AWS에서 사용할 수 있는 Amazon EKS 추가 기능

다음과 같은 Amazon EKS 추가 기능을 사용하여 클러스터를 생성할 수 있습니다. eksctl, AWS Management Console 또는 AWS CLI를 사용하여 사용할 수 있는 추가 기능의 최신 목록을 언제든지 볼 수 있습니다. 사용 가능한 모든 추가 기능을 보거나 추가 기능을 설치하려면 Amazon EKS 추가 기능 생성 섹션을 참조하세요. 추가 기능에 IAM 권한이 필요한 경우 클러스터에 대한 IAMOpenID Connect(OIDC) 공급자가 있어야 합니다. 제공업체가 있는지 아니면 생성해야 하는지 확인하려면 클러스터에 대한 IAM OIDC 공급자 생성 섹션을 참조하세요. 추가 기능을 설치한 후 추가 기능을 업데이트하거나 삭제할 수 있습니다.

다음 Amazon EKS 추가 기능을 사용할 수 있습니다.

설명	자세히 알아보기
클러스터를 위한 네이티브 VPC 네트워킹 제공	Amazon VPC CNI plugin for Kubernetes
Kubernetes 클러스터 DNS 역할을 할 수 있는 유연하고 확장 가능한 DNS 서버	CoreDNS
각 Amazon EC2 노드에서 네트워크 규칙 유지 관리	Kube-proxy
클러스터에 Amazon EBS 스토리지 제공	Amazon EBS CSI 드라이버
클러스터에 Amazon EFS 스토리지 제공	Amazon EFS CSI 드라이버
클러스터에 Amazon S3 스토리지 제공	Mountpoint for Amazon S3 CSI 드라이버
Amazon EBS CSI 드라이버와 같은 호환되는 CSI 드라이버에서 스냅샷 기능의 사용을 활성화	CSI 스냅샷 컨트롤러
안전하고 프로덕션 준비가 완료된 AWS 지원 OpenTelemetry 프로젝트 배포	AWS Distro for OpenTelemetry
AWS CloudTrail 관리 이벤트와 Amazon VPC 흐름 로그를 포함한 기본 데이터 소스를 분석하고 처리하는 보안 모니터링 서비스입니다. Amazon GuardDuty는 또한 Kubernetes 감사 로그 및 런타임 모니터링과 같은 기능을 처리합니다.	Amazon GuardDuty 에이전트
AWS에서 제공하는 모니터링 및 관찰성 서비스입니다. 이 추가 기능은 CloudWatch 에이전트를 설치하고 Amazon EKS의 향상된 관찰성을 통해 CloudWatch Application Signals와 CloudWatch Container Insights 모두 활성화합니다.	Amazon CloudWatch Observability 에이전트
EC2 인스턴스 프로파일이 EC2 인스턴스에 자격 증명을 제공하는 방식과 유사하게 애플리케이션에 대한 자격 증명을 관리하는 기능	EKS Pod Identity Agent

Amazon VPC CNI plugin for Kubernetes

Amazon VPC CNI plugin for Kubernetes Amazon EKS 추가 기능은 클러스터에 네이티브 VPC 네트워킹을 제공하는 Kubernetes 컨테이너 네트워크 인터페이스(CNI) 플러그인입니다. 이 추가 기능의 자체 관리형 또는 관리형 유형은 기본적으로 각 Amazon EC2 노드에 설치됩니다. 자세한 내용은 Kubernetes container network interface (CNI) plugin을 참조하세요.

Amazon EKS 추가 기능 이름은 vpc-cni입니다.

