主页
产品
OpenShift Container Platform
4.6
安装
2.11.4.2. 其他基础架构组件

2.11.4.2. 其他基础架构组件

VPC
DNS 条目
负载均衡器（典型或网络）和监听器
公共和专用路由 53 区域
安全组
IAM 角色
S3 存储桶

如果您在断开连接的环境或使用代理的环境中工作，则无法访问 EC2 和 ELB 端点的公共 IP 地址。要访问这些端点，您必须创建一个 VPC 端点，并将其附加到集群使用的子网。创建以下端点：

ec2.<region>.amazonaws.com
elasticloadbalancing.<region>.amazonaws.com
s3.<region>.amazonaws.com

所需的 VPC 组件

您必须提供合适的 VPC 和子网，以便与您的机器通信。

Expand

组件	AWS 类型	描述
VPC	`AWS::EC2::VPC` `AWS::EC2::VPCEndpoint`	您必须提供一个公共 VPC 供集群使用。VPC 使用引用每个子网的路由表的端点，以改进与托管在 S3 中的 registry 的通信。
公共子网	`AWS::EC2::Subnet` `AWS::EC2::SubnetNetworkAclAssociation`	您的 VPC 必须有 1 到 3 个可用区的公共子网，并将其与适当的入口规则关联。
互联网网关	`AWS::EC2::InternetGateway` `AWS::EC2::VPCGatewayAttachment` `AWS::EC2::RouteTable` `AWS::EC2::Route` `AWS::EC2::SubnetRouteTableAssociation` `AWS::EC2::NatGateway` `AWS::EC2::EIP`	您必须有一个公共互联网网关，以及附加到 VPC 的公共路由。在提供的模板中，每个公共子网都有一个具有 EIP 地址的 NAT 网关。这些 NAT 网关允许集群资源（如专用子网实例）访问互联网，而有些受限网络或代理场景则不需要它们。
网络访问控制	`AWS::EC2::NetworkAcl` `AWS::EC2::NetworkAclEntry`	您必须允许 VPC 访问下列端口：
		端口	原因
		`80`	入站 HTTP 流量
		`443`	入站 HTTPS 流量
		`22`	入站 SSH 流量
		`1024` - `65535`	入站临时流量
		`0` - `65535`	出站临时流量
专用子网	`AWS::EC2::Subnet` `AWS::EC2::RouteTable` `AWS::EC2::SubnetRouteTableAssociation`	您的 VPC 可以具有私有子网。提供的 CloudFormation 模板可为 1 到 3 个可用区创建专用子网。如果您使用专用子网，必须为其提供适当的路由和表。

所需的 DNS 和负载均衡组件

您的 DNS 和负载均衡器配置需要使用公共托管区，并可使用类似安装程序使用的专用托管区（如果安装程序置备了集群的基础架构）。您必须创建一个解析到负载均衡器的 DNS 条目。api.<cluster_name>.<domain> 的条目必须指向外部负载均衡器，api-int.<cluster_name>.<domain> 的条目则必须指向内部负载均衡器。

集群还需要负载均衡器，以及监听端口 6443（用于 Kubernetes API 及其扩展）和端口 22623（用于新机器的 Ignition 配置文件）的监听程序。目标是 control plane 节点（也称为 master 节点）。集群外的客户端和集群内的节点都必须能够访问端口 6443。集群内的节点必须能够访问端口 22623。

Expand

组件	AWS 类型	描述
DNS	`AWS::Route53::HostedZone`	内部 DNS 的托管区。
etcd 记录集	`AWS::Route53::RecordSet`	control plane 机器的 etcd 注册记录。
公共负载均衡器	`AWS::ElasticLoadBalancingV2::LoadBalancer`	公共子网的负载均衡器。
外部 API 服务器记录	`AWS::Route53::RecordSetGroup`	外部 API 服务器的别名记录。
外部监听程序	`AWS::ElasticLoadBalancingV2::Listener`	为外部负载均衡器监听端口 6443 的监听程序。
外部目标组	`AWS::ElasticLoadBalancingV2::TargetGroup`	外部负载均衡器的目标组。
专用负载均衡器	`AWS::ElasticLoadBalancingV2::LoadBalancer`	专用子网的负载均衡器。
内部 API 服务器记录	`AWS::Route53::RecordSetGroup`	内部 API 服务器的别名记录。
内部监听程序	`AWS::ElasticLoadBalancingV2::Listener`	为内部负载均衡器监听端口 22623 的监听程序。
内部目标组	`AWS::ElasticLoadBalancingV2::TargetGroup`	内部负载均衡器的目标组。
内部监听程序	`AWS::ElasticLoadBalancingV2::Listener`	为内部负载均衡器监听端口 6443 的监听程序。
内部目标组	`AWS::ElasticLoadBalancingV2::TargetGroup`	内部负载均衡器的目标组。

