Ajudar a melhorar esta página

Para contribuir com este guia de usuário, escolha o link Editar esta página no GitHub, disponível no painel direito de cada página.

Configurando o roteamento de saída do ambiente de gerenciamento

Por padrão, o Amazon EKS gerencia a rede de saída do ambiente de gerenciamento do Kubernetes para os recursos em sua VPC. Use o roteamento de saída do ambiente de gerenciamento para alterar esse comportamento e gerenciar você mesmo o caminho da rede. Isso lhe dá controle total sobre como o tráfego das interfaces de rede elástica (ENIs) do ambiente de gerenciamento alcança seus recursos de VPC. Você pode rotear por meio de seus próprios gateways NAT, firewalls ou dispositivos de inspeção.

Modos de roteamento de saída

O Amazon EKS oferece suporte aos seguintes modos de roteamento de saída do ambiente de gerenciamento:

Pré-requisitos

Sua VPC e sub-redes devem atender aos requisitos de rede padrão do Amazon EKS. Para obter mais informações, consulte Exibir os requisitos de rede do Amazon EKS para VPC e sub-redes.

No modo CUSTOMER_ROUTED, o servidor da API do Kubernetes envia tráfego voltado para o cliente por meio das interfaces de rede entre contas. O Amazon EKS já cria essas interfaces em suas sub-redes para comunicação entre o ambiente de gerenciamento e o nó. Esse tráfego inclui chamadas para webhooks de admissão e provedores OIDC. O Amazon EKS não cria interfaces de rede de saída separadas. Esse modo altera a forma como as interfaces existentes são usadas. As sub-redes que contêm essas interfaces devem atender aos seguintes requisitos:

No modo CUSTOMER_ROUTED, o ambiente de gerenciamento resolve nomes de host usando a configuração de DNS da sua VPC. Isso permite que o ambiente de gerenciamento acesse endpoints em zonas hospedadas privadas do Route 53 e DNS on-premises encaminhado por meio de endpoints do Route 53 Resolver.

A tabela a seguir resume o tráfego que o ambiente de gerenciamento envia por meio de sua VPC no modo CUSTOMER_ROUTED:

Criar um cluster com saída roteada pelo cliente

Você pode especificar o modo de saída do ambiente de gerenciamento ao criar um novo cluster.

Você pode usar ipFamily=ipv6 para clusters IPv6. Ao usar IPv6 com o modo CUSTOMER_ROUTED, certifique-se de que suas sub-redes tenham um gateway da internet somente de saída para tráfego IPv6, além de um gateway NAT para tráfego IPv4.

Em AWS CloudFormation, configure ControlPlaneEgressMode: CUSTOMER_ROUTED em ResourcesVpcConfig. A compatibilidade com o Terraform para esse campo estará disponível em uma versão futura do provedor da AWS.

Atualizar um cluster existente

Você pode alterar o modo de saída do ambiente de gerenciamento em um cluster existente usando o comando update-cluster-config.

aws eks update-cluster-config \
    --name my-cluster \
    --resources-vpc-config "controlPlaneEgressMode=CUSTOMER_ROUTED" \
    --region region-code

Monitorar o status da atualização:

aws eks describe-update \
    --name my-cluster \
    --update-id update-id \
    --region region-code

A atualização estará concluída quando o status mostrar Successful. O tipo de atualização é ControlPlaneEgressUpdate. A atualização geralmente é concluída em até dez minutos.

Considerações sobre IPv6

Se você executar um cluster IPv6 com saída roteada pelo cliente, precisará configurar os caminhos de saída IPv4 e IPv6.

Ao executar um cluster IPv6 (ipFamily=ipv6) com saída CUSTOMER_ROUTED:

Considerações

Lembre-se dos seguintes pontos ao usar a saída do ambiente de gerenciamento roteada pelo cliente:

Chave de condição do IAM

O Amazon EKS é compatível com a chave de condição eks:controlPlaneEgressMode. Você pode usar essa chave nas políticas do IAM ou nas políticas de controle de serviços (SCPs) para controlar qual modo de saída os chamadores podem especificar ao criar ou atualizar clusters.

A chave de condição se aplica às seguintes ações:

Por exemplo, o SCP a seguir nega a criação de clusters e atualizações de configuração, a menos que o chamador especifique CUSTOMER_ROUTED:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "RequireCustomerRoutedControlPlane",
      "Effect": "Deny",
      "Action": [
        "eks:CreateCluster",
        "eks:UpdateClusterConfig"
      ],
      "Resource": "*",
      "Condition": {
        "StringNotEquals": {
          "eks:controlPlaneEgressMode": "CUSTOMER_ROUTED"
        }
      }
    }
  ]
}

Use essa política para impor que todos os clusters novos e atualizados em sua organização usem o modo de saída CUSTOMER_ROUTED.

Configuração do provedor OIDC

Se o seu cluster usar um provedor de identidades OIDC, o ambiente de gerenciamento deverá ser capaz de acessar o endpoint de descoberta do OIDC por HTTPS (porta 443). Isso se aplica aos perfis do IAM para contas de serviço ou a um provedor de identidades OIDC que você associa para autenticação de clusters. Não há uma configuração específica do OIDC; ele usa o mesmo caminho de saída que você configura nos Pré-requisitos. Para permitir isso:

O endpoint depende do seu provedor:

Se a autenticação do OIDC falhar, consulte Provedor OIDC inacessível para obter as etapas de solução de problemas.

Verificar a conectividade

Depois de configurar a saída CUSTOMER_ROUTED, verifique se o ambiente de gerenciamento pode acessar seus recursos da VPC:

Para solucionar problemas comuns, consulte Solução de problemas do modo de saída do ambiente de gerenciamento.

📝 Editar esta página no GitHub