필수 IAM 권한

이 추가 기능은 Amazon EKS의 서비스 계정에 대한 IAM 역할 기능을 활용합니다. 클러스터에서 IPv4 패밀리를 사용하는 경우 AmazonEKS_CNI_Policy의 권한이 필요합니다. 클러스터에서 IPv6 패밀리를 사용하는 경우 IPv6 모드에서 해당 권한이 있는 IAM 정책을 만들어야 합니다. 다음 명령을 사용하여 IAM 역할을 생성하고, 정책 중 하나를 이 역할에 연결하고, 추가 기능에서 사용하는 Kubernetes 서비스 계정에 주석을 달 수 있습니다.

my-cluster를 클러스터 이름으로 바꾸고, AmazonEKSVPCCNIRole을 역할의 이름으로 바꿉니다. 클러스터에서 IPv6 패밀리를 사용하는 경우 AmazonEKS_CNI_Policy를 생성한 정책의 이름으로 바꿉니다. 이 명령을 사용하려면 디바이스에 eksctl가 설치되어 있어야 합니다. 다른 도구를 사용하여 역할을 생성하고 이 역할에 정책을 연결하고, Kubernetes 서비스 계정에 주석을 추가해야 하는 경우 Kubernetes 서비스 계정에 IAM 역할 할당 섹션을 참조하세요.

eksctl create iamserviceaccount --name aws-node --namespace kube-system --cluster my-cluster --role-name AmazonEKSVPCCNIRole \
    --role-only --attach-policy-arn arn:aws:iam::aws:policy/AmazonEKS_CNI_Policy --approve

정보 업데이트

한 번에 하나의 마이너 버전만 업데이트할 수 있습니다. 예를 들어 현재 버전이 1.28.x-eksbuild.y인데 1.30.x-eksbuild.y(으)로 업데이트하려는 경우 현재 버전을 1.29.x-eksbuild.y(으)로 먼저 업데이트한 다음에 1.30.x-eksbuild.y(으)로 업데이트해야 합니다. 추가 기능을 업데이트하는 방법에 대한 자세한 내용은 Amazon VPC CNI plugin for Kubernetes Amazon EKS 추가 기능 업데이트 부분을 참조하세요.

CoreDNS

CoreDNS Amazon EKS 추가 기능은 Kubernetes 클러스터 DNS 역할을 할 수 있는 유연하고 확장 가능한 DNS 서버입니다. 이 추가 기능의 자체 관리형 또는 관리형 유형은 기본적으로 클러스터를 만들 때 설치되었습니다. 하나 이상의 노드가 있는 Amazon EKS 클러스터를 시작하면 클러스터에 배포된 노드 수에 관계없이 CoreDNS 이미지의 복제본 2개가 기본적으로 배포됩니다. CoreDNS Pods는 클러스터의 모든 Pods의 이름을 확인합니다. 클러스터에 CoreDNS deployment의 네임스페이스와 일치하는 네임스페이스가 있는 시작 시 AWS Fargate를 사용하는 Pods 정의이(가) 포함되어 있는 경우 CoreDNS Pods을(를) Fargate 노드에 배포할 수 있습니다.

Amazon EKS 추가 기능 이름은 coredns입니다.

필수 IAM 권한

이 추가 기능에는 권한이 필요하지 않습니다.

추가 정보

CoreDNS에 대해 자세히 알아보려면 Kubernetes 설명서에서 Using CoreDNS for Service Discovery 및 Customizing DNS Service를 참조하세요.

Kube-proxy

Kube-proxy Amazon EKS 추가 기능은 각 Amazon EC2 노드에서 네트워크 규칙을 유지합니다. 이를 통해 Pods와의 네트워크 통신이 가능합니다. 이 추가 기능의 자체 관리형 또는 관리형 유형은 기본적으로 클러스터의 각 Amazon EC2 노드에 설치됩니다.

Amazon EKS 추가 기능 이름은 kube-proxy입니다.

필수 IAM 권한

이 추가 기능에는 권한이 필요하지 않습니다.

정보 업데이트

현재 버전을 업데이트하기 전에 다음 요구 사항을 고려하세요.

• Amazon EKS 클러스터의 Kube-proxy에는 Kubernetes와(과) 동일한 호환성 및 스큐 정책이 있습니다.

추가 정보

kube-proxy에 대한 자세한 내용은 Kubernetes 설명서의 kube-proxy를 참조하세요.

