Netzwerkzugriff auf den Cluster-API-Serverendpunkt konfigurieren

Sie können den Endpunktzugriff Ihres Cluster-API-Servers mithilfe der AWS Management Console oder AWS CLI in den folgenden Abschnitten ändern.

Konfigurieren Sie den Endpunktzugriff — AWS Konsole

1. Öffnen Sie die Amazon-EKS-Konsole.

2. Wählen Sie den Namen des Clusters aus, um Ihre Cluster-Informationen anzuzeigen.

3. Wählen Sie die Registerkarte Netzwerk und dann Endpunktzugriff verwalten aus.

4. Wählen Sie für den privaten Zugriff aus, ob Sie den privaten Zugriff für den Kubernetes API-Serverendpunkt Ihres Clusters aktivieren oder deaktivieren möchten. Wenn Sie privaten Zugriff aktivieren, verwenden Kubernetes API-Anfragen, die aus der VPC Ihres Clusters stammen, den privaten VPC-Endpunkt. Sie müssen den privaten Zugriff aktivieren, um den öffentlichen Zugriff zu deaktivieren.

5. Wählen Sie für den öffentlichen Zugriff aus, ob Sie den öffentlichen Zugriff für den Kubernetes API-Serverendpunkt Ihres Clusters aktivieren oder deaktivieren möchten. Wenn Sie den öffentlichen Zugriff deaktivieren, kann der Kubernetes API-Server Ihres Clusters nur Anfragen aus der Cluster-VPC empfangen.

6. (Optional) Wenn Sie den öffentlichen Zugriff aktiviert haben, können Sie angeben, welche Adressen aus dem Internet mit dem öffentlichen Endpunkt kommunizieren können. Wählen Sie Erweiterte Einstellungen aus. Geben Sie einen CIDR-Block ein, z. B. 203.0.113.5/32. Der Block darf keine reservierten Adressen enthalten. Sie können zusätzliche Blöcke eingeben, indem Sie Quelle hinzufügen auswählen. Es gibt eine maximale Anzahl von CIDR-Blöcken, die Sie angeben können. Weitere Informationen finden Sie unter Servicekontingente für Amazon EKS und Fargate anzeigen und verwalten. Wenn Sie keine Blöcke angeben, empfängt der öffentliche API-Serverendpunkt Anfragen von allen IP-Adressen sowohl für () als auch zusätzlich IPv4 IPv6 (0.0.0.0/0::/0) für IPv6 Dual-Stack-Cluster. Wenn Sie den Zugriff auf Ihren öffentlichen Endpunkt mithilfe von CIDR-Blöcken einschränken, empfehlen wir Ihnen, auch den privaten Endpunktzugriff zu aktivieren, damit Knoten und Fargate Pods (falls Sie sie verwenden) mit dem Cluster kommunizieren können. Wenn der private Endpunkt nicht aktiviert ist, müssen die CIDR-Quellen des öffentlichen Zugriffs die Ausgangsquellen aus Ihrer VPC enthalten. Wenn Sie beispielsweise einen Knoten in einem privaten Subnetz haben, der über ein NAT-Gateway mit dem Internet kommuniziert, müssen Sie die ausgehende IP-Adresse des NAT-Gateways als Teil eines erlaubten CIDR-Blocks auf Ihrem öffentlichen Endpunkt hinzufügen.

7. Wählen Sie zum Abschluss Update (Aktualisieren) aus.

Endpunktzugriff konfigurieren — AWS CLI

Führen Sie die folgenden Schritte mit der AWS CLI-Version 1.27.160 oder höher aus. Sie können Ihre aktuelle Version mit aws --version überprüfen. Informationen zur Installation oder zum Upgrade der AWS CLI finden Sie unter AWS CLI installieren.

