EKS 集群 - api 端点访问 - 公有/私有

Question

我在 AWS 上配置了 EKS 集群，可以公开访问 api 端点。这样做时，我将 SG 配置为仅来自特定 IP 的入口。但是当从另一个 IP 访问集群时，我仍然可以对集群运行 kubectl get svc。

我希望对 EKS 集群进行 IP 限制访问。 参考 - Terraform - Master cluster SG

如果启用公共访问，是否意味着任何拥有集群名称的人都可以部署任何东西？

Answer 1

当您创建新集群时，Amazon EKS 会为您用来与集群通信的托管 Kubernetes API 服务器创建一个终端节点（正如您所做的那样，使用 kubectl 等 Kubernetes 管理工具）。 默认情况下，此 API 服务器端点对 Internet 是公共，并且使用 AWS Identity and Access Management (IAM) 和本机 Kubernetes 的组合来保护对 API 服务器的访问基于角色的访问控制 (RBAC)。

所以公开访问并不意味着任何拥有集群名称的人都可以部署任何东西。您可以在 Amazon EKS Cluster Endpoint Access Control AWS 文档中了解更多相关信息。

如果您想使用 Terraform 配置 EKS 并管理网络拓扑，则可以通过 VPC（虚拟专用网络）进行。您可以检查此VPC Terraform Module 以获得所有正确的设置。 希望对您有所帮助。

Answer 2

除了Claire Bellivier'answer 关于如何通过使用 IAM 和 RBAC 的身份验证来保护 EKS 集群，您还可以now 还可以将您的 EKS 集群配置为只能从集群所在的 VPC 等私有网络访问或任何对等 VPC。

这是 AWS 提供商（尚未发布）2.3.0 版本中的 added，可以配置为 aws_eks_cluster resource 的 vpc_options 配置的一部分：

resource "aws_eks_cluster" "example" {
  name     = %[2]q
  role_arn = "${aws_iam_role.example.arn}"

  vpc_config {
    endpoint_private_access = true
    endpoint_public_access  = false

    subnet_ids = [
      "${aws_subnet.example.*.id[0]}",
      "${aws_subnet.example.*.id[1]}",
    ]
  }
}