協助改進此頁面

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

若要為本使用者指南貢獻內容，請點選每個頁面右側面板中的在 GitHub 上編輯此頁面連結。

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

建立 Amazon EKS 的節點類別

Amazon EKS 節點類別是範本，可讓您精細控制 EKS 自動模式受管節點的組態。節點類別定義套用至 EKS 叢集中節點群組的基礎結構層級設定，包括網路組態、儲存設定和資源標記。本主題闡釋如何建立和設定節點類別，以滿足您的特定操作需求。

當您需要自訂 EKS 自動模式在預設設定之外，佈建和設定 EC2 執行個體的方式時，建立節點類別可讓您精確控制關鍵基礎結構參數。例如，您可以指定私有子網路放置以增強安全性，為效能敏感的工作負載設定執行個體暫時性儲存，或套用自訂標記以進行成本分配。

Pod 稀疏或大規模工作負載的考量事項

根據預設，EKS Auto Mode 會使用字首委派 (/28字首）。每個節點會保留 16 個 Pod IPs，這對於填滿這些插槽的 Pod 密集型工作負載很有效率。對於以每個可用區域超過數百個節點為目標的 Pod-sparse 工作負載 （每個節點有幾個 Pod，常見於 ML 或 GPU 工作負載，或anti-affinity-heavy工作負載），次要 IP 模式 ("32") 是更最佳化的組態。它為每個 Pod 配置一個 IP，而不是為每個節點預留 16 個 IP，這會擴展 Pod /20 子網路的有效容量。

如需詳細資訊，請參閱Pod 的次要 IP 模式。若要將 Pod 保留在與節點不同的子網路中 （獨立於配置模式），請參閱 分開 Pod 的子網路和安全群組。

建立節點類別

要建立 NodeClass，請執行下列步驟：

您需要已安裝並設定 kubectl。如需詳細資訊，請參閱設定以使用 Amazon EKS。

基本節點類別範例

以下是一個節點類別範例：

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: private-compute
spec:
  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"
        kubernetes.io/role/internal-elb: "1"
  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"
  ephemeralStorage:
    size: "160Gi"

此 NodeClass 會增加節點上的暫時性儲存量。

透過以下方式套用此組態：

kubectl apply -f nodeclass.yaml

接下來，在節點集區組態中參考節點類別。如需詳細資訊，請參閱為 EKS 自動模式建立節點集區。

建立節點類別存取項目

如果您建立了自訂節點類別，則需要建立 EKS 存取項目以允許節點加入叢集。在當您使用內建節點類別和節點集區時，EKS 會自動建立存取項目。

如需項目存取方法的相關資訊，請參閱 使用 EKS 存取項目授予 IAM 使用者 Kubernetes 的存取權。

為 EKS 自動模式節點類別建立存取項目時，您需要使用 EC2 存取項目類型。

使用 CLI 建立存取項目

要建立 EC2 節點的存取項目，並關聯 EKS Auto Node 政策：

使用您的叢集名稱和節點角色 ARN 更新以下 CLI 命令。節點角色 ARN 在節點類別 YAML 中指定。

# Create the access entry for EC2 nodes
aws eks create-access-entry \
  --cluster-name <cluster-name> \
  --principal-arn <node-role-arn> \
  --type EC2

# Associate the auto node policy
aws eks associate-access-policy \
  --cluster-name <cluster-name> \
  --principal-arn <node-role-arn> \
  --policy-arn arn:aws: eks::aws:cluster-access-policy/AmazonEKSAutoNodePolicy \
  --access-scope type=cluster

使用 CloudFormation 建立存取項目

要建立 EC2 節點的存取項目，並關聯 EKS Auto Node 政策：

使用您的叢集名稱和節點角色 ARN 更新以下 CloudFormation。節點角色 ARN 在節點類別 YAML 中指定。

EKSAutoNodeRoleAccessEntry:
  Type: AWS::EKS::AccessEntry
  Properties:
    ClusterName: <cluster-name>
    PrincipalArn: <node-role-arn>
    Type: "EC2"
    AccessPolicies:
      - AccessScope:
          Type: cluster
        PolicyArn: arn:aws: eks::aws:cluster-access-policy/AmazonEKSAutoNodePolicy
  DependsOn: [ <cluster-name> ] # previously defined in CloudFormation

