Плоскость управления и рабочие узлы EKS

Amazon Elastic Kubernetes Service (EKS) — это полностью управляемый сервис Kubernetes, который избавляет Вас от необходимости устанавливать, эксплуатировать и обслуживать управляющую плоскость Kubernetes. AWS запускает, масштабирует и обновляет управляющую плоскость в нескольких зонах доступности, предоставляя высокодоступную конечную точку кластера. Вы полностью сосредотачиваетесь на развёртывании и управлении рабочими нагрузками приложения.

Управляющая плоскость EKS состоит из сервера API, etcd, диспетчера контроллеров и планировщика — всем этим управляет AWS. Эти компоненты работают в аккаунтах, принадлежащих AWS, поэтому Вы никогда не подключаетесь к ним по SSH. AWS гарантирует SLA 99,95 % для конечной точки API EKS и автоматически заменяет неисправные узлы управляющей плоскости. За управляющую плоскость взимается фиксированная почасовая плата за каждый кластер.

Вы можете создать кластер EKS с помощью консоли AWS, eksctl или CloudFormation. Для кластера требуются VPC с подсетями как минимум в двух AZ и роль IAM, предоставляющая управляющей плоскости Kubernetes разрешение на вызов API AWS. После создания конечная точка кластера представляет собой URL HTTPS, который Вы настраиваете в kubeconfig.

После создания кластера обновите локальный kubeconfig, чтобы kubectl знал, как обращаться к серверу API EKS. AWS CLI автоматически создаёт необходимую запись. Сервер API EKS использует AWS IAM для аутентификации — пользователь или роль IAM сопоставляется с идентификатором RBAC Kubernetes через ConfigMap aws-auth.

Управляемые группы узлов позволяют AWS от Вашего имени создавать, регистрировать узлы-исполнители EC2 и управлять их жизненным циклом. При запросе обновления или замены EKS автоматически высвобождает поды, заменяет экземпляр и повторно регистрирует его — без ручного вмешательства. Управляемые группы узлов используют Auto Scaling Groups в своей основе, предоставляя управление минимальной, максимальной и желаемой ёмкостью, а также интеграцию с Cluster Autoscaler.

При использовании самостоятельно управляемых групп узлов Вы сами запускаете экземпляры EC2 (через CloudFormation или Terraform) и регистрируете их в кластере EKS, запуская сценарий Bootstrap. Это обеспечивает максимальную гибкость: можно использовать пользовательские AMI, типы экземпляров с GPU или сильно настроенные конфигурации ядра, — но Вы полностью отвечаете за установку исправлений, высвобождение и замену узлов.

Каждый узел-исполнитель должен работать с профилем экземпляра EC2, которому назначены три политики AWS: AmazonEKSWorkerNodePolicy, AmazonEKS_CNI_Policy и AmazonEC2ContainerRegistryReadOnly. Они позволяют узлу присоединиться к кластеру, управлять сетевым взаимодействием подов с помощью подключаемого модуля VPC CNI и загружать образы из ECR. Без этих политик узлы не смогут зарегистрироваться.

EKS использует ConfigMap aws-auth в пространстве имён kube-system, чтобы сопоставлять пользователей и роли IAM с именами пользователей и группами Kubernetes. При создании кластера только идентификатор IAM создателя автоматически получает права администратора. Чтобы предоставить доступ к кластеру другим пользователям или ролям CI/CD, необходимо добавить в этот ConfigMap записи с правильными ключами mapRoles или mapUsers.

Дополнения EKS — это отобранные и проверенные AWS программные компоненты, например VPC CNI, CoreDNS и kube-proxy, которые EKS может устанавливать и поддерживать в актуальном состоянии от Вашего имени. При обновлении версии Kubernetes в кластере сначала обновите управляющую плоскость, а затем каждую управляемую группу узлов до соответствующей версии. Во время обновления EKS поддерживает разницу в одну минорную версию между управляющей плоскостью и узлами.

Конечную точку сервера API EKS можно настроить как только общедоступную, только частную или оба варианта. Общедоступные конечные точки защищены аутентификацией IAM; для доступа к частной конечной точке kubeconfig должен подключаться к VPC через VPN или Direct Connect. Также можно включить конвертное шифрование секретов Kubernetes в состоянии покоя с помощью ключа AWS KMS, обеспечив дополнительный уровень защиты конфиденциальных данных конфигурации.

Cluster Autoscaler — это под Kubernetes, который отслеживает поды, не поддающиеся планированию, и автоматически изменяет размер Auto Scaling Groups управляемых групп узлов. Когда поды невозможно запланировать из-за нехватки ресурсов, Cluster Autoscaler увеличивает масштаб. Когда узлы используются недостаточно и их поды можно перенести на другие узлы, он уменьшает масштаб. Для работы ему нужны разрешения IAM на вызов API автоматического масштабирования EC2 через IRSA.

Проверьте, насколько хорошо Вы поняли концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали: AWS управляет плоскостью управления EKS с SLA на уровне 99,95 %, управляемые группы узлов позволяют AWS заниматься жизненным циклом узлов, тогда как самостоятельно управляемые группы обеспечивают максимальные возможности настройки, а ConfigMap aws-auth сопоставляет удостоверения IAM с Kubernetes RBAC для управления доступом к кластеру. Далее мы рассмотрим профили Fargate для бессерверного выполнения подов.