interfaccia per l'endpoint OIDC del cluster utilizzando il seguente nome di servizio:
-
com.amazonaws.region-code.oidc-eks
Considerazioni
-
Questo endpoint non supporta le policy degli endpoint VPC. I documenti OIDC discovery e JWKS vengono forniti in forma anonima. Ciò è richiesto dalla specifica OpenID Connect ed è il modo in cui funziona IRSA: i validatori recuperano le chiavi pubbliche senza presentare le credenziali. Poiché le richieste non comportano alcun principio o azione IAM, una policy sugli endpoint VPC non ha nulla da confrontare. Questo endpoint accetta solo la policy di accesso completo predefinita. Controlla chi può raggiungere l'endpoint con i gruppi di sicurezza sulle interfacce di rete degli endpoint e con il routing della sottorete.
-
La connettività privata non è un limite di autorizzazione. Il raggiungimento dell'endpoint OIDC AWS PrivateLink mantiene questo traffico sulla AWS rete, ma non controlla di per sé chi può assumere un ruolo IAM. I dati forniti sono materiali a chiave pubblica. La politica di fiducia del ruolo assunto impone l'autorizzazione IRSA, non il percorso di rete utilizzato per raggiungere l'endpoint OIDC. Questa applicazione avviene quando un carico di lavoro chiama.
sts:AssumeRoleWithWebIdentityControlla quali carichi di lavoro possono assumere un ruolo consuble condizioniaude nella politica di fiducia del ruolo; vedi Assegnare ruoli IAM agli account di servizio Kubernetes. -
AWS STS convalida i token seguendo il proprio percorso. Questo endpoint non influisce sul modo in cui AWS STS convalida i token IRSA. Quando un carico di lavoro chiama
AssumeRoleWithWebIdentity, STS recupera i JWKS del cluster dall'interno AWS, non tramite il tuo VPC o questo endpoint. La creazione di questo endpoint o l'override del DNS OIDC nel VPC non modifica la convalida dei token. Per mantenere privata anche laAssumeRoleWithWebIdentitychiamata del carico di lavoro, create un endpoint di interfaccia AWS STS e configurate separatamente l'endpoint STS regionale; consultate Configurare l'endpoint Security Token Service per un account di servizio. AWS -
Prezzi: si applicano le tariffe standard. AWS PrivateLink Vedi AWS PrivateLink i prezzi
.
DNS privati e nomi dual-stack
Ogni cluster ha un nome host dell'emittente OIDC, determinato dalla famiglia IP del cluster. I cluster IPv4, che sono i valori predefiniti, utilizzano. oidc.eks.region-code.amazonaws.com I cluster IPv6 utilizzano il nome host oidc-eks.region-code.api.aws dual-stack, che si risolve in indirizzi IPv4 e IPv6. Nelle regioni cinesi AWS , il nome host dual-stack è. oidc-eks---region-code---api.amazonwebservices.com.rproxy.goskope.com.cn
L'endpoint dell'interfaccia registra entrambi i nomi host. Con il DNS privato abilitato (impostazione predefinita), ogni nome host si risolve nell'endpoint dell'interfaccia. L'URL emittente del cluster si risolve quindi nell'endpoint indipendentemente dal fatto che il cluster utilizzi il nome host o il nome host dual-stack. oidc.eks.region-code.amazonaws.com Un client che segue l'URL dell'emittente di un token per recuperare il documento di scoperta e JWKS raggiunge l'endpoint privatamente in entrambi i casi.