有關部署 CloudFormation 堆疊的資訊，請參閱 CloudFormation 入門

節點類別規格

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: my-node-class
spec:
  # Required fields

  # role and instanceProfile are mutually exclusive fields.
  role: MyNodeRole  # IAM role for EC2 instances
  # instanceProfile: eks-MyNodeInstanceProfile  # IAM instance-profile for EC2 instances

  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"
        kubernetes.io/role/internal-elb: "1"
    # Alternative using direct subnet ID
    # - id: "subnet-0123456789abcdef0"

  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"
    # Alternative approaches:
    # - id: "sg-0123456789abcdef0"
    # - name: "eks-cluster-security-group"

  # Optional: Pod subnet selector for advanced networking
  podSubnetSelectorTerms:
    - tags:
        Name: "pod-subnet"
        kubernetes.io/role/pod: "1"
    # Alternative using direct subnet ID
    # - id: "subnet-0987654321fedcba0"
  # must include Pod security group selector also
  podSecurityGroupSelectorTerms:
    - tags:
        Name: "eks-pod-sg"
    # Alternative using direct security group ID
    # - id: "sg-0123456789abcdef0"

  # Optional: Selects on-demand capacity reservations and capacity blocks
  # for EKS Auto Mode to prioritize.
  capacityReservationSelectorTerms:
    - id: cr-56fac701cc1951b03
    # Alternative Approaches
    - tags:
        Name: "targeted-odcr"
      # Optional owning account ID filter
      owner: "012345678901"

  # Optional fields
  snatPolicy: Random  # or Disabled

  networkPolicy: DefaultAllow  # or DefaultDeny
  networkPolicyEventLogs: Disabled  # or Enabled

  ephemeralStorage:
    size: "80Gi"    # Range: 1-59000Gi or 1-64000G or 1-58Ti or 1-64T
    iops: 3000      # Range: 3000-16000
    throughput: 125 # Range: 125-1000
    # Optional KMS key for encryption
    kmsKeyID: "arn:aws: kms:region:account:key/key-id"
    # Accepted formats:
    # KMS Key ID
    # KMS Key ARN
    # Key Alias Name
    # Key Alias ARN

  advancedNetworking:
    # Optional: Controls whether public IP addresses are assigned to instances that are launched with the nodeclass.
    # If not set, defaults to the MapPublicIpOnLaunch setting on the subnet.
    associatePublicIPAddress: false

    # Optional: Forward proxy, commonly requires certificateBundles as well
    # for EC2, see https://repost.aws/knowledge-center/eks-http-proxy-containerd-automation
    httpsProxy: http://192.0.2.4:3128 #commonly port 3128 (Squid) or 8080 (NGINX) #Max 255 characters
    #httpsProxy: http://[2001:db8::4]:3128 # IPv6 address with port, use []
    noProxy: #Max 50 entries
        - localhost #Max 255 characters each
        - 127.0.0.1
        #- ::1 # IPv6 localhost
        #- 0:0:0:0:0:0:0:1 # IPv6 localhost
        - 169.254.169.254 # EC2 Instance Metadata Service
        #- [fd00:ec2::254] # IPv6 EC2 Instance Metadata Service
        # Domains to exclude, put all VPC endpoints here
        - .internal
        - .eks.amazonaws.com
    # ipv4PrefixSize is default to Auto which is prefix and fallback to secondary IP. "32" is the secondary IP mode.
    ipv4PrefixSize: Auto # or "32"

    # enableV4Egress is default to true. Setting it to false when using network policy or blocking IPv4 traffic in IPv6 clusters
    enableV4Egress: false

    # Optional: Static network interface configuration for EFA workloads
    networkInterfaces:
      # The primary ENI (networkCardIndex 0, deviceIndex 0) must use interfaceType: interface
      # secondaryIPv4Count and secondaryIPv4PrefixCount are only supported on networkCardIndex 0
    - deviceIndex: 0
      interfaceType: interface
      networkCardIndex: 0
      secondaryIPv4Count: 10
    - deviceIndex: 1
      interfaceType: interface
      networkCardIndex: 0
      secondaryIPv4PrefixCount: 2 # Only one of secondaryIPv4Count or secondaryIPv4PrefixCount per ENI
    - deviceIndex: 0
      interfaceType: efa-only
      networkCardIndex: 1

  advancedSecurity:
    # Optional, US regions only: Specifying `fips: true` will cause nodes in the nodeclass to run FIPS compatible AMIs.
    fips: false

