部署網際網路存取受限的私有叢集 - Amazon EKS

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

部署網際網路存取受限的私有叢集

本主題說明如何部署部署在 AWS 雲端上，但沒有傳出網際網路存取權的 Amazon EKS 叢集。如果您在 AWS Outposts 上有本機叢集，請參閱 在 AWS Outposts 上建立 Amazon Linux 節點，而非本主題。

如果您不熟悉 Amazon EKS 網路，請參閱取消對 Amazon EKS 工作者節點叢集網路的神秘。如果您的叢集沒有傳出網際網路存取權，則必須符合下列要求：

  • 您的叢集必須從 VPC 中的容器登錄檔提取映像。您可以在 VPC 中建立 Amazon Elastic Container Registry，並將容器映像複製到其中，讓節點從中提取。如需詳細資訊，請參閱將容器映像從一個儲存庫複製到另一個儲存庫。

  • 您的叢集必須啟用端點私有存取。這對節點向叢集端點註冊而言是必要的。端點公有存取權限並非必要。如需詳細資訊，請參閱控制叢集 API 伺服器端點的網路存取。

  • 自我管理 Linux 以及 Windows 節點必須在啟動之前包含下列引導引數。這些引數會略過 Amazon EKS 簡介，不需要API從 VPC 內存取 Amazon EKS。

    1. 使用以下命令判斷叢集端點的值。Replace (取代) my-cluster 您的叢集名稱。

      aws eks describe-cluster --name my-cluster --query cluster.endpoint --output text

      範例輸出如下。

      https://EXAMPLE108C897D9B2F1B21D5EXAMPLE.sk1.region-code.eks.amazonaws.com

    2. 使用以下命令判斷叢集憑證授權機構的值。Replace (取代) my-cluster 您的叢集名稱。

      aws eks describe-cluster --name my-cluster --query cluster.certificateAuthority --output text

      傳回的輸出是長字串。

    3. Replace (取代) cluster-endpoint 以及 certificate-authority 在下列命令中，包含從先前命令的輸出傳回的值。如需有關在啟動自我管理節點時指定引導參數的詳細資訊，請參閱 建立自我管理的 Amazon Linux 節點 和 建立自我管理 Microsoft Windows 節點。

      • 用於 Linux 節點：

        --apiserver-endpoint cluster-endpoint --b64-cluster-ca certificate-authority

        如需其他引數，請參閱 上的引導指令碼 GitHub.

      • 用於 Windows 節點：

        注意

        如果您使用的是自訂服務 CIDR，則需要使用 -ServiceCIDR 參數來指定它。否則， 的 DNS 解析 Pods 叢集中的 將會失敗。

        -APIServerEndpoint cluster-endpoint -Base64ClusterCA certificate-authority

        如需其他引數，請參閱 引導指令碼組態參數。

  • aws-auth ConfigMap 叢集的 必須在 VPC 中建立。若要進一步了解如何建立項目並將項目新增至 aws-auth ConfigMap，請在終端機中輸入 eksctl create iamidentitymapping --help。如果您的伺服器上ConfigMap不存在 ， eksctl會在您使用 命令新增身分映射時建立它。

  • Pods 設定服務帳戶的 IAM 角色，從 AWS Security Token Service (AWS STS) API 呼叫取得憑證。如果沒有傳出網際網路存取，您必須在 AWS STS 中建立和使用 aVPC VPC 端點。大多數 AWS v1 SDKs 預設會使用全域 AWS STS 端點 (sts.amazonaws.com)，這不使用 AWS STS VPC端點。若要使用 AWS STS VPC 端點，您可能需要設定 SDK 以使用 regional AWS STS 端點 (sts.region-code.amazonaws.com)。如需詳細資訊，請參閱設定服務帳戶 AWS 的安全權杖服務端點。

  • 您叢集的 VPC 子網路必須具有VPC您 AWS Pods 需要存取 。如需詳細資訊，請參閱使用介面 VPC 端點存取 AWS 服務。下表列出了一些常用的服務和端點。如需端點的完整清單，請參閱 AWSAWS PrivateLink 指南中的與 Word 整合的服務。 AWS PrivateLink

    建議您為 DNS 端點啟用私有 Word 名稱，這樣工作負載就可以繼續使用公有 AWS 服務端點而不會發生問題。 VPC

    服務 端點

    Amazon EC2

    com.amazonaws。region-code.ec2

    Amazon Elastic Container Registry (用於提取容器映像)

    com.amazonaws。region-code.ecr.api、com.amazonaws。region-code.ecr.dkr 和 com.amazonaws。region-code.s3

    Application Load Balancer 與 Network Load Balancer

    com.amazonaws。region-code.elasticloadbalancing

    AWS X-Ray

    com.amazonaws。region-code.xray

    Amazon CloudWatch 日誌

    com.amazonaws。region-code.logs

    AWS Security Token Service （在服務帳戶使用 IAM 角色時需要）

    com.amazonaws。region-code.sts

  • 任何自我管理節點都必須部署到具有您需要之 VPC 介面端點的子網路。如果您建立受管節點群組，VPC 介面端點安全群組必須允許子網路的 CIDR，或者必須將建立的節點安全群組新增至 VPC 介面端點安全群組。

  • 如果您的 Pods 使用 Amazon EFS 磁碟區，然後在部署 Amazon EFS 的儲存彈性檔案系統之前，必須變更驅動程式的 kustomization.yaml 檔案，以將容器映像設定為使用與 Amazon EKS 叢集相同的 AWS 區域。

  • 您可以使用 AWS Load Balancer 控制器，將 AWS Application Load Balancer (ALB) 和 Network Load Balancer 部署到您的私有叢集。部署時，您應使用命令列旗標將 enable-shield、enable-waf 和 enable-wafv2 設定為 false。不支援使用來自輸入物件的主機名稱進行憑證探索。這是因為控制器需要連線到沒有 VPC 介面端點的 AWS Certificate Manager。

    控制器支援具有 IP 目標的 Network Load Balancer，這些目標與 Fargate 一起使用。如需詳細資訊，請參閱 使用 Application Load Balancer 路由應用程式和 HTTP 流量 和 建立 Network Load Balancer。

  • 支援 Cluster Autoscaler。部署 Cluster Autoscaler 時 Pods，請確定命令列包含 --aws-use-static-instance-list=true。如需詳細資訊，請參閱在 上使用靜態執行個體清單 GitHub。 工作者節點 VPC 也必須包含 AWS STS VPC端點和自動擴展 VPC 端點。

  • 有些容器軟體產品會使用 API 呼叫來存取 AWS Marketplace Metering Service 來監控用量。私有叢集不允許這些呼叫，因此您無法在私有叢集中使用這些容器類型。