Cuir API EKS taobh thiar de VPN: ord na n-oibríochtaí

Is é an leagan contúirteach den athrú seo aon ordú amháin a iompaíonn an t-eindpoint agus a ghlasálann gach riarthóir ag an am céanna. Coinníonn an leagan sábháilte an dá chonair oscailte, cruthaíonn sé go n-oibríonn an ceann príobháideach ón VPN, agus ní tharraingíonn sé siar an t-eindpoint poiblí go dtí sin. Glac le braisle atá ann cheana, tollán ceadaithe isteach ina VPC agus kubeconfig atá ag obair cheana; is é an tasc rochtain phríobháideach ar API Kubernetes, ní nóid phríobháideacha agus ní múnla nua ceadanna. Tá seiceáil ag gach céim thíos a bhféadfá teip go sábháilte uirthi.

1. Déan fardal ar an eindpoint agus coinnigh bealach ar ais

Taifead an staid reatha sula n-athraíonn tú í, lena n-áirítear an liosta CIDR poiblí ceadaithe agus grúpa slándála na braisle. Is iad an dá rud sin a chuirfidh tú i gcomparáid nuair a stopann rud éigin ag obair, agus is é an liosta ceadaithe do bhealach aisléim freisin má bhíonn an bealach príobháideach mícheart.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

Is ionadaithe iad REGION agus CLUSTER anseo. Tabhair faoi deara cad a léann an bhratach phríobháideach anois, mar teastaíonn céad chéim dhifriúil ó bhraisle a cruthaíodh le rochtain phríobháideach cheana féin ná ó cheann nach raibh sí aici riamh. Coinnigh bealach riaracháin ceadaithe amháin ar a laghad oscailte le linn an aistrithe; ní bealach aisghabhála é VPN a bhraitheann ar an mbraisle chéanna a bheith inrochtana.

2. Cumasaigh rochtain phríobháideach agus an bealach líonra i bhfeidhm

Is é casadh na brataí an leathrú éasca. Teastaíonn bealach ón tollán chuig seoltaí príobháideacha an eindpoint, agus teastaíonn TCP 443 ó ghrúpa slándála na braisle ón bhfoinse a láthraíonn an VPN i ndáiríre. Is féidir le comhlachas Client VPN, geata suíomh-go-suíomh agus VPC piaraí seoltaí foinse éagsúla a láthriú, mar sin bain úsáid as an múnla a d’imscar tú seachas raon príobháideach ginearálta.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

Tá an nuashonrú asincrónach. Fiafraigh den id nuashonraithe go dtí go dtuairiscíonn sé rath in ionad fanacht líon seasta soicind agus glacadh leis. Fág trácht na nóid agus an phlána rialaithe ina thost agus tú ag déanamh seo: is é athsholáthar ghrúpa slándála iomlán na braisle le riail do do ríomhaire glúine an bealach a n-éiríonn plána sonraí atá ag obair ina dhara teagmhas.

Is fiú doiciméadú eindpointí EKS a léamh go hiomlán uair amháin, mar deir sé gur féidir le rochtain phríobháideach amháin teacht ón VPC nó ó líonra nasctha. Is é an abairt sin an chúis iomlán go bhfuil an imirce seo indéanta, agus is í freisin an chúis go bhfuil an chéad chéim eile ann.

3. Cruthaigh gur úsáid an stáisiún oibre an bealach príobháideach

Agus an dá eindpoint cumasaithe, ní chruthaíonn kubectl get ns rathúil aon rud faoi cé a d’fhreagair. Réitigh ainm óstaigh an eindpoint agus seiceáil an mbaineann an seoladh a fuair tú leis an raon príobháideach nó leis an raon poiblí. Mura bhfaigheann do líonra nasctha an radharc príobháideach trí DNS, éireoidh leis an ordú thar an eindpoint poiblí agus tarraingeoidh tú siar an bealach poiblí ar fhianaise bhréige. Sin an bealach is coitianta a dtéann an imirce seo amú, agus tá cuma an ratha air go díreach.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

Coinnigh an t-ainm óstaigh agus an bhailíochtú teastais go díreach mar atá siad. Ní hé an t-athsholáthar le IP phríobháideach sa kubeconfig agus an fhíorú TLS a scipeáil an imirce a thuairiscigh tú sa taifead athraithe, agus teipfidh sé arís an nóiméad a rothlaíonn an t-eindpoint.

4. Tarraing siar an rochtain phoiblí go deonach

Nuair a bheidh an bealach príobháideach léirithe agus an sreabhadh aisghabhála ceadaithe, dún an t-eindpoint poiblí. Is fíorathrú é seo seachas réamhamharc, mar sin rith é i gcoinne an chuntais agus na socruithe atá i gceist agat i ndáiríre.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

I mód príobháideach amháin, réitíonn an t-ainm DNS poiblí chuig seoltaí príobháideacha an eindpoint ón taobh istigh den VPC, mar sin stopann réiteach agus inrochtaineacht a bheith mar an rud céanna. Teastaíonn a bhealach isteach féin anois ó aon rud a bhí ag brath ar an seoladh poiblí, lena n-áirítear rithirí CI nó ríomhaire glúine ar líonra eile.

5. Coinnigh beartas líonra agus beartas féiniúlachta ar leithligh

Ní rialaíonn an liosta CIDR rochtana poiblí ach an t-eindpoint poiblí. Ní chuireann sé srian ar an eindpoint príobháideach, a bhfuil teorainn leis ag grúpa slándála na braisle agus ag beartas an líonra nasctha ina ionad. Má choinníonn tú an t-eindpoint poiblí, caithfidh a liosta ceadaithe a bheith ag teacht leis an eisíocaíocht phoiblí a úsáideann do chliaint API agus do nóid i ndáiríre; is annamh a bhíonn seoladh comhthiomsaithe VPN mar an fhoinse sin.

Ní athraíonn aon rud díobh seo IAM ná Kubernetes RBAC. Is gníomh riaracháin iad socruithe eindpoint, agus níor cheart go bhfaigheadh gnáthúsáideoirí cead an teorainn a scaoileadh ach amháin chun an API a shroichint. Scríobh an staid dheiridh, an dáta agus an bealach aisghabhála sa runbook, ansin tástáil an bealach aisghabhála uair amháin fad a bhíonn sé éasca fós.