  # Optional: Custom certificate bundles.
  certificateBundles:
    - name: "custom-cert"
      data: "base64-encoded-cert-data"

  # Optional: EC2 Placement Group
  placementGroupSelector:
    name: "targeted-pg"
    # Alternative use direct placement group ID
    # id: "pg-02465754522cda020"

  # Optional: Additional EC2 tags (with restrictions)
  tags:
    Environment: "production"
    Team: "platform"
    # Note: Cannot use restricted tags like:
    # - kubernetes.io/cluster/*
    # - karpenter.sh/provisioner-name
    # - karpenter.sh/nodepool
    # - karpenter.sh/nodeclaim
    # - karpenter.sh/managed-by
    # - eks.amazonaws.com/nodeclass

考量事項

分開 Pod 的子網路和安全群組

podSubnetSelectorTerms 和 podSecurityGroupSelectorTerms 欄位允許 Pod 使用與其節點不同的子網路和安全群組，以啟用進階聯網組態。兩個欄位必須一起指定。這種分離可增強對網路流量路由與安全政策的控制。

運作方式

當您設定 podSubnetSelectorTerms和 時podSecurityGroupSelectorTerms：

使用案例

當您需要podSecurityGroupSelectorTerms時，請使用 podSubnetSelectorTerms和 ：

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: advanced-networking
spec:
  role: MyNodeRole

  # Subnets and security groups for EC2 instances (nodes)
  subnetSelectorTerms:
    - tags:
        Name: "node-subnet"
        kubernetes.io/role/internal-elb: "1"

  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"

  # Separate subnets and security groups for Pods
  podSubnetSelectorTerms:
    - tags:
        Name: "pod-subnet"
        kubernetes.io/role/pod: "1"

  podSecurityGroupSelectorTerms:
  - tags:
      Name: "eks-pod-sg"

個別 Pod 子網路和安全群組的考量事項

Pod 的次要 IP 模式

ipv4PrefixSize 欄位透過僅將次要 IP 地址配置給節點來啟用進階聯網組態。此功能不會將字首 (/28) 配置給節點，而且只會維護一個次要 IP 做為 MinimalIPTarget。

advancedNetworking.ipv4PrefixSize 接受兩個值：Auto（預設；字首委派；較高的 Pod-creation 速度；每個節點保留至少 16 IPs) 和 "32"（次要 IP 模式；每個 Pod 1 個 IP；新增每個 Pod AssignPrivateIpAddresses呼叫；由執行個體類型的 ENI IP 限制限制限制限制pods-per-node)。

在 Auto模式下，EKS Auto Mode 會預先將/28字首 (16 IPs) 配置給每個節點，並在 Pod 需求超過目前區塊的容量/28時新增另一個節點，因此 16 是每個節點的最小值，而不是上限。

使用以下數字進行規劃；實際叢集會有所不同。當 Pod 子網路變得分段且沒有連續/28可用時，Auto模式會回到該節點上的每個 IP 配置。然後，每個節點 IP 計數會低於如下所示的 16 個字首模式。

若要切換到 Pod 稀疏工作負載的次要 IP 模式 （每個 Pod 1 個 IP，無字首保留），請使用 建立自訂NodeClassadvancedNetworking.ipv4PrefixSize: "32"並指向自訂NodePool。內建general-purpose和system節點集區使用自動佈建的 default NodeClass；覆寫ipv4PrefixSize需要搭配自訂 NodePool 的自訂 NodeClass。 NodePool

使用案例

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: advanced-networking
spec:
  role: MyNodeRole

  advancedNetworking:
    ipv4PrefixSize: "32"

次要 IP 模式的考量事項

在 IPv4IPv6 叢集中停用 IPv6 Pod 的 IPv6 輸出。

enableV4Egress 欄位true預設為 。對於自動模式 IPv6 叢集，此功能可以停用，因此自動模式不會為 IPv6 Pod 建立僅輸出 IPv4 界面。這很重要，因為 IPv4 輸出界面不受網路政策強制執行的約束。網路政策僅在 Pod 的主要界面 (eth0) 上強制執行。

