コントロールプレーンのエグレスに関する問題のトラブルシューティング

クラスターがコントロールプレーンネットワークインターフェイスに使用するサブネットを特定します:

aws eks describe-cluster --name my-cluster \
    --query "cluster.resourcesVpcConfig.subnetIds"

サブネットごとに、関連付けられたルートテーブルをチェックします:

aws ec2 describe-route-tables \
    --filters "Name=association.subnet-id,Values=subnet-ExampleID1"

エグレスデバイスを指す 0.0.0.0/0 のルート (またはエンドポイントをカバーするルート) が存在することを確認します。見つからない場合は、ルートを追加します。次の例では、NAT ゲートウェイルートを追加します。独自のエグレスターゲット (トランジットゲートウェイやネットワークインターフェイスなど) に置き換えてください:

aws ec2 create-route \
    --route-table-id rtb-ExampleID \
    --destination-cidr-block 0.0.0.0/0 \
    --nat-gateway-id nat-ExampleID

コントロールプレーンサブネットに関連付けられている NACL を特定します。

aws ec2 describe-network-acls \
    --filters "Name=association.subnet-id,Values=subnet-ExampleID1"

次のルールが存在することを確認します:

クラスターセキュリティグループを特定する：

aws eks describe-cluster --name my-cluster \
    --query "cluster.resourcesVpcConfig.clusterSecurityGroupId"

アウトバウンドルールで以下が許可されていることを確認します:

アウトバウンドルールが制限されている場合は、必要なトラフィックのルールを追加します。

aws ec2 authorize-security-group-egress \
    --group-id sg-ExampleClusterSG \
    --protocol tcp \
    --port 443 \
    --cidr 0.0.0.0/0

VPC の DHCP オプションセットを確認します。

aws ec2 describe-vpcs --vpc-ids vpc-ExampleID \
    --query "Vpcs[0].DhcpOptionsId" \
    --region region-code

aws ec2 describe-dhcp-options --dhcp-options-ids dopt-ExampleID --region region-code

domain-name-servers に AmazonProvidedDNS (VPC IPv4 CIDR のベースに 2 つ加えた Amazon が提供する DNS リゾルバー)、またはコントロールプレーンに必要な名前を解決できる別のリゾルバーが含まれていることを確認します。

クラスターの IAM ロールが ec2:DescribeVpcs と ec2:DescribeDhcpOptions を付与していることを確認します。これらのアクセス許可がないと、コントロールプレーンは更新された DHCP オプションを読み取れず、DNS 設定を更新できません。詳細については、「Amazon EKS クラスターの IAM ロール」を参照してください。

DHCP オプションが変更されたら、コントロールプレーンが新しい設定を自動的に検出して適用するまで最大 1 時間かかります。クラスターの更新やインスタンスの置換は必要ありません。1 時間後も DNS 解決が失敗し、上記のアクセス許可が設定されている場合は、AWS サポートにお問い合わせください。

Egress-Only インターネットゲートウェイが存在し、VPC にアタッチされていることを確認します。

aws ec2 describe-egress-only-internet-gateways \
    --filters "Name=attachment.vpc-id,Values=vpc-ExampleID"

コントロールプレーンサブネットのルートテーブルに ::/0 ルートがあることを確認します。

aws ec2 describe-route-tables \
    --filters "Name=association.subnet-id,Values=subnet-ExampleID1" \
    --query "RouteTables[0].Routes[?DestinationIpv6CidrBlock=='::/0']"

見つからない場合は、ルートを追加します。

aws ec2 create-route \
    --route-table-id rtb-ExampleID \
    --destination-ipv6-cidr-block ::/0 \
    --egress-only-internet-gateway-id eigw-ExampleID

NACL とセキュリティグループが、ポート 443 のアウトバウンドおよびインバウンドエフェメラルポートで IPv6 を許可していることを確認します。

エグレスパスとルートテーブルがアウトバウンド HTTPS トラフィックを許可していることを確認します。エグレスルートがないか、設定が間違っている場合のトラブルシューティング手順については、必要なエンドポイントへのエグレスルートがない を参照してください。

クラスターセキュリティグループが 0.0.0.0/0 へのアウトバウンド TCP 443 を許可していることを確認します (アクセスできないようにするセキュリティグループ を参照)。