Amazon EBS CSI 드라이버

Amazon EBS CSI 드라이버 Amazon EKS 추가 기능은 클러스터에 Amazon EBS 스토리지를 제공하는 Kubernetes 컨테이너 스토리지 인터페이스(CSI) 플러그인입니다.

Amazon EKS 추가 기능 이름은 aws-ebs-csi-driver입니다.

필수 IAM 권한

이 추가 기능은 Amazon EKS의 서비스 계정에 대한 IAM 역할 기능을 활용합니다. AmazonEBSCSIDriverPolicy AWS 관리형 정책의 권한이 필요합니다. IAM 역할을 생성하고 다음 명령을 사용하여 관리형 정책을 연결할 수 있습니다. my-cluster를 클러스터 이름으로 바꾸고, AmazonEKS_EBS_CSI_DriverRole을 역할의 이름으로 바꿉니다. 이 명령을 사용하려면 디바이스에 eksctl가 설치되어 있어야 합니다. 다른 도구를 사용해야 하거나 암호화에 사용자 지정 KMS 키를 사용해야 하는 경우 1단계 - IAM 역할 생성 섹션을 참조하세요.

eksctl create iamserviceaccount \
    --name ebs-csi-controller-sa \
    --namespace kube-system \
    --cluster my-cluster \
    --role-name AmazonEKS_EBS_CSI_DriverRole \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEBSCSIDriverPolicy \
    --approve

추가 정보

추가 기능에 대한 자세한 내용은 Amazon EBS를 사용한 Kubernetes 볼륨 저장 섹션을 참조하세요.

Amazon EFS CSI 드라이버

Amazon EFS CSI 드라이버 Amazon EKS 추가 기능은 클러스터에 Amazon EFS 스토리지를 제공하는 Kubernetes 컨테이너 스토리지 인터페이스(CSI) 플러그인입니다.

Amazon EKS 추가 기능 이름은 aws-efs-csi-driver입니다.

필수 IAM 권한

필수 IAM 권한 – 이 추가 기능은 Amazon EKS의 서비스 계정에 대한 IAM 역할 기능을 활용합니다. AmazonEFSCSIDriverPolicy AWS 관리형 정책의 권한이 필요합니다. IAM 역할을 생성하고 다음 명령을 사용하여 관리형 정책을 연결할 수 있습니다. my-cluster를 클러스터 이름으로 바꾸고, AmazonEKS_EFS_CSI_DriverRole을 역할의 이름으로 바꿉니다. 이 명령을 사용하려면 디바이스에 eksctl이(가) 설치되어 있어야 합니다. 다른 도구를 사용해야 하는 경우 1단계 - IAM 역할 생성을(를) 참조하세요.

export cluster_name=my-cluster
export role_name=AmazonEKS_EFS_CSI_DriverRole
eksctl create iamserviceaccount \
    --name efs-csi-controller-sa \
    --namespace kube-system \
    --cluster $cluster_name \
    --role-name $role_name \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/service-role/AmazonEFSCSIDriverPolicy \
    --approve
TRUST_POLICY=$(aws iam get-role --role-name $role_name --query 'Role.AssumeRolePolicyDocument' | \
    sed -e 's/efs-csi-controller-sa/efs-csi-*/' -e 's/StringEquals/StringLike/')
aws iam update-assume-role-policy --role-name $role_name --policy-document "$TRUST_POLICY"

추가 정보

추가 기능에 대한 자세한 내용은 Amazon EFS를 사용한 탄력적 파일 시스템 저장 섹션을 참조하세요.

Mountpoint for Amazon S3 CSI 드라이버

Amazon S3 CSI 드라이버용 Mountpoint Amazon EKS 추가 기능은 클러스터에 Amazon S3 스토리지를 제공하는 Kubernetes 컨테이너 스토리지 인터페이스(CSI) 플러그인입니다.

Amazon EKS 추가 기능 이름은 aws-mountpoint-s3-csi-driver입니다.

