このページの改善にご協力ください
このユーザーガイドに貢献するには、すべてのページの右側のペインにある「GitHub でこのページを編集する」リンクを選択してください。
このトピックではEKS 自動モードl で Virtual Private クラウド (VPC ネットワーキングおよびロードバランシング機能を設定する方法について説明します。EKS 自動モードl はほとんどのネットワークコンポーネントを自動的に管理しますが、ノードクラス リソースとロードバランサーの注釈を使用してクラスターのネットワーキング設定の特定の側面をカスタマイズできます。
EKS 自動モードl を使用すると、AWS でクラスターの VPC Container Network Interface (CNI 設定とロードバランサーのプロビジョニングが管理されます。ノードクラス オブジェクトを定義し、サービスリソースとイングレスリソースに特定の注釈を適用することで、EKS 自動モードl が提供する自動運用モデルを維持しながら、ネットワーキング動作に関与することができます。
ネットワーク機能
EKS Auto Mode には、ノードとポッドのネットワークを処理する新しいネットワーク機能があります。この機能は、NodeClass Kubernetes オブジェクトを作成することで設定できます。
以前の AWS VPC CNI の設定オプションは EKS Auto Mode には適用されません。
NodeClass でネットワークを設定する
EKS Auto Mode の NodeClass リソースを使用すると、ネットワーク機能の特定の側面をカスタマイズできます。ノードクラス を使用すると、セキュリティグループ選択の指定、VPC サブネット間のノード配置の制御、SNAT ポリシーの設定、ネットワークポリシーの設定、ネットワークイベントのログ記録の有効化を行うことができます。このアプローチはEKS 自動モードl の自動運用モデルを維持しながら、ネットワークのカスタマイズで柔軟性が得られます。
ノードクラス を使用すると、次のことができます：
-
ノードのセキュリティグループを選択する
-
VPC サブネットにノードを配置する方法を制御する
-
ノード SNAT ポリシーを
randomまたはdisabledに設定する -
ネットワークポリシーを「デフォルトで拒否」または「デフォルトで許可」に設定する
-
ファイルへのネットワークイベントのログ記録を有効にする。
アマゾン EKS ノードクラス の作成方法を参照してください。
考慮事項
EKS 自動モードl は以下をサポートしています：
-
EKS ネットワークポリシー。
-
Kubernetes ポッドの
HostPortおよびHostNetworkオプション。 -
パブリックサブネットまたはプライベートサブネットのポッド。
EKS 自動モードl は以下をサポートしていません：
-
ポッドあたりのセキュリティグループ (SGPP)。
-
カスタムネットワーキング。ポッドとノードの IP アドレスは同じ CIDR ブロックからのものである必要があります。
-
ウォーム IP、ウォームプレフィックス、ウォーム ENI 設定。
-
最小 IP ターゲット設定。
-
プレフィックス委任の有効化または無効化。
-
オープンソース AWS CNI でサポートされているその他の設定。
-
conntrack タイマーのカスタマイズなどのネットワークポリシー設定 (デフォルトは 300 秒)。
-
クラウドWatch へのネットワークイベントログのエクスポート。
負荷分散
EKS 自動モードl でプロビジョニングされた AWS 弾性ロードバランサー はサービスリソースとイングレスリソースの注釈を使用して設定します。
詳細については「IngressClass を作成して Application Load Balancer を設定する」または「サービス注釈を使用して Network Load Balancer を設定する」を参照してください。
EKS 自動モードl によるロードバランシングに関する考慮事項
-
デフォルトのターゲットモードは IP モードであり、インスタンスモードではありません。
-
EKS 自動モードl はネットワークロードバランサー のセキュリティグループモードのみをサポートします。
-
AWS はセルフマネージド AWS ロードバランサーコントローラー から EKS 自動モードl による管理へのロードバランサーの移行をサポートしていません。
-
TargetGroupBinding仕様のnetworking.ingress.ipBlockフィールドはサポートされていません。 -
ワーカーノードがカスタムセキュリティグループ (
eks-cluster-sg-命名パターンではない) を使用している場合、クラスターロールには追加の IAM アクセス許可が必要です。デフォルトの EKS マネージドポリシーではEKS によるeks-cluster-sg-という名前のセキュリティグループの変更のみを許可します。カスタムセキュリティグループを変更する許可がないと、EKS は ALB/NLB トラフィックがポッドに到達できるようにするのに必要な進入ルールを追加できません。
