Ansichten:
Profilanwendbarkeit: Stufe 1 - Cluster / Steuerungsebene
Aktivieren Sie den privaten Endpunktzugriff, um den Zugriff auf die Steuerungsebene Ihres Clusters auf eine Liste autorisierter IP-Adressen zu beschränken. Diese Maßnahme legt einen eingeschränkten Bereich von IP-Adressen fest, die Zugriff auf die Steuerungsebene Ihres Clusters haben dürfen, was in Kombination mit Transport Layer Security (TLS) und Authentifizierung den Zugriff aus dem öffentlichen Internet sichert. Obwohl die Kubernetes Engine die Möglichkeit bietet, Ihren Cluster von überall aus zu verwalten, können Sie den Zugriff weiter auf bestimmte IP-Adressen unter Ihrer Kontrolle beschränken. Autorisierte Netzwerke erhöhen die Sicherheit, indem sie Ihren Cluster vor potenziellen Angriffen von außen schützen, indem sie den externen Zugriff auf festgelegte Adressen beschränken, und vor Bedrohungen von innen, indem sie den Zugriff verhindern, selbst wenn Master-Zertifikate versehentlich außerhalb Ihrer Organisation geleakt werden. Beim Einrichten des privaten Endpunktzugriffs muss darauf geachtet werden, alle erforderlichen IP-Adressen in die autorisierte Liste aufzunehmen, um unbeabsichtigtes Blockieren legitimen Zugriffs auf die Steuerungsebene des Clusters zu vermeiden.

Auswirkung

Bei der Implementierung des Endpoint Private Access stellen Sie sicher, dass alle erforderlichen Netzwerke in der Zulassungsliste enthalten sind, um den Zugriff auf die Steuerungsebene Ihres Clusters nicht zu blockieren.

Prüfung

Überprüfen Sie die folgenden Einstellungen, um zu bestätigen, dass sie 'Aktiviert: true' sind:
    export CLUSTER_NAME=<your cluster name>
    aws eks describe-cluster --name ${CLUSTER_NAME} --query "cluster.resourcesVpcConfig.endpointPublicAccess"
    aws eks describe-cluster --name ${CLUSTER_NAME} --query "cluster.resourcesVpcConfig.endpointPrivateAccess"
Überprüfen Sie, dass das Folgende nicht null ist:
    export CLUSTER_NAME=<your cluster name>
    aws eks describe-cluster --name ${CLUSTER_NAME} --query "cluster.resourcesVpcConfig.publicAccessCidrs"

Wiederherstellung

Aktivieren Sie den privaten Endpunktzugriff, um sicherzustellen, dass die gesamte Kommunikation zwischen Ihren Knoten und dem API-Server innerhalb Ihres VPC bleibt. Dies ermöglicht es Ihnen auch, IP-Adressen zu beschränken, die von außerhalb auf Ihren API-Server zugreifen können, oder den Internetzugang vollständig zu deaktivieren.
Verwenden Sie zum Beispiel den folgenden Befehl, um privaten Zugriff und eingeschränkten öffentlichen Zugriff zu aktivieren:
    aws eks update-cluster-config --region $AWS_REGION --name $CLUSTER_NAME --resources-vpc-config endpointPrivateAccess=true, endpointPublicAccess=true, publicAccessCidrs="203.0.113.5/32"
Hinweis: CIDR-Blöcke dürfen keine reservierten Adressen enthalten. Weitere Informationen finden Sie in der Dokumentation zum EKS-Cluster-Endpunkt.