Comment configurer mes sous-réseaux pour un cluster Amazon EKS ?

Brève description

Choisissez l'une des options de configuration suivantes :

• Pour obtenir un accès Internet sortant et entrant à partir de vos nœuds de travail, suivez les étapes de la section Configuration d'un sous-réseau public.
• Pour obtenir uniquement un accès Internet sortant à partir de vos nœuds de travail, suivez les étapes de la section Configuration d'un sous-réseau privé avec accès Internet sortant.
• Pour restreindre l'accès Internet sortant et entrant à partir de vos nœuds de travail, suivez les étapes de la section Configuration d'un sous-réseau privé sans accès Internet. Par exemple, vous choisissez cette solution pour un cluster Amazon EKS privé.

Solution

Configuration d'un sous-réseau public

Lorsque vous créez un sous-réseau pour votre cluster Amazon EKS, tenez compte des points suivants :

1.    Associez votre sous-réseau à une table de routage c'est le configurer afin d'acheminer le trafic vers la destination 0.0.0.0/0 via une passerelle Internet. Par exemple : igw-xxxxxxxx

2.    Activez l'attribut d’adresse IPV4 publique d'attribution automatique pour votre sous-réseau.

3.    Suivez les étapes de la section Limitation du déploiement des équilibreurs de charge avec l'étiquetage de sous-réseau.

Configuration d'un sous-réseau privé avec accès Internet sortant

Lorsque vous créez un sous-réseau pour votre cluster Amazon EKS, tenez compte des points suivants :

1.    Associez votre sous-réseau à une table de routage c'est le configurer afin d'acheminer le trafic vers une passerelle NAT ainsi qu'autoriser uniquement la connectivité sortante vers Internet.

2.    Vérifiez que l'adresse IPv4 publique attribuée automatiquement à votre sous-réseau n'est pas activée.

3.    Suivez les étapes de la section Limitation du déploiement des équilibreurs de charge avec l'étiquetage de sous-réseau.

Configuration d'un sous-réseau privé sans accès à Internet

1.    Vérifiez qu'il n'existe aucune association de votre sous-réseau à une table de routage configurée afin d'acheminer le trafic vers une passerelle NAT ou une passerelle Internet. C'est la garantie que l'accès à Internet est bloqué à partir de vos composants master.

2.    Vérifiez que l'adresse IPv4 publique attribuée automatiquement n'est pas activée.

3.    Création de points de terminaison Amazon Virtual Private Cloud (Amazon VPC) pour votre VPC. Les points de terminaison VPC suivants sont nécessaires pour que vos nœuds de travail rejoignent votre cluster Amazon EKS :

com.amazonaws.your_region.ec2
com.amazonaws.your_region.ecr.api
com.amazonaws.your_region.ecr.dkr
com.amazonaws.your_region.s3

Remarque : remplacez votre_région par votre région AWS.

4.    (Si nécessaire) Créez des points de terminaison VPC supplémentaires en fonction des exigences de votre application. Reportez-vous aux exemples suivants.

Pour Amazon CloudWatch Logs :

com.amazonaws.your_region.logs

Pour un rôle Kubernetes Cluster Autoscaler ou AWS Identity and Access Management (IAM) pour les comptes de service :

com.amazonaws.your_region.sts

Pour un Application Load Balancer :

com.amazonaws.your_region.elasticloadbalancing

Pour un Kubernetes Cluster Autoscaler :

com.amazonaws.your_region.autoscaling

Pour AWS App Mesh :

com.amazonaws.your_region.appmesh-envoy-management

Pour AWS X-Ray :

com.amazonaws.your_region.xray

Remarque : remplacez votre_région par votre région AWS.

5.    Suivez les étapes de la section Limitation du déploiement des équilibreurs de charge avec l'étiquetage de sous-réseau.

Limitation du déploiement des équilibreurs de charge avec l'étiquetage de sous-réseau

L'étiquetage de sous-réseau indique à AWS Load Balancer Controller quel sous-réseau peut être utilisé pour créer l'équilibreur de charge externe ou interne.

Pour les sous-réseaux publics :

Pour restreindre le déploiement des équilibreurs de charge externes à l'aide d'AWS Load Balancer Controller sur un sous-réseau public de votre VPC, étiquetez le sous-réseau comme suit :

Key - kubernetes.io/role/elb
Value - 1

Pour les sous-réseaux privés :

Pour restreindre le déploiement des équilibreurs de charge internes à l'aide d'AWS Load Balancer Controller sur un sous-réseau privé, étiquetez le sous-réseau comme suit :

Key - kubernetes.io/role/internal-elb
Value - 1

Remarque : Vous pouvez déployer des nœuds ainsi que des ressources Kubernetes sur les mêmes sous-réseaux similaires à ceux spécifiés lors de la création de votre cluster. Vous pouvez également déployer des nœuds ainsi que des ressources Kubernetes sur des sous-réseaux pas spécifiés lors de la création du cluster. Tout sous-réseau sur lequel vous déployez des nœuds et des ressources Kubernetes doit être conforme aux exigences pertinentes. Pour des informations détaillées, consultez Exigences et considérations relatives aux sous-réseaux.

---

Informations connexes

Exigences et considérations relatives au VPC et aux sous-réseaux Amazon EKS

Les concepts AWS PrivateLink

Exigences relatives aux clusters privés

Équilibrage de charge des applications sur Amazon EKS