필수 IAM 권한

이 추가 기능은 Amazon EKS의 서비스 계정에 대한 IAM 역할 기능을 활용합니다. 생성된 IAM 역할에는 S3에 대한 액세스 권한을 부여하는 정책이 필요합니다. 정책을 생성할 때 Mountpoint IAM 권한 권장 사항을 따르세요. 또는 AWS 관리형 정책 AmazonS3FullAccess를 사용할 수 있지만 이 관리형 정책은 Mountpoint에 필요한 것보다 더 많은 권한을 부여합니다.

IAM 역할을 생성하고 다음 명령을 사용하여 정책을 연결할 수 있습니다. my-cluster를 클러스터의 이름, region-code을 올바른 AWS 리전 코드, AmazonEKS_S3_CSI_DriverRole을 역할 이름, AmazonEKS_S3_CSI_DriverRole_ARN을 역할 ARN으로 바꿉니다. 이 명령을 사용하려면 디바이스에 eksctl이(가) 설치되어 있어야 합니다. IAM 콘솔 또는 AWS CLI 사용에 대한 지침은 IAM 역할 생성 섹션을 참조하세요.

CLUSTER_NAME=my-cluster
REGION=region-code
ROLE_NAME=AmazonEKS_S3_CSI_DriverRole
POLICY_ARN=AmazonEKS_S3_CSI_DriverRole_ARN
eksctl create iamserviceaccount \
    --name s3-csi-driver-sa \
    --namespace kube-system \
    --cluster $CLUSTER_NAME \
    --attach-policy-arn $POLICY_ARN \
    --approve \
    --role-name $ROLE_NAME \
    --region $REGION \
    --role-only

추가 정보

추가 기능에 대한 자세한 내용은 Mountpoint for Amazon S3 CSI 드라이버를 통해 Amazon S3 객체에 액세스 섹션을 참조하세요.

CSI 스냅샷 컨트롤러

컨테이너 스토리지 인터페이스(CSI) 스냅샷 컨트롤러를 사용하면 Amazon EBS CSI 드라이버와 같은 호환 CSI 드라이버에서 스냅샷 기능을 사용할 수 있습니다.

Amazon EKS 추가 기능 이름은 snapshot-controller입니다.

필수 IAM 권한

이 추가 기능에는 권한이 필요하지 않습니다.

추가 정보

추가 기능에 대한 자세한 내용은 CSI 볼륨의 스냅샷 기능 활성화 섹션을 참조하세요.

AWS Distro for OpenTelemetry

AWS Distro for OpenTelemetry Amazon EKS 추가 기능은 OpenTelemetry 프로젝트의 안전하고 프로덕션 준비가 된 AWS 지원 배포입니다. 자세한 내용은 GitHub의 AWS Distro for OpenTelemetry를 참조하세요.

Amazon EKS 추가 기능 이름은 adot입니다.

필수 IAM 권한

이 추가 기능에는 고급 구성을 통해 옵트인할 수 있는 사전 구성된 사용자 지정 리소스 중 하나를 사용하는 경우에만 IAM 권한이 필요합니다.

추가 정보

자세한 내용은 AWS Distro for OpenTelemetry 설명서에서 EKS 추가 기능을 사용하여 AWS Distro for OpenTelemetry 시작하기를 참조하세요.

ADOT를 사용하려면 cert-manager가 필수 구성 요소로 클러스터에 배포되어야 하며, 그렇지 않으면 Amazon EKS Terraform cluster_addons 속성을 사용하여 직접 배포하는 경우 이 추가 기능이 작동하지 않습니다. 자세한 요구 사항은 AWS Distro for OpenTelemetry 설명서에서 EKS 추가 기능을 사용하여 AWS Distro for OpenTelemetry 시작하기 요구 사항을 참조하세요.

Amazon GuardDuty 에이전트

Amazon GuardDuty 에이전트 Amazon EKS 추가 기능은 AWS CloudTrail 관리 이벤트 및 Amazon VPC 흐름 로그를 포함한 기본 데이터 소스를 분석하고 처리하는 보안 모니터링 서비스입니다. 또한 Amazon GuardDuty는Kubernetes 감사 로그 및 런타임 모니터링과 같은 기능을 처리합니다.