使用案例

當您需要以下功能時，可使用 enableV4Egress：

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: advanced-networking
spec:
  role: MyNodeRole

  advancedNetworking:
    enableV4Egress: false

停用 enableV4Egress 的考量事項

靜態網路界面組態

下的 networkInterfaces 欄位advancedNetworking可讓您靜態定義在啟動時連接到執行個體的網路介面。這主要用於為分散式訓練和推論工作負載中的高效能節點間通訊設定 Elastic Fabric Adapter (EFA) 裝置。此功能可與靜態容量節點集區配對，以維護預先暖機且 EFA 就緒的節點。如需 EKS 中 EFA 裝置管理的詳細資訊，請參閱 在 Amazon EKS 上管理 EFA 裝置。如需特定執行個體類型的建議 EFA 組態，請參閱《Amazon EC2 使用者指南》中的為啟用 EFA 的執行個體類型最大化網路頻寬。

運作方式

中的每個項目都會networkInterfaces定義在啟動期間連接至執行個體的網路界面。每個項目都會指定 networkCardIndex（網路卡，其中 0是主要）、 deviceIndex（該卡上的裝置位置） 和 interfaceType(interface適用於標準 IP 型流量，或efa-only適用於專用於無 IP 地址之 RDMA 流量的 EFA 介面）。主要 ENI (networkCardIndex: 0、deviceIndex: 0) 必須使用 interfaceType: interface 來支援 IP 型節點通訊。這些efa-only介面僅支援 RDMA 的 EFA 裝置功能，且無法使用 IP 地址設定。

您可以使用 （每個單位提供 1 個 IP 地址networkCardIndex: 0) 或 secondaryIPv4Count（每個單位提供具有 16 個 IP 地址的 /28 字首），將 IP 容量指派給主要網路卡 secondaryIPv4PrefixCount() 上的介面。每個界面只能使用其中一個，而且僅在 上支援。 networkCardIndex: 0它們無法在efa-only介面上使用。

考量事項

靜態定義的網路介面不支援 IPv6。定義多個網路介面時， associatePublicIPAddress不相容，因此使用多個介面的節點無法擁有公IPs （僅限公有叢集或混合公有/私有叢集）。

podSecurityGroupSelectorTerms 搭配靜態網路介面使用 podSubnetSelectorTerms和 時，請使用 0 IPs 設定主要 ENI。主要 ENI 使用節點子網路和安全群組，而 Pod 流量則使用次要 ENIs 上的 Pod 子網路組態。

範例：僅限 EFA 的 GPU 訓練界面

下列範例顯示為分散式訓練中使用的 GPU 執行個體NodeClass設定了僅限 EFA 介面的 。主要介面具有 /28 字首 (16 個 Pod IPs) 和 4 個額外的僅限 EFA 介面，可提供 RDMA 連線能力。此組態可與靜態容量節點集區配對，以維護預先暖機的 EFA 就緒節點。

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: efa-training
spec:
  role: MyNodeRole
  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"
  securityGroupSelectorTerms:
    - tags:
        Name: "efa-security-group"
  placementGroupSelector:
    name: "ml-training-pg"
  advancedNetworking:
    networkInterfaces:
    - deviceIndex: 0
      interfaceType: interface
      networkCardIndex: 0
      secondaryIPv4PrefixCount: 1
    - deviceIndex: 1
      interfaceType: efa-only
      networkCardIndex: 0
    - deviceIndex: 0
      interfaceType: efa-only
      networkCardIndex: 1
    - deviceIndex: 0
      interfaceType: efa-only
      networkCardIndex: 2
    - deviceIndex: 0
      interfaceType: efa-only
      networkCardIndex: 3

在節點上設定巨型分頁

使用 advancedCompute.hugepages 欄位，您可以在 中的節點上設定巨型分頁NodeClass。Hugepage 可改善延遲敏感工作負載的記憶體存取效能，例如高效能運算 (HPC)、資料庫和網路密集型應用程式。您可以分別或一起使用兩個獨立的巨型分頁組態：

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: hugepages-compute
spec:
  role: MyNodeRole

  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"

  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"

  advancedCompute:
    hugepages:
      # Static hugepage reservations: up to one entry for each size
      pages:
        - size: "2Mi"
          count: 512
        - size: "1Gi"
          count: 2
      # Transparent hugepages (THP) kernel policy
      transparent:
        enabled: always  # or madvise, never
        defrag: defer    # or always, defer+madvise, madvise, never

