EKS Fargate pod 隔离

Question

在带有 Fargate 的 ECS 中，我们可以通过安全组来管理服务隔离。然而，在 Fargate 上的 EKS 不再是这种情况。

有没有办法像网络策略一样将同一集群上的 Pod 相互隔离？我知道 kubernetes 可以做到这一点，但它需要通过网络插件来实现。尝试安装列出的网络提供商 here 没有成功，因为它需要 daemonset（eks fargate 的限制：Cannot run Daemonsets, Privileged pods, or pods that use HostNetwork or HostPort.）

Answer 1

这是我们在roadmap item 中跟踪的内容。目前没有可行的解决方法。正如您在使用 EC2 时指出的那样，我们建议使用 Calico network policy engine，但 Fargate 不支持 DaemonSet，因此无法使用。

鉴于与 pod 关联的 SG 是在集群级别定义的，尝试缓解这种情况的一种方法是将相似的 pod 分布在不同的集群中，其中 pod SG 针对特定类型的工作负载进行了配置，但这意味着更多的工作和更高的控制平面成本。