Greifen Sie auf Amazon EKS zu mit AWS PrivateLink

Sie können AWS PrivateLink es verwenden, um eine private Verbindung zwischen Ihrer VPC und Amazon Elastic Kubernetes Service herzustellen. Sie können auf Amazon EKS zugreifen, als wäre es in Ihrer VPC, ohne ein Internet-Gateway, ein NAT-Gerät, eine VPN-Verbindung oder eine AWS Direct Connect-Verbindung verwenden zu müssen. Instances in Ihrer VPC benötigen keine öffentlichen IP-Adressen, um auf Amazon EKS zuzugreifen.

Sie stellen diese private Verbindung her, indem Sie einen Schnittstellenendpunkt erstellen, der von AWS PrivateLink unterstützt wird. Wir erstellen eine Endpunkt-Netzwerkschnittstelle in jedem Subnetz, das Sie für den Schnittstellen-Endpunkt aktivieren. Hierbei handelt es sich um vom Anforderer verwaltete Netzwerkschnittstellen, die als Eingangspunkt für den Datenverkehr dienen, der für Amazon EKS bestimmt ist.

Weitere Informationen finden Sie unter Access AWS services through AWS PrivateLink im AWS PrivateLink Handbuch.

Überlegungen zu Amazon EKS

• Bevor Sie einen Schnittstellenendpunkt für Amazon EKS einrichten, lesen Sie die Überlegungen im AWS PrivateLink Handbuch.

• Amazon EKS unterstützt Aufrufe all seiner API-Aktionen über den Schnittstellenendpunkt, jedoch nicht für Kubernetes APIs. Der Kubernetes-API-Server unterstützt bereits einen privaten Endpunkt. Der private Endpunkt des Kubernetes-API-Servers erstellt einen privaten Endpunkt für den Kubernetes-API-Server, den Sie für die Kommunikation mit Ihrem Cluster verwenden (mithilfe von Kubernetes-Verwaltungstools wie). kubectl Sie können den privaten Zugriff auf den Kubernetes-API-Server aktivieren, sodass die gesamte Kommunikation zwischen Ihren Knoten und dem API-Server in Ihrer VPC bleibt. AWS PrivateLink für die Amazon EKS-API können Sie Amazon EKS APIs von Ihrer VPC aus aufrufen, ohne dass der Datenverkehr dem öffentlichen Internet ausgesetzt wird.

• Sie können Amazon EKS nicht so konfigurieren, dass der Zugriff nur über einen Schnittstellenendpunkt erfolgt.

• Die Standardpreise für AWS PrivateLink gelten für Schnittstellenendpunkte für Amazon EKS. Ihnen wird jede Stunde in Rechnung gestellt, die ein Schnittstellenendpunkt in jeder Availability Zone bereitgestellt wird, sowie für Daten, die über den Schnittstellenendpunkt verarbeitet werden. Weitere Informationen finden Sie unter AWS PrivateLink Preise.

• VPC-Endpunktrichtlinien werden für Amazon EKS unterstützt. Sie können diese Richtlinien verwenden, um den Zugriff auf Amazon EKS über den Schnittstellenendpunkt zu steuern. Darüber hinaus können Sie den Endpunkt-Netzwerkschnittstellen eine Sicherheitsgruppe zuordnen, um den Datenverkehr zu Amazon EKS über den Schnittstellenendpunkt zu steuern. Weitere Informationen finden Sie unter Steuern des Zugriffs auf VPC-Endpunkte mithilfe von Endpunktrichtlinien in den Amazon VPC-Dokumenten.

• Sie können VPC-Ablaufprotokolle verwenden, um Informationen über IP-Datenverkehr zu und von Netzwerkschnittstellen, einschließlich Schnittstellenendpunkten, zu erfassen. Sie können Flow-Protokolldaten auf Amazon CloudWatch oder Amazon S3 veröffentlichen. Weitere Informationen finden Sie unter Protokollierung des IP-Verkehrs mithilfe von VPC-Ablaufprotokollen im Amazon-VPC-Benutzerhandbuch.

• Sie können APIs von einem lokalen Rechenzentrum aus auf Amazon EKS zugreifen, indem Sie es mit einer VPC verbinden, die über einen Schnittstellenendpunkt verfügt. Sie können AWS Direct Connect oder AWS Site-to-Site VPN verwenden, um Ihre lokalen Standorte mit einer VPC zu verbinden.

