AWS PrivateLink를 사용하여 Amazon EKS에 액세스

AWS PrivateLink 가이드의 인터페이스 VPC 엔드포인트를 사용하여 AWS 서비스에 액세스 검토

지원 및 제한 사항: Amazon EKS 인터페이스 엔드포인트를 사용하면 VPC에서 모든 Amazon EKS API 작업에 안전하게 액세스할 수 있지만 특정 제한 사항이 있습니다. 별도의 프라이빗 엔드포인트가 있으므로 Kubernetes API에 대한 액세스를 지원하지 않으며, 인터페이스 엔드포인트를 통해서만 액세스할 수 있도록 Amazon EKS를 구성할 수 없습니다. 서비스 계정용 IAM 역할(IRSA)에서 사용하는 클러스터 OIDC 검색 및 JWKS 엔드포인트는 자체 서비스 이름 및 액세스 제어 동작이 있는 별도의 인터페이스 엔드포인트에서도 제공됩니다. AWS PrivateLink를 사용하여 클러스터 OIDC 엔드포인트에 액세스 섹션을 참조하세요.

요금: Amazon EKS에 인터페이스 엔드포인트를 사용하면 표준 AWS PrivateLink 요금이 발생합니다. 즉, 각 가용 영역에 프로비저닝된 각 엔드포인트에 대한 시간당 요금, 엔드포인트를 통과하는 트래픽에 대한 데이터 처리 요금이 발생합니다. 자세히 알아보려면 AWS PrivateLink 요금을 참조하세요.

보안 및 액세스 제어: VPC 엔드포인트 정책을 사용하여 인터페이스 엔드포인트를 통해 Amazon EKS에 대한 액세스를 제어하고, 보안 그룹을 엔드포인트 네트워크 인터페이스와 연결하여 트래픽을 관리하고, VPC 흐름 로그를 사용하여 인터페이스 엔드포인트와 주고받는 IP 트래픽을 캡처 및 모니터링하고, Amazon CloudWatch 또는 Amazon S3에 로그를 게시하는 등의 추가 구성으로 보안을 강화하고 액세스를 제어하는 것이 좋습니다. 자세한 내용은 Control access to VPC endpoints using endpoint policies와 VPC 흐름 로그를 사용하여 IP 트래픽 로깅을 참조하세요.

연결 옵션: 인터페이스 엔드포인트는 온프레미스 액세스(AWS Direct Connect 또는 AWS Site-to-Site VPN을 사용하여 인터페이스 엔드포인트가 있는 VPC에 온프레미스 데이터 센터 연결) 또는 VPC 간 연결(AWS Transit Gateway 또는 VPC 피어링을 사용하여 인터페이스 엔드포인트가 있는 VPC에 다른 VPC 연결 및 AWS 네트워크 내에 트래픽 유지)을 사용하여 유연한 연결 옵션을 제공합니다.

IP 버전 지원: 2024년 8월 이전에 생성된 엔드포인트는 eks.region.amazonaws.com을 사용하여 IPv4만 지원합니다. 2024년 8월 이후에 생성된 새 엔드포인트는 이중 스택 IPv4 및 IPv6(예: eks.region.amazonaws.com, eks.region.api.aws)를 지원합니다.

리전별 가용성: 아시아 태평양(말레이시아)(ap-southeast-5), 아시아 태평양(태국)(ap-southeast-7), 멕시코(중부)(mx-central-1) 및 아시아 태평양(타이페이)(ap-east-2) 리전에서는 EKS API용 AWS PrivateLink를 사용할 수 없습니다. AWS eks-auth(EKS Pod Identity)에 대한 PrivateLink 지원은 아시아 태평양(말레이시아)(ap-southeast-5) 리전에서 사용할 수 있습니다. AWS 클러스터 OIDC 엔드포인트(com.amazonaws.region-code.oidc-eks)용 PrivateLink는 대부분의 AWS 리전에서 사용할 수 있습니다.

com.amazonaws.region-code.eks

com.amazonaws.region-code.eks-fips(FIPS 준수 엔드포인트용)

com.amazonaws.region-code.eks-auth

com.amazonaws.region-code.oidc-eks

enableDnsHostnames: VPC 내의 인스턴스가 DNS 호스트 이름을 가질 수 있도록 허용합니다.

