Une entreprise migre une application de microservices d'Amazon EC2 vers Amazon Elastic Kubernetes Service (Amazon EKS). Le plan de contrôle EKS doit avoir endpoint private access = true et endpoint public access = false. Les nœuds du plan de données sont placés dans des sous-réseaux privés, mais les nœuds ne parviennent pas à rejoindre le cluster. Quelle solution permettra aux nœuds de rejoindre le cluster ?

Lorsque l'accès au point de terminaison public du plan de contrôle EKS est désactivé (false) et l'accès privé est activé (true), les nœuds de données situés dans des sous-réseaux privés ne peuvent pas atteindre le plan de contrôle EKS via l'Internet public. Pour que les nœuds puissent communiquer avec le plan de contrôle EKS, il est nécessaire de créer des points de terminaison d'interface VPC (AWS PrivateLink) pour les services EKS. Cela permet une communication privée et sécurisée entre les nœuds et le plan de contrôle sans traverser l'Internet. Accorder des autorisations IAM supplémentaires au rôle AmazonEKSNodeRole est important pour le fonctionnement des nœuds, mais cela ne résout pas un problème de connectivité réseau. Recréer les nœuds dans un sous-réseau public irait à l'encontre de l'exigence de maintenir les nœuds dans des sous-réseaux privés et introduirait des risques de sécurité. Autoriser le trafic sortant dans le groupe de sécurité des nœuds est généralement nécessaire, mais insuffisant si la route vers le plan de contrôle n'est pas établie via un point de terminaison privé.