このページの改善にご協力ください

このユーザーガイドに貢献するには、すべてのページの右側のペインにある「GitHub でこのページを編集する」リンクを選択してください。

コントロールプレーンエグレスルーティングの設定

デフォルトでは、Amazon EKS は Kubernetes コントロールプレーンから VPC 内のリソースへのエグレスネットワーキングを管理します。コントロールプレーンエグレスルーティングを使用して、この動作を変更し、ネットワークパスを自分で管理します。これにより、コントロールプレーンの Elastic Network Interface (ENI) からのトラフィックが VPC リソースに到達する方法を完全に制御できます。独自の NAT ゲートウェイ、ファイアウォール、または検査アプライアンスを介してルーティングできます。

エグレスルーティングモード

Amazon EKS は、次のコントロールプレーンエグレスルーティングモードをサポートしています。

前提条件

VPC とサブネットは、標準の Amazon EKS ネットワーキング要件を満たしている必要があります。詳細については、「VPC とサブネットの Amazon EKS ネットワーキング要件を表示する」を参照してください。

CUSTOMER_ROUTED モードでは、Kubernetes API サーバーは、クロスアカウントネットワークインターフェイスを介して顧客向けトラフィックをアウトバウンドに送信します。Amazon EKS は、コントロールプレーンからノードへの通信用にこれらのインターフェイスをサブネットに既に作成しています。このトラフィックには、アドミッションウェブフックと OIDC プロバイダーへの呼び出しが含まれます。Amazon EKS は、個別のエグレスネットワークインターフェイスを作成しません。このモードでは、既存のインターフェイスの使用方法が変更されます。これらのインターフェイスを保持するサブネットは、次の要件を満たしている必要があります。

CUSTOMER_ROUTED モードでは、コントロールプレーンは VPC の DNS 設定を使用してホスト名を解決します。これにより、コントロールプレーンは Route 53 プライベートホストゾーンと Route 53 Resolver エンドポイントを介して転送されるオンプレミス DNS のエンドポイントに到達できます。

次の表は、コントロールプレーンが CUSTOMER_ROUTED モードで VPC 経由で送信するトラフィックをまとめたものです。

顧客ルーティングエグレスでクラスターを作成する

新しいクラスターを作成するときに、コントロールプレーンのエグレスモードを指定できます。

IPv6 クラスターには ipFamily=ipv6 を使用できます。CUSTOMER_ROUTED モードで IPv6 を使用する場合は、IPv4 トラフィック用の NAT ゲートウェイに加えて、IPv6 トラフィック用のエグレス専用インターネットゲートウェイがサブネットにあることを確認します。

AWS CloudFormation では、ResourcesVpcConfig で ControlPlaneEgressMode: CUSTOMER_ROUTED を設定します。このフィールドの Terraform サポートは、AWS プロバイダーの今後のリリースで利用可能になります。

既存のクラスターの更新

update-cluster-config コマンドを使用して、既存のクラスターのコントロールプレーンエグレスモードを変更できます。

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

更新のステータスを監視します。

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

ステータスが Successful を示すと更新が完了します。更新タイプは ControlPlaneEgressUpdate です。更新は通常、10 分以内に完了します。

IPv6 に関する考慮事項

顧客ルーティングエグレスで IPv6 クラスターを実行する場合は、IPv4 と IPv6 の両方のエグレスパスを設定する必要があります。

CUSTOMER_ROUTED エグレスで IPv6 クラスター (ipFamily=ipv6) を実行する場合:

考慮事項

顧客ルーティングコントロールプレーンエグレスを使用する場合は、次の点に注意してください。

IAM 条件キー

Amazon EKS は eks:controlPlaneEgressMode 条件キーをサポートしています。このキーを IAM ポリシーまたはサービスコントロールポリシー (SCP) で使用して、発信者がクラスターを作成または更新するときに指定できるエグレスモードを制御できます。

条件キーは、次のアクションに適用されます。

例えば、次の SCP は、発信者が CUSTOMER_ROUTED を指定しない限り、クラスターの作成と設定の更新を拒否します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

このポリシーを使用して、組織内のすべての新規および更新されたクラスターが CUSTOMER_ROUTED エグレスモードを使用するように適用します。

OIDC プロバイダー設定

クラスターが OIDC ID プロバイダーを使用している場合、コントロールプレーンは HTTPS (ポート 443) 経由で OIDC 検出エンドポイントに到達できる必要があります。これは、サービスアカウントの IAM ロール、またはクラスター認証に関連付ける OIDC ID プロバイダーに適用されます。OIDC 固有の設定はありません。前提条件で設定したのと同じ出力パスを使用します。これを許可するには:

エンドポイントはプロバイダーによって異なります。

OIDC 認証が失敗した場合のトラブルシューティング手順については、「OIDC プロバイダーにアクセスできない」を参照してください。

接続を確認する

CUSTOMER_ROUTED エグレスを設定したら、コントロールプレーンが VPC リソースに到達できることを確認します。

一般的な問題のトラブルシューティングについては、コントロールプレーンのエグレスに関する問題のトラブルシューティング を参照してください。

📝 GitHub でこのページを編集する