Uma empresa está migrando um aplicativo de microsserviços do Amazon EC2 para o Amazon Elastic Kubernetes Service (Amazon EKS). O painel de controle do EKS deve ter endpoint private access = true e endpoint public access = false. Os nós do plano de dados são colocados em sub-redes privadas, mas os nós não conseguem se juntar ao cluster. Qual solução permitirá que os nós se juntem ao cluster?

Quando o acesso ao endpoint público do EKS é desabilitado (public access = false) e o acesso ao endpoint privado é habilitado (private access = true), os nós de dados em sub-redes privadas precisam de uma maneira de se comunicar com o painel de controle do EKS. Criar endpoints de VPC de interface (AWS PrivateLink) para os serviços necessários (como EKS, EC2, ECR, S3, etc., dependendo das necessidades do cluster) permite que os nós acessem o painel de controle e outros serviços AWS de forma privada, sem atravessar a internet pública. A opção de conceder permissões IAM é importante para a função AmazonEKSNodeRole, mas não resolve o problema de conectividade de rede para o painel de controle privado. Recriar nós em uma sub-rede pública vai contra o requisito de ter nós em sub-redes privadas. Permitir o tráfego de saída no grupo de segurança dos nós é uma configuração de segurança de rede necessária, mas, por si só, não estabelece a conectividade privada para o painel de controle quando o acesso público está desabilitado.