Como configuro sub-redes para um cluster do Amazon EKS?

Breve descrição

Escolha uma das seguintes opções de configuração:

• Para obter acesso de saída e entrada à Internet de seus nós de processamento, conclua as etapas na seção Configurar uma sub-rede pública.
• Para obter apenas acesso de saída à Internet de seus nós de processamento, conclua as etapas na seção Configurar uma sub-rede privada com acesso de saída à Internet.
• Para restringir o acesso à Internet de saída e de entrada dos nós de processamento, conclua as etapas na seção Configurar uma sub-rede privada sem acesso à Internet. Por exemplo, você escolhe essa resolução para um cluster privado do Amazon EKS.

Resolução

Configurar uma sub-rede pública

Ao criar uma sub-rede para o cluster do Amazon EKS, considere o seguinte:

1.    Associe a sub-rede a uma tabela de rotas configurada para rotear o tráfego para o destino 0.0.0.0/0 por meio de um gateway da Internet. Por exemplo: igw-xxxxxxxx

2.    Ative o atributo auto-assign public IPv4 address (endereço IPv4 público de atribuição automática) da sub-rede.

3.    Conclua as etapas na seção Restringir implantação de balanceadores de carga com marcação de sub-rede.

Configurar uma sub-rede privada com acesso de saída à Internet

Ao criar uma sub-rede para o cluster do Amazon EKS, considere o seguinte:

1.    Associe a sub-rede a uma tabela de rotas configurada para rotear o tráfego para um gateway NAT e permitir apenas conexão de saída com a Internet.

2.    Verifique se o auto-assign public IPv4 address (endereço IPv4 público de atribuição automática) da sub-rede não está ativado.

3.    Conclua as etapas na seção Restringir implantação de balanceadores de carga com marcação de sub-rede.

Configurar uma sub-rede privada sem acesso à Internet

1.    Verifique se a sub-rede não está associada a uma tabela de rotas configurada para rotear o tráfego para um gateway NAT ou um gateway da Internet. Isso garante que o acesso à Internet seja bloqueado nos nós de processamento.

2.    Verifique se o auto-assign public IPv4 address (endereço IPv4 público de atribuição automática) não está ativado.

3.    Crie endpoints da Amazon Virtual Private Cloud (Amazon VPC) para seu VPC. Os seguintes endpoints de VPC são necessários para que os nós de processamento ingressem no cluster do Amazon EKS:

com.amazonaws.your_region.ec2
com.amazonaws.your_region.ecr.api
com.amazonaws.your_region.ecr.dkr
com.amazonaws.your_region.s3

Observação: substitua your_region pela sua região da AWS.

4.    (Se necessário) Crie endpoints VPC adicionais com base nos requisitos da aplicação. Veja os seguintes exemplos.

Para Amazon CloudWatch Logs:

com.amazonaws.your_region.logs

Para funções do Kubernetes Cluster Autoscaler ou do AWS Identity and Access Management (IAM) para contas de serviço:

com.amazonaws.your_region.sts

Para um balanceador de carga da aplicação:

com.amazonaws.your_region.elasticloadbalancing

Para um dimensionador automático de cluster do Kubernetes:

com.amazonaws.your_region.autoscaling

Para o AWS App Mesh:

com.amazonaws.your_region.appmesh-envoy-management

Para o AWS X-Ray:

com.amazonaws.your_region.xray

Observação: substitua your_region pela sua região da AWS.

5.    Conclua as etapas na seção Restringir implantação de balanceadores de carga com marcação de sub-rede.

Restringir a implantação de balanceadores de carga com marcação de sub-rede

A marcação de sub-rede informa ao AWS Load Balancer Controller qual sub-rede pode ser usada para criar o balanceador de carga externo ou interno.

Para sub-redes públicas:

Para restringir a implantação de balanceadores de carga externos usando o AWS Load Balancer Controller em uma sub-rede pública específica em sua VPC, marque essa sub-rede da seguinte maneira:

Key - kubernetes.io/role/elb
Value - 1

Para sub-redes privadas:

Para restringir a implantação de balanceadores de carga internos usando o AWS Load Balancer Controller em uma sub-rede privada específica, marque essa sub-rede da seguinte maneira:

Key - kubernetes.io/role/internal-elb
Value - 1

Observação: é possível implantar nós e recursos do Kubernetes nas mesmas sub-redes que você especifica ao criar o cluster. Você também pode implantar nós e recursos do Kubernetes em sub-redes que não especificou quando criou o cluster. Qualquer sub-rede na qual você implanta nós e recursos do Kubernetes deve atender aos requisitos relevantes. Para obter informações detalhadas, consulte Requisitos e considerações sobre sub-rede.

---

Informações relacionadas

Requisitos e considerações sobre VPCs e sub-redes do Amazon EKS

Conceitos do AWS PrivateLink

Requisitos de cluster privado

Balanceamento de carga de aplicação no Amazon EKS