2.11.4.2. 其他基础架构组件
- VPC
- DNS 条目
- 负载均衡器（典型或网络）和监听器
- 公共和专用路由 53 区域
- 安全组
- IAM 角色
- S3 存储桶
如果您在断开连接的环境或使用代理的环境中工作，则无法访问 EC2 和 ELB 端点的公共 IP 地址。要访问这些端点，您必须创建一个 VPC 端点，并将其附加到集群使用的子网。创建以下端点：
-
ec2.<region>.amazonaws.com -
elasticloadbalancing.<region>.amazonaws.com -
s3.<region>.amazonaws.com
所需的 VPC 组件
您必须提供合适的 VPC 和子网，以便与您的机器通信。
| 组件 | AWS 类型 | 描述 | |
|---|---|---|---|
| VPC |
| 您必须提供一个公共 VPC 供集群使用。VPC 使用引用每个子网的路由表的端点，以改进与托管在 S3 中的 registry 的通信。 | |
| 公共子网 |
| 您的 VPC 必须有 1 到 3 个可用区的公共子网，并将其与适当的入口规则关联。 | |
| 互联网网关 |
| 您必须有一个公共互联网网关，以及附加到 VPC 的公共路由。在提供的模板中，每个公共子网都有一个具有 EIP 地址的 NAT 网关。这些 NAT 网关允许集群资源（如专用子网实例）访问互联网，而有些受限网络或代理场景则不需要它们。 | |
| 网络访问控制 |
| 您必须允许 VPC 访问下列端口： | |
| 端口 | 原因 | ||
|
| 入站 HTTP 流量 | ||
|
| 入站 HTTPS 流量 | ||
|
| 入站 SSH 流量 | ||
|
| 入站临时流量 | ||
|
| 出站临时流量 | ||
| 专用子网 |
| 您的 VPC 可以具有私有子网。提供的 CloudFormation 模板可为 1 到 3 个可用区创建专用子网。如果您使用专用子网，必须为其提供适当的路由和表。 | |
所需的 DNS 和负载均衡组件
您的 DNS 和负载均衡器配置需要使用公共托管区，并可使用类似安装程序使用的专用托管区（如果安装程序置备了集群的基础架构）。您必须创建一个解析到负载均衡器的 DNS 条目。api.<cluster_name>.<domain> 的条目必须指向外部负载均衡器，api-int.<cluster_name>.<domain> 的条目则必须指向内部负载均衡器。
集群还需要负载均衡器，以及监听端口 6443（用于 Kubernetes API 及其扩展）和端口 22623（用于新机器的 Ignition 配置文件）的监听程序。目标是 control plane 节点（也称为 master 节点）。集群外的客户端和集群内的节点都必须能够访问端口 6443。集群内的节点必须能够访问端口 22623。
| 组件 | AWS 类型 | 描述 |
|---|---|---|
| DNS |
| 内部 DNS 的托管区。 |
| etcd 记录集 |
| control plane 机器的 etcd 注册记录。 |
| 公共负载均衡器 |
| 公共子网的负载均衡器。 |
| 外部 API 服务器记录 |
| 外部 API 服务器的别名记录。 |
| 外部监听程序 |
| 为外部负载均衡器监听端口 6443 的监听程序。 |
| 外部目标组 |
| 外部负载均衡器的目标组。 |
| 专用负载均衡器 |
| 专用子网的负载均衡器。 |
| 内部 API 服务器记录 |
| 内部 API 服务器的别名记录。 |
| 内部监听程序 |
| 为内部负载均衡器监听端口 22623 的监听程序。 |
| 内部目标组 |
| 内部负载均衡器的目标组。 |
| 内部监听程序 |
| 为内部负载均衡器监听端口 6443 的监听程序。 |
| 内部目标组 |
| 内部负载均衡器的目标组。 |
安全组
control plane 和 worker 机器需要访问下列端口：
| 组 | 类型 | IP 协议 | 端口范围 |
|---|---|---|---|
|
|
|
|
|
|
|
| ||
|
|
| ||
|
|
| ||
|
|
|
|
|
|
|
| ||
|
|
|
|
|
|
|
|
control plane 入口
control plane 机器需要以下入口组。每个入口组都是 AWS::EC2::SecurityGroupIngress 资源。
| 入口组 | 描述 | IP 协议 | 端口范围 |
|---|---|---|---|
|
| etcd |
|
|
|
| Vxlan 数据包 |
|
|
|
| Vxlan 数据包 |
|
|
|
| 内部集群通信和 Kubernetes 代理指标 |
|
|
|
| 内部集群通信 |
|
|
|
| kubernetes kubelet、调度程序和控制器管理器 |
|
|
|
| kubernetes kubelet、调度程序和控制器管理器 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Geneve 数据包 |
|
|
|
| Geneve 数据包 |
|
|
|
| IPsec IKE 数据包 |
|
|
|
| IPsec IKE 数据包 |
|
|
|
| IPsec NAT-T 数据包 |
|
|
|
| IPsec NAT-T 数据包 |
|
|
|
| IPsec ESP 数据包 |
|
|
|
| IPsec ESP 数据包 |
|
|
|
| 内部集群通信 |
|
|
|
| 内部集群通信 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Kubernetes 入口服务 |
|
|
worker 入口
worker 机器需要以下入口组。每个入口组都是 AWS::EC2::SecurityGroupIngress 资源。
| 入口组 | 描述 | IP 协议 | 端口范围 |
|---|---|---|---|
|
| Vxlan 数据包 |
|
|
|
| Vxlan 数据包 |
|
|
|
| 内部集群通信 |
|
|
|
| 内部集群通信 |
|
|
|
| Kubernetes kubelet、调度程序和控制器管理器 |
|
|
|
| Kubernetes kubelet、调度程序和控制器管理器 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Geneve 数据包 |
|
|
|
| Geneve 数据包 |
|
|
|
| IPsec IKE 数据包 |
|
|
|
| IPsec IKE 数据包 |
|
|
|
| IPsec NAT-T 数据包 |
|
|
|
| IPsec NAT-T 数据包 |
|
|
|
| IPsec ESP 数据包 |
|
|
|
| IPsec ESP 数据包 |
|
|
|
| 内部集群通信 |
|
|
|
| 内部集群通信 |
|
|
|
| Kubernetes 入口服务 |
|
|
|
| Kubernetes 入口服务 |
|
|
角色和实例配置集
您必须在 AWS 中为机器授予权限。提供的 CloudFormation 模板为以下 AWS::IAM::Role 对象授予机器 Allow 权限，并为每一组角色提供一个 AWS::IAM::InstanceProfile。如果不使用模板，您可以为机器授予以下宽泛权限或单独权限。
| 角色 | 影响 | 操作 | 资源 |
|---|---|---|---|
| Master |
|
|
|
|
|
|
| |
|
|
|
| |
|
|
|
| |
| Worker |
|
|
|
| bootstrap |
|
|
|
|
|
|
| |
|
|
|
|