enableDnsSupport: VPC 전체에서 DNS 확인을 활성화합니다.

eks.region.amazonaws.com: 2024년 8월 전에는 IPv4 주소로만 확인되는 기존 DNS 이름입니다. 이중 스택으로 업데이트된 기존 엔드포인트의 경우 이 이름은 IPv4 주소와 IPv6 주소 모두로 확인됩니다.

eks.region.api.aws: 2024년 8월 이후에 생성된 새 엔드포인트에 사용할 수 있는 이 이중 스택 DNS 이름은 IPv4 주소와 IPv6 주소 모두로 확인됩니다.

API 요청: Amazon EKS에 API 요청을 하려면 엔드포인트 설정에 따라 eks.region.amazonaws.com 또는 eks.region.api.aws와 같은 기본 리전 DNS 이름을 사용합니다.

애플리케이션 호환성: EKS API를 직접적으로 호출하는 기존 애플리케이션은 이 기능을 활용하기 위해 변경할 필요가 없습니다.

AWS CLI와 이중 스택: AWS CLI와 함께 이중 스택 엔드포인트를 사용하려면 AWS SDK 및 도구 참조 가이드의 이중 스택 및 FIPS 엔드포인트 구성을 참조하세요.

자동 라우팅: Amazon EKS 기본 서비스 엔드포인트에 대한 모든 직접 호출은 자동으로 인터페이스 엔드포인트를 통해 전달되어 안전한 프라이빗 연결이 보장됩니다.

com.amazonaws.region-code.oidc-eks

이 엔드포인트는 VPC 엔드포인트 정책을 지원하지 않습니다. OIDC 검색 및 JWKS 문서는 익명으로 제공됩니다. 이는 OpenID Connect 사양에 필요하며 IRSA 작동 방식입니다. 검사기는 자격 증명을 제시하지 않고 퍼블릭 키를 가져옵니다. 요청에 IAM 위탁자 또는 작업이 없으므로 VPC 엔드포인트 정책에는 평가할 사항이 없습니다. 이 엔드포인트는 기본 전체 액세스 정책만 허용합니다. 엔드포인트 네트워크 인터페이스에 대한 보안 그룹과 서브넷 라우팅을 사용하여 엔드포인트에 연결할 수 있는 사용자를 제어합니다.

프라이빗 연결은 권한 부여 경계가 아닙니다. AWS PrivateLink를 통해 OIDC 엔드포인트에 도달하면 이 트래픽이 AWS 네트워크에 유지됩니다. 그 자체로는 IAM 역할을 수임할 수 있는 사용자를 제어하지 않습니다. 제공되는 데이터는 퍼블릭 키 구성 요소입니다. 수임된 역할의 신뢰 정책은 OIDC 엔드포인트에 도달하는 데 사용되는 네트워크 경로가 아닌 IRSA 권한 부여를 적용합니다. 이 적용은 워크로드가 sts:AssumeRoleWithWebIdentity를 직접적으로 호출할 때 이루어집니다. 역할의 신뢰 정책에서 aud 및 sub 조건으로 역할을 수임할 수 있는 워크로드를 제어합니다. Kubernetes 서비스 계정에 IAM 역할 할당을 참조하세요.

AWS STS는 자체 경로에서 토큰을 검증합니다. 이 엔드포인트는 AWS STS가 IRSA 토큰을 검증하는 방법에 영향을 주지 않습니다. 워크로드가 AssumeRoleWithWebIdentity를 직접적으로 호출하면 STS는 VPC 또는 이 엔드포인트가 아닌 AWS 내에서 클러스터의 JWKS를 가져옵니다. 이 엔드포인트를 생성하거나 VPC에서 OIDC DNS를 재정의해도 토큰 검증은 변경되지 않습니다. 또한 워크로드의 AssumeRoleWithWebIdentity 직접 호출을 비공개로 유지하려면 AWS STS 인터페이스 엔드포인트를 생성하고 리전 STS 엔드포인트를 별도로 구성합니다. 서비스 계정에 대한 AWS Security Token Service 엔드포인트 구성을 참조하세요.

요금: 표준 AWS PrivateLink 요금이 적용됩니다. AWS PrivateLink 요금을 참조하세요.