控制對叢集API伺服器端點的網路存取

若要修改叢集API伺服器端點存取 AWS Management Console

1. 在https://console.aws.amazon.com/eks/家裡 ＃/集群打開 Amazon EKS 控制台。

2. 選擇叢集名稱以顯示您叢集的資訊。

3. 選擇 Networking (聯網) 索引標籤，選擇 Update (更新)。

4. 對於私人存取，請選擇是否要啟用或停用叢集KubernetesAPI伺服器端點的私人存取。如果啟用私人存取，則來自叢集內部的KubernetesAPI要求會VPC使用私有VPC端點。您必須啟用私有存取，才能停用公有存取。

5. 對於「公用」存取，請選擇是否要啟用或停用叢集KubernetesAPI伺服器端點的公開存取。如果停用公用存取，叢集的KubernetesAPI伺服器只能從叢集內接收要求VPC。

6. (選用) 如果您已啟用 Public access (公開存取)，則可以指定網際網路可用來與公有端點通訊的地址。選取 Advanced Settings (進階設定)。輸入CIDR圖塊，例如203.0.113.5/32。區塊不能包含預留地址。您可以透過選取 Add source (新增來源) 來輸入其他區塊。您可以指定的CIDR區塊數目上限。如需詳細資訊，請參閱檢視和管理 Amazon EKS 和Fargate服務配額。如果未指定封鎖，則公用API伺服器端點會接收來自所有 (0.0.0.0/0) IP 位址的要求。如果您使用CIDR區塊限制對公用端點的存取，建議您同時啟用私有端點存取，以便節點和 Fargate Pods (如果您使用它們) 可以與叢集通訊。如果未啟用私有端點，則您的公用存取端點CIDR來源必須包含來自VPC. 例如，如果私有子網路中有一個透過閘道與網際網路通訊的節點，則需要將NAT閘道的輸出 IP 位址新增為公用端點上允許CIDR區塊的一部分。NAT

7. 選擇 Update (更新) 以完成操作。

若要修改叢集API伺服器端點存取 AWS CLI

使用 AWS CLI 版本1.27.160或更新版本完成下列步驟。您可以使用 aws --version 來檢查您的目前版本。若要安裝或升級 AWS CLI，請參閱安裝 AWS CLI.

1. 使用下列 AWS CLI 命令更新叢集API伺服器端點存取權。替換叢集名稱和所需的端點存取值。如果您設定endpointPublicAccess=true，則您可以 (選擇性) 輸入單一區CIDR塊或以逗號分隔的CIDR區塊清單。publicAccessCidrs區塊不能包含預留地址。如果您指定CIDR區塊，則公用API伺服器端點只會接收來自所列區塊的要求。您可以指定的CIDR區塊數目上限。如需詳細資訊，請參閱檢視和管理 Amazon EKS 和Fargate服務配額。如果您使用CIDR區塊限制對公用端點的存取，建議您同時啟用私有端點存取，以便節點和 Fargate Pods (如果您使用它們) 可以與叢集通訊。如果未啟用私有端點，則您的公用存取端點CIDR來源必須包含來自VPC. 例如，如果私有子網路中有一個透過閘道與網際網路通訊的節點，則需要將NAT閘道的輸出 IP 位址新增為公用端點上允許CIDR區塊的一部分。NAT如果未指定任何CIDR區塊，則公用API伺服器端點會接收來自所有 (0.0.0.0/0) IP 位址的要求。

   注意

   下列命令可從API伺服器端點的單一 IP 位址啟用私人存取和公開存取。以單203.0.113.5/32一區CIDR塊或您要限制網路存取的CIDR區塊清單 (以逗號分隔) 取代。

   aws eks update-cluster-config \
       --region region-code \
       --name my-cluster \
       --resources-vpc-config endpointPublicAccess=true,publicAccessCidrs="203.0.113.5/32",endpointPrivateAccess=true
   

   範例輸出如下。

   {
       "update": {
           "id": "e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000",
           "status": "InProgress",
           "type": "EndpointAccessUpdate",
           "params": [
               {
                   "type": "EndpointPublicAccess",
                   "value": "true"
               },
               {
                   "type": "EndpointPrivateAccess",
                   "value": "true"
               },
               {
                   "type": "publicAccessCidrs",
                   "value": "[\203.0.113.5/32\"]"
               }
           ],
           "createdAt": 1576874258.137,
           "errors": []
       }
   }

2. 使用叢集名稱和前述命令傳回的更新 ID，藉由以下命令監控端點存取的更新狀態，當狀態顯示為 Successful，您的更新就完成了。

   aws eks describe-update \
       --region region-code \
       --name my-cluster \
       --update-id e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000
   

   範例輸出如下。

   {
       "update": {
           "id": "e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000",
           "status": "Successful",
           "type": "EndpointAccessUpdate",
           "params": [
               {
                   "type": "EndpointPublicAccess",
                   "value": "true"
               },
               {
                   "type": "EndpointPrivateAccess",
                   "value": "true"
               },
               {
                   "type": "publicAccessCidrs",
                   "value": "[\203.0.113.5/32\"]"
               }
           ],
           "createdAt": 1576874258.137,
           "errors": []
       }
   }