Amazon EKS 추가 기능 이름은 aws-guardduty-agent입니다.

필수 IAM 권한

이 추가 기능에는 권한이 필요하지 않습니다.

추가 정보

자세한 내용은 Runtime Monitoring for Amazon EKS clusters in Amazon GuardDuty를 참조하세요.

• Amazon EKS 클러스터에서 잠재적인 보안 위협을 탐지하려면 Amazon GuardDuty 런타임 모니터링을 활성화하고 GuardDuty 보안 에이전트를 Amazon EKS 클러스터에 배포하십시오.

Amazon CloudWatch Observability 에이전트

Amazon CloudWatch 관찰성 에이전트 Amazon EKS 추가 기능은 AWS에서 제공하는 모니터링 및 관찰성 서비스입니다. 이 추가 기능은 CloudWatch 에이전트를 설치하고 Amazon EKS의 향상된 관찰성을 통해 CloudWatch Application Signals와 CloudWatch Container Insights를 모두 활성화합니다. 자세한 내용은 Amazon CloudWatch 에이전트를 참조하세요.

Amazon EKS 추가 기능 이름은 amazon-cloudwatch-observability입니다.

필수 IAM 권한

이 추가 기능은 Amazon EKS의 서비스 계정에 대한 IAM 역할 기능을 활용합니다. AWSXrayWriteOnlyAccess 및 CloudWatchAgentServerPolicy AWS 관리형 정책의 권한이 필요합니다. 다음 명령을 사용하여 IAM 역할을 생성하고, 관리형 정책을 이 역할에 연결하고, 추가 기능에서 사용하는 Kubernetes 서비스 계정에 주석을 달 수 있습니다. my-cluster를 클러스터 이름으로 바꾸고, AmazonEKS_Observability_role을 역할의 이름으로 바꿉니다. 이 명령을 사용하려면 디바이스에 eksctl가 설치되어 있어야 합니다. 다른 도구를 사용하여 역할을 생성하고 이 역할에 정책을 연결하고, Kubernetes 서비스 계정에 주석을 추가해야 하는 경우 Kubernetes 서비스 계정에 IAM 역할 할당 섹션을 참조하세요.

eksctl create iamserviceaccount \
    --name cloudwatch-agent \
    --namespace amazon-cloudwatch \
    --cluster my-cluster \
    --role-name AmazonEKS_Observability_Role \
    --role-only \
    --attach-policy-arn arn:aws:iam::aws:policy/AWSXrayWriteOnlyAccess \
    --attach-policy-arn arn:aws:iam::aws:policy/CloudWatchAgentServerPolicy \
    --approve

추가 정보

자세한 내용은 CloudWatch 에이전트 설치를 참조하세요.

EKS Pod Identity Agent

Amazon EKS Pod Identity 에이전트 Amazon EKS 추가 기능은 EC2 인스턴스 프로파일이 EC2 인스턴스에 자격 증명을 제공하는 방식과 유사하게 애플리케이션에 대한 자격 증명을 관리하는 기능을 제공합니다.

Amazon EKS 추가 기능 이름은 eks-pod-identity-agent입니다.

필수 IAM 권한

이 추가 기능 사용자 권한은 Amazon EKS 노드 IAM 역할에서 제공됩니다.

정보 업데이트

한 번에 하나의 마이너 버전만 업데이트할 수 있습니다. 예를 들어 현재 버전이 1.28.x-eksbuild.y인데 1.30.x-eksbuild.y(으)로 업데이트하려는 경우 현재 버전을 1.29.x-eksbuild.y(으)로 먼저 업데이트한 다음에 1.30.x-eksbuild.y(으)로 업데이트해야 합니다. 추가 기능을 업데이트하는 방법에 대한 자세한 내용은 Amazon VPC CNI plugin for Kubernetes Amazon EKS 추가 기능 업데이트 부분을 참조하세요.