Профили Fargate для бессерверных подов

AWS Fargate для EKS позволяет запускать поды Kubernetes без подготовки и управления узлами EC2. Вместо выбора типов инстансов и групп узлов Вы определяете профиль Fargate, который указывает EKS, какие поды следует запускать на Fargate, на основе их пространства имён и необязательных селекторов меток. AWS автоматически выделяет нужный объём вычислительных ресурсов для каждого пода и освобождает его, когда под останавливается.

Профиль Fargate подключается к кластеру EKS и содержит один или несколько селекторов — каждый селектор задаёт пространство имён и необязательные пары «ключ-значение» меток Kubernetes. Для планирования на Fargate под должен соответствовать хотя бы одному селектору. В профиле также указываются роль выполнения пода (роль IAM) и приватные подсети, которые Fargate должен использовать для запуска подов.

Роль выполнения пода — это роль IAM, которую EKS принимает, когда Fargate получает образы контейнеров и отправляет журналы подов в CloudWatch. Она должна включать управляемую AWS политику AmazonEKSFargatePodExecutionRolePolicy. Без этой роли поды, запланированные на Fargate, не смогут запуститься, поскольку Fargate не сможет пройти аутентификацию в ECR или записать данные в журналы CloudWatch.

Fargate накладывает важные ограничения на пространства имён. Пространство имён kube-system недоступно для большинства профилей Fargate, поскольку в нём работают системные поды, например kube-proxy. Исключением является CoreDNS: AWS предоставляет пошаговую процедуру изменения развёртывания CoreDNS, чтобы удалить аннотацию eks.amazonaws.com/compute-type: ec2 и тем самым разрешить запуск на Fargate. Поды в исключённых пространствах имён останутся незапланированными, если доступных узлов EC2 нет.

Fargate выделяет вычислительные ресурсы на основе запросов CPU и памяти, заданных в спецификации пода. Значения округляются вверх до ближайшего поддерживаемого Fargate сочетания vCPU и памяти (например, от 0,25 vCPU / 0,5 GB до 16 vCPU / 120 GB). Оплата взимается только за выделенные ресурсы за каждую секунду работы пода. Всегда задавайте точные запросы ресурсов: заниженные значения приводят к завершению процесса из-за нехватки памяти, а завышенные увеличивают стоимость.

Fargate избавляет от управления узлами, но имеет ограничения: отсутствует поддержка DaemonSet (поскольку нет постоянных узлов, на которых их можно было бы планировать), отсутствуют привилегированные контейнеры и ограничена поддержка некоторых типов хранилищ. Группы узлов EC2 поддерживают GPU, пользовательские ядра и рабочие нагрузки с сохранением состояния, использующие локальные диски NVMe. Распространённый подход — запускать сервисы без сохранения состояния на Fargate, а рабочие нагрузки с сохранением состояния или GPU — на выделенных группах узлов EC2 в том же кластере EKS.

Каждый под Fargate получает собственный эластичный сетевой интерфейс (ENI) и приватный IP-адрес из подсети, указанной в профиле. Благодаря этому с помощью функции Security Groups for Pods каждому поду можно назначить уникальную группу безопасности. Поды Fargate поддерживают все стандартные правила групп безопасности VPC, что обеспечивает точное управление входящим и исходящим трафиком на уровне отдельного пода — это существенное преимущество в безопасности по сравнению с общими группами безопасности на уровне узлов.

Поды Fargate отправляют журналы в журналы Amazon CloudWatch с помощью встроенного маршрутизатора журналов Fluent Bit. Для настройки ведения журналов создайте ConfigMap с именем aws-logging в пространстве имён aws-observability. Роль выполнения пода должна иметь разрешения на создание групп журналов и запись событий журналов. Журналы распределяются по группам журналов CloudWatch для каждого кластера и пространства имён, поэтому централизованное объединение журналов выполняется без отдельного агента журналов.

Fargate поддерживает Kubernetes Horizontal Pod Autoscaler (HPA). Когда HPA увеличивает число реплик, Fargate автоматически подготавливает новые микро-ВМ, и Вам не нужно изменять размер группы узлов. Это обеспечивает настоящее бессерверное автомасштабирование: HPA управляет количеством подов, а Fargate эластично обрабатывает вычислительную нагрузку. При этом в кластере по-прежнему необходимо развернуть Metrics Server, чтобы HPA мог получать сведения об использовании CPU и памяти.

Вы платите за потреблённые vCPU-секунды и GB-секунды, при этом минимальная продолжительность оплаты для каждого пода составляет 1 минуту. Плата за узлы, зарезервированные мощности и исправление AMI/OS отсутствует. Обычно вычислительные ресурсы Fargate обходятся дороже единицы ресурсов, чем правильно подобранные инстансы EC2 по запросу, однако совокупная стоимость владения часто оказывается ниже, если учесть сэкономленное инженерное время на управлении узлами, исправлении ошибок и принятии решений о масштабировании.

Основные ограничения Fargate для экзамена SAA-C03: нет поддержки DaemonSet (поды нельзя разместить на каждом узле, поскольку постоянных узлов нет), нет привилегированных контейнеров, нет режима hostNetwork, а эфемерное хранилище ограничено 20 GB на под (с помощью настройки его можно увеличить до 200 GB). Постоянное блочное хранилище EBS не поддерживается — для общего постоянного файлового хранилища с подами Fargate используйте EFS.

Проверьте, насколько хорошо Вы усвоили изложенные в этом уроке концепции AWS Solutions Architect (SAA-C03).

В этом уроке Вы узнали: профили Fargate используют селекторы пространств имён и меток для бессерверного планирования подов, роль выполнения пода предоставляет Fargate разрешения на получение образов и запись журналов, а Fargate не поддерживает DaemonSets и EBS — для постоянного хранилища используйте EFS. Далее мы рассмотрим сетевое взаимодействие EKS с подключаемым модулем VPC CNI и AWS Load Balancer Controller.