安全组

control plane 和 worker 机器需要访问下列端口：

Expand

组	类型	IP 协议	端口范围
`MasterSecurityGroup`	`AWS::EC2::SecurityGroup`	`icmp`	`0`
		`tcp`	`22`
		`tcp`	`6443`
		`tcp`	`22623`
`WorkerSecurityGroup`	`AWS::EC2::SecurityGroup`	`icmp`	`0`
`WorkerSecurityGroup`	`AWS::EC2::SecurityGroup`	`tcp`	`22`
`BootstrapSecurityGroup`	`AWS::EC2::SecurityGroup`	`tcp`	`22`
`BootstrapSecurityGroup`	`AWS::EC2::SecurityGroup`	`tcp`	`19531`

control plane 入口

control plane 机器需要以下入口组。每个入口组都是 AWS::EC2::SecurityGroupIngress 资源。

Expand

入口组	描述	IP 协议	端口范围
`MasterIngressEtcd`	etcd	`tcp`	`2379`- `2380`
`MasterIngressVxlan`	Vxlan 数据包	`udp`	`4789`
`MasterIngressWorkerVxlan`	Vxlan 数据包	`udp`	`4789`
`MasterIngressInternal`	内部集群通信和 Kubernetes 代理指标	`tcp`	`9000` - `9999`
`MasterIngressWorkerInternal`	内部集群通信	`tcp`	`9000` - `9999`
`MasterIngressKube`	kubernetes kubelet、调度程序和控制器管理器	`tcp`	`10250` - `10259`
`MasterIngressWorkerKube`	kubernetes kubelet、调度程序和控制器管理器	`tcp`	`10250` - `10259`
`MasterIngressIngressServices`	Kubernetes 入口服务	`tcp`	`30000` - `32767`
`MasterIngressWorkerIngressServices`	Kubernetes 入口服务	`tcp`	`30000` - `32767`
`MasterIngressGeneve`	Geneve 数据包	`udp`	`6081`
`MasterIngressWorkerGeneve`	Geneve 数据包	`udp`	`6081`
`MasterIngressIpsecIke`	IPsec IKE 数据包	`udp`	`500`
`MasterIngressWorkerIpsecIke`	IPsec IKE 数据包	`udp`	`500`
`MasterIngressIpsecNat`	IPsec NAT-T 数据包	`udp`	`4500`
`MasterIngressWorkerIpsecNat`	IPsec NAT-T 数据包	`udp`	`4500`
`MasterIngressIpsecEsp`	IPsec ESP 数据包	`50`	`All`
`MasterIngressWorkerIpsecEsp`	IPsec ESP 数据包	`50`	`All`
`MasterIngressInternalUDP`	内部集群通信	`udp`	`9000` - `9999`
`MasterIngressWorkerInternalUDP`	内部集群通信	`udp`	`9000` - `9999`
`MasterIngressIngressServicesUDP`	Kubernetes 入口服务	`udp`	`30000` - `32767`
`MasterIngressWorkerIngressServicesUDP`	Kubernetes 入口服务	`udp`	`30000` - `32767`

worker 入口

worker 机器需要以下入口组。每个入口组都是 AWS::EC2::SecurityGroupIngress 资源。

Expand

入口组	描述	IP 协议	端口范围
`WorkerIngressVxlan`	Vxlan 数据包	`udp`	`4789`
`WorkerIngressWorkerVxlan`	Vxlan 数据包	`udp`	`4789`
`WorkerIngressInternal`	内部集群通信	`tcp`	`9000` - `9999`
`WorkerIngressWorkerInternal`	内部集群通信	`tcp`	`9000` - `9999`
`WorkerIngressKube`	Kubernetes kubelet、调度程序和控制器管理器	`tcp`	`10250`
`WorkerIngressWorkerKube`	Kubernetes kubelet、调度程序和控制器管理器	`tcp`	`10250`
`WorkerIngressIngressServices`	Kubernetes 入口服务	`tcp`	`30000` - `32767`
`WorkerIngressWorkerIngressServices`	Kubernetes 入口服务	`tcp`	`30000` - `32767`
`WorkerIngressGeneve`	Geneve 数据包	`udp`	`6081`
`WorkerIngressMasterGeneve`	Geneve 数据包	`udp`	`6081`
`WorkerIngressIpsecIke`	IPsec IKE 数据包	`udp`	`500`
`WorkerIngressMasterIpsecIke`	IPsec IKE 数据包	`udp`	`500`
`WorkerIngressIpsecNat`	IPsec NAT-T 数据包	`udp`	`4500`
`WorkerIngressMasterIpsecNat`	IPsec NAT-T 数据包	`udp`	`4500`
`WorkerIngressIpsecEsp`	IPsec ESP 数据包	`50`	`All`
`WorkerIngressMasterIpsecEsp`	IPsec ESP 数据包	`50`	`All`
`WorkerIngressInternalUDP`	内部集群通信	`udp`	`9000` - `9999`
`WorkerIngressMasterInternalUDP`	内部集群通信	`udp`	`9000` - `9999`
`WorkerIngressIngressServicesUDP`	Kubernetes 入口服务	`udp`	`30000` - `32767`
`WorkerIngressMasterIngressServicesUDP`	Kubernetes 入口服务	`udp`	`30000` - `32767`

角色和实例配置集

您必须在 AWS 中为机器授予权限。提供的 CloudFormation 模板为以下 AWS::IAM::Role 对象授予机器 Allow 权限，并为每一组角色提供一个 AWS::IAM::InstanceProfile。如果不使用模板，您可以为机器授予以下宽泛权限或单独权限。

Expand

角色	影响	操作	资源
Master	`Allow`	`ec2:*`	`*`
	`Allow`	`elasticloadbalancing:*`	`*`
	`Allow`	`iam:PassRole`	`*`
	`Allow`	`s3:GetObject`	`*`
Worker	`Allow`	`ec2:Describe*`	`*`
bootstrap	`Allow`	`ec2:Describe*`	`*`
	`Allow`	`ec2:AttachVolume`	`*`
	`Allow`	`ec2:DetachVolume`	`*`

返回顶部

2.11.4.2. 其他基础架构组件

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links