• Sie können andere VPCs mit einem Schnittstellenendpunkt über ein AWS Transit Gateway oder VPC-Peering mit der VPC verbinden. VPC-Peering ist eine Netzwerkverbindung zwischen zwei. VPCs Sie können eine VPC-Peering-Verbindung zwischen Ihrem VPCs Konto oder mit einer VPC in einem anderen Konto einrichten. VPCs Sie können sich in verschiedenen Regionen befinden. AWS Der Verkehr zwischen VPCs Peering-Geräten verbleibt im AWS Netzwerk. Der Verkehr durchquert nicht das öffentliche Internet. Ein Transit Gateway ist ein Netzwerk-Transit-Hub, über den Sie eine Verbindung herstellen VPCs können. Der Verkehr zwischen einer VPC und einem Transit Gateway verbleibt im AWS globalen privaten Netzwerk. Der Verkehr ist nicht im öffentlichen Internet verfügbar.

• Vor August 2024 war der Zugriff VPC VPC-Schnittstellenendpunkte für Amazon EKS nur über IPv4 Nutzung möglich. eks.region.amazonaws.com Neue VPC-Schnittstellenendpunkte, die nach August 2024 hergestellt wurden, verwenden IPv6 Dual-Stack-IP-Adressen IPv4 und beide DNS-Namen: und. eks.region.amazonaws.com eks.region.api.aws

• AWS PrivateLink Unterstützung für die EKS-API ist in den AWS Regionen Asien-Pazifik (Malaysia) (ap-southeast-5), Asien-Pazifik (Thailand) (ap-southeast-7) und Mexiko (Zentral) (mx-central-1) nicht verfügbar. AWS PrivateLink Unterstützung eks-auth für EKS Pod Identity ist in der Region Asien-Pazifik (Malaysia) (ap-southeast-5) verfügbar.

Erstellen eines Schnittstellen-Endpunkts für Amazon EKS

Sie können einen Schnittstellenendpunkt für Amazon EKS entweder mit der Amazon VPC-Konsole oder der AWS Befehlszeilenschnittstelle (AWS CLI) erstellen. Weitere Informationen finden Sie im AWS PrivateLink Handbuch unter Erstellen eines VPC-Endpunkts.

Erstellen Sie einen Schnittstellenendpunkt für Amazon EKS mit den folgenden Servicenamen:

• EKS-API

com.amazonaws.region-code.eks

• EKS-Authentifizierungs-API (EKS-Pod-Identität)

com.amazonaws.region-code.eks-auth

Die private DNS-Funktion ist standardmäßig aktiviert, wenn ein Schnittstellenendpunkt für Amazon EKS und andere AWS Dienste erstellt wird. Um die private DNS-Funktion verwenden zu können, müssen Sie sicherstellen, dass die folgenden VPC-Attribute auf gesetzt sindtrue: enableDnsHostnames undenableDnsSupport. Weitere Informationen finden Sie unter Anzeigen und Aktualisieren von DNS-Attributen für Ihre VPC im Amazon-VPC-Benutzerhandbuch. Wenn das private DNS-Feature für den Schnittstellenendpunkt aktiviert ist:

• Sie können jede API-Anfrage an Amazon EKS stellen, indem Sie den standardmäßigen regionalen DNS-Namen verwenden. Nach August 2024 hat jeder neue VPC-Schnittstellenendpunkt für die Amazon EKS-API zwei standardmäßige regionale DNS-Namen, und Sie können den dualstack für den IP-Adresstyp auswählen. Der erste DNS-Name ist eks.region.api.aws Dual-Stack. Es wird sowohl in Adressen als auch in IPv4 Adressen aufgelöst. IPv6 Vor August 2024 verwendete Amazon EKS nureks.region.amazonaws.com, was nur für IPv4 Adressen aufgelöst wurde. Wenn Sie Dual-Stack-IP-Adressen mit einem vorhandenen VPC-Schnittstellenendpunkt verwenden möchten, können Sie den Endpunkt so aktualisieren, dass er den dualstack IP-Adresstyp verwendet, er hat jedoch nur den eks.region.amazonaws.com DNS-Namen. IPv6 In dieser Konfiguration wird der bestehende Endpunkt aktualisiert, sodass dieser Name sowohl auf IP-Adressen als auch auf IPv6 IP-Adressen IPv4 verweist. Eine Liste der APIs Aktionen finden Sie in der Amazon EKS-API-Referenz.

• Sie müssen keine Änderungen an Ihren Anwendungen vornehmen, die den EKS aufrufen APIs.

  Informationen zur Verwendung der Dual-Stack-Endpunkte mit der AWS CLI finden Sie jedoch in der Konfiguration von Dual-Stack- und FIPS-Endpunkten im AWS SDKs Referenzhandbuch zu Tools.

• Jeder Anruf an den Amazon EKS-Standard-Serviceendpunkt wird automatisch über den Schnittstellenendpunkt über das private AWS Netzwerk weitergeleitet.