透明巨型分頁設定

這兩種transparent設定都是選用的。如果您省略設定，節點會使用核心預設值 (madvise)。

若要停用 THP，例如，對於建議將其關閉的資料庫工作負載，請設定 enabled: never。當 enabled為 時never，請defrag保持取消設定或將其設定為 never；NodeClass 驗證會拒絕任何其他組合。

Hugepages 考量事項

在 NodeClass 上設定巨型分頁時，請考慮下列事項：

在節點上設定 kubelet 設定

使用 advancedCompute.kubelet 欄位覆寫 中節點上的 kubelet 設定NodeClass。透過這些覆寫，您可以調整 Pod 密度、資源壓力移出、容器日誌輪換和out-of-memory(OOM) 行為。Amazon EKS 會將預設 kubelet 設定套用至 Auto Mode 節點，因此只有當您的工作負載需要不同的行為時，才能設定此欄位。如需基礎設定的詳細資訊，請參閱 Kubernetes 文件中的 Kubelet 組態。

下列 kubelet 設定可供使用：

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: kubelet-compute
spec:
  role: MyNodeRole

  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"

  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"

  advancedCompute:
    kubelet:
      # Range: 1-110
      maxPods: 60
      # -1 disables the limit, or specify 100 or greater
      podPidsLimit: 4096
      # Multiple of 65536, range: 65536-4294967295. Requires
      # advancedCompute.kernel.sysctl.user.max_user_namespaces > 0.
      idsPerPod: 65536
      singleProcessOOMKill: false
      eviction:
        # Valid signals: memory.available, nodefs.available, nodefs.inodesFree,
        # imagefs.available, imagefs.inodesFree, pid.available
        hard:
          memory.available: "100Mi"
          nodefs.available: "10%"
        soft:
          memory.available: "500Mi"
          nodefs.available: "15%"
        # Required when soft thresholds are set
        softGracePeriod:
          memory.available: "1m30s"
          nodefs.available: "2m"
        # 0 uses each Pod's terminationGracePeriodSeconds
        maxPodGracePeriod: 60
      logging:
        containerLogMaxSize: "10Mi"
        # Minimum: 2
        containerLogMaxFiles: 5
      # Up to 64 entries. Allowed patterns: kernel.shm*, kernel.msg*,
      # kernel.sem, fs.mqueue.*, net.*
      allowedUnsafeSysctls:
        - "net.core.somaxconn"
        - "kernel.shm*"

Kubelet 設定考量事項

在 NodeClass 上設定 kubelet 設定時，請考慮下列事項：

在節點上設定核心 sysctl

使用 advancedCompute.kernel.sysctl 欄位在 中的節點上設定 Linux 核心 sysctlNodeClass。對於需要更高聯網限制、不同記憶體管理政策或特定 TCP 設定的工作負載，Sysctls 會調整執行時間核心行為。sysctl 欄位上的屬性名稱完全符合基礎核心 sysctl 名稱 （例如， vm.swappiness和 net.core.somaxconn)。Amazon EKS 會在節點開機時套用 sysctl 值。如果您在現有的 NodeClass 上變更 sysctl，Amazon EKS 會開始取代節點，讓新值生效。

範例組態

apiVersion: eks.amazonaws.com/v1
kind: NodeClass
metadata:
  name: tuned-compute
spec:
  role: MyNodeRole

  subnetSelectorTerms:
    - tags:
        Name: "private-subnet"

  securityGroupSelectorTerms:
    - tags:
        Name: "eks-cluster-sg"

  advancedCompute:
    kernel:
      sysctl:
        vm.swappiness: 30
        net.core.somaxconn: 4096
        net.ipv4.tcp_congestion_control: "cubic"
        vm.dirty_background_ratio: 10
        vm.dirty_ratio: 20

支援的 sysctl

Amazon EKS 僅支援下表中的 sysctl。每個數值 sysctl 都會強制執行顯示的最小值和最大值，而 NodeClass 許可則會拒絕該範圍以外的值。字串 sysctls 僅接受列出的值。

Sysctls 考量事項

在 NodeClass 上設定核心 sysctl 時，請考慮下列事項：