AWS PrivateLink と Network Load Balancer を使用して Amazon EKS でコンテナアプリケーションにプライベートにアクセスする

Kubernetes デプロイマニフェストファイルを作成します。

ご要求に応じて以下のサンプルファイルを変更して、デプロイマニフェストファイルを作成します。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: sample-app
spec:
  replicas: 3
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      containers:
        - name: nginx
          image: public.ecr.aws/z9d2n7e1/nginx:1.19.5
          ports:
            - name: http
              containerPort: 80

注：これは NGINX Docker イメージを使用してデプロイされる NGINX サンプル設定ファイルです。詳細については、「Docker ドキュメント」の「公式 NGINX Docker イメージの使用方法」を参照してください。

Kubernetes デプロイマニフェストファイルをデプロイします。

次のコマンドを実行し、Amazon EKS クラスターにデプロイマニフェストファイルを適用します。

kubectl apply –f <your_deployment_file_name> 

Kubernetes サービスマニフェストファイルを作成します。

以下のサンプルファイルをご要求に応じて変更して、サービスマニフェストファイルを作成します。

apiVersion: v1
kind: Service
metadata:
  name: sample-service
  annotations:
    service.beta.kubernetes.io/aws-load-balancer-type: nlb
    service.beta.kubernetes.io/aws-load-balancer-internal: "true"
spec:
  ports:
    - port: 80
      targetPort: 80
      protocol: TCP
  type: LoadBalancer
  selector:
    app: nginx

重要：内部Network Load Balancer を定義するには、必ず以下の annotations を含めてください。

service.beta.kubernetes.io/aws-load-balancer-type: nlb
service.beta.kubernetes.io/aws-load-balancer-internal: "true"

Kubernetes サービスのマニフェストファイルをデプロイします。

次のコマンドを実行し、サービスマニフェストファイルを Amazon EKS クラスターに適用します。

kubectl apply -f <your_service_file_name>

Network Load Balancer 名を記録します。

次のコマンドを実行して、Network Load Balancer 名を取得します。

kubectl get svc sample-service -o wide

AWS PrivateLink エンドポイントの作成に必要な Network Load Balancer の名前を記録します。

AWS PrivateLink エンドポイントを作成します。

AWS マネジメントコンソールにサインインし、Amazon VPC コンソールを開き、AWS PrivateLink エンドポイントを作成します。このエンドポイントをNetwork Load Balancer に関連付けることにより、アプリケーションは顧客が非公開に利用できるようになります。詳細については、Amazon VPC ドキュメントの「VPC エンドポイントサービス (AWS PrivateLink）」を参照してください。

重要: コンシューマーアカウントがアプリケーションにアクセスする必要がある場合は、コンシューマーアカウントの AWS アカウント ID を AWS PrivateLink エンドポイント設定の許可されたプリンシパルリストに追加する必要があります。詳細については、「Amazon VPC ドキュメント」の「エンドポイントサービスのアクセス権限の追加と削除」を参照してください。

VPC エンドポイントを作成します。

Amazon VPC コンソールで、[エンドポイントサービス] を選択し、[エンドポイントサービスの作成] を選択します。AWS エンドポイントの VPC PrivateLink エンドポイントを作成します。

VPC エンドポイントの完全修飾ドメイン名 (FQDN) は、AWS PrivateLink エンドポイントの FQDN を指します。これにより、DNS エンドポイントがアクセスできる VPC エンドポイントサービスへの耐障害性のあるネットワークインタフェースが作成されます。