1. Aktualisieren Sie den Endpunktzugriff Ihres Cluster-API-Servers mit dem folgenden AWS CLI-Befehl. Verwenden Ihre eigenen Werte für den Clusternamen und den gewünschten Endpunkt. Wenn Sie endpointPublicAccess=true festlegen, können Sie (optional) einen einzelnen CIDR-Block oder eine kommagetrennte Liste von CIDR-Blöcken für publicAccessCidrs eingeben. Die Blöcke dürfen keine reservierten Adressen enthalten. Wenn Sie CIDR-Blöcke angeben, empfängt der öffentliche API-Server-Endpunkt nur Anforderungen von den aufgelisteten Blöcken. Es gibt eine maximale Anzahl von CIDR-Blöcken, die Sie angeben können. Weitere Informationen finden Sie unter Servicekontingente für Amazon EKS und Fargate anzeigen und verwalten. Wenn Sie den Zugriff auf Ihren öffentlichen Endpunkt mithilfe von CIDR-Blöcken einschränken, wird empfohlen, dass Sie auch den privaten Endpunktzugriff aktivieren, damit Knoten und Fargate-Pods (falls Sie diese verwenden) mit dem Cluster kommunizieren können. Wenn der private Endpunkt nicht aktiviert ist, müssen die CIDR-Quellen des öffentlichen Zugriffs die Ausgangsquellen aus Ihrer VPC enthalten. Wenn Sie beispielsweise einen Knoten in einem privaten Subnetz haben, der über ein NAT-Gateway mit dem Internet kommuniziert, müssen Sie die ausgehende IP-Adresse des NAT-Gateways als Teil eines erlaubten CIDR-Blocks auf Ihrem öffentlichen Endpunkt hinzufügen. Wenn Sie keine CIDR-Blöcke angeben, empfängt der öffentliche API-Serverendpunkt Anfragen von allen (0.0.0.0/0) IP-Adressen und zusätzlich IPv6 (::/0) für Dual-Stack-Cluster. IPv6

   Anmerkung

   Der folgende Befehl ermöglicht den privaten Zugriff und den öffentlichen Zugriff von einer einzelnen IP-Adresse für den API-Server-Endpunkt. Ersetzen Sie 203.0.113.5/32 durch einen einzelnen CIDR-Block oder eine kommagetrennte Liste von CIDR-Blöcken, auf die Sie den Netzwerkzugriff beschränken möchten.

   aws eks update-cluster-config \
       --region region-code \
       --name my-cluster \
       --resources-vpc-config endpointPublicAccess=true,publicAccessCidrs="203.0.113.5/32",endpointPrivateAccess=true

   Eine Beispielausgabe sieht wie folgt aus.

   {
       "update": {
           "id": "e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000",
           "status": "InProgress",
           "type": "EndpointAccessUpdate",
           "params": [
               {
                   "type": "EndpointPublicAccess",
                   "value": "true"
               },
               {
                   "type": "EndpointPrivateAccess",
                   "value": "true"
               },
               {
                   "type": "publicAccessCidrs",
                   "value": "[\"203.0.113.5/32\"]"
               }
           ],
           "createdAt": 1576874258.137,
           "errors": []
       }
   }

2. Überwachen Sie den Status des aktualisierten Endpunktzugriffs mit dem folgenden Befehl unter Verwendung des Cluster-Namens und der Update-ID, die vom vorherigen Befehl zurückgegeben wurden. Ihre Aktualisierung ist abgeschlossen, wenn als Status Successful angezeigt wird.

   aws eks describe-update \
       --region region-code \
       --name my-cluster \
       --update-id e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000

   Eine Beispielausgabe sieht wie folgt aus.

   {
       "update": {
           "id": "e6f0905f-a5d4-4a2a-8c49-EXAMPLE00000",
           "status": "Successful",
           "type": "EndpointAccessUpdate",
           "params": [
               {
                   "type": "EndpointPublicAccess",
                   "value": "true"
               },
               {
                   "type": "EndpointPrivateAccess",
                   "value": "true"
               },
               {
                   "type": "publicAccessCidrs",
                   "value": "[\"203.0.113.5/32\"]"
               }
           ],
           "createdAt": 1576874258.137,
           "errors": []
       }
   }

📝 Bearbeiten Sie diese Seite auf GitHub