为什么创建 EKS 集群会自动创建我已有的安全组

问题描述

我正在尝试通过 CloudFormation 创建 EKS 集群。我已经阅读了 Amazon 的所有 EKS Security Group guidelines 并且已经设置了我的安全组，因为我想要更清晰更整洁的命名，并且能够事先定义这些和其他一些（BastionHost SG 和 RDS SG）之间的复杂性.

看在上帝的份上，我无法理解为什么它会不断创建集群安全组，而忽略了我在模板中作为参考传递的那个，并且在 NodeGroup 的远程访问安全组中也发生了同样的事情，我在那里指定我的堡垒主机的安全组。它没有接受它，而是继续创建自己的新安全组，该安全组将我的 BastionHost 的安全组作为源。

字面上的困惑。我能克服这个吗？

更新： 所以我有亚马逊为我的 EKS 建议的 3 个安全组。我们称它们为 cluster-sg、control-plane-sg 和 nodegroup-sg。还假设它们已经按照上面的指南进行了配置，采用了“推荐的”入站/出站流量指南，而不是最低限度（尽管我认为这在这部分没有发挥重要作用）。另外还有一个单独的 EC2 实例的安全组，它是我的堡垒主机，我们称之为 bastion-sg。

我的 CloudFormation 模板如下所示：

EKSCluster:
Type: 'AWS::EKS::Cluster'
Properties:
  Name: 'my-cluster'
  Version: '1.17'
  ResourcesVpcConfig:
    SecurityGroupIds:
      - !Ref clusterSG #do I need this cluster-sg here? do I need also nodegroup-sg? do I need both?
    subnetIds:
      - !Ref Privatesubnet1
      - !Ref Privatesubnet2
      - !Ref Privatesubnet3
  RoleArn: !GetAtt ClusterInstanceRole.Arn

NodeGroupCluster:
Type: AWS::EKS::Nodegroup
Properties:
  ClusterName: !Ref EKSCluster
  diskSize: !Ref ClusterdiskSize
  InstanceTypes: !Ref NodeInstanceTypes
  ForceUpdateEnabled: false
  NodegroupName: 'cluster-nodegroup'
  NodeRole: !GetAtt NodeInstanceRole.Arn #this is a resource that I haven't provided
  RemoteAccess:
   Ec2SshKey: !Ref EC2KeyPair
   SourceSecurityGroups:
    - !Ref bastionSG 
  ScalingConfig:
    DesiredSize: !Ref DesirednodeSize
    MaxSize: !Ref MaximumNodeSize
    MinSize: !Ref MinimumNodeSize
  subnets:
    - !Ref Privatesubnet1
    - !Ref Privatesubnet2
    - !Ref Privatesubnet3

总而言之，问题有两个方面： a）我似乎缺少在配置和安全组方面放置什么的位置。即我有亚马逊为整个集群推荐的 3 个安全组，但只有两个地方接受安全组。 b) 我尝试过的任何组合（按照我原来的帖子）都没有考虑 cluster-sg 而是自己自动创建一个，这对我的 IaaC 和自动部署不方便哲学。

解决方法

我遇到了同样的问题。 EKS 控制平面位于 AWS 内某处的单独 VPC 上。当我们创建 EKS 集群时，它会自动创建一个 ENI，它会附加一个安全组，用于控制平面和工作节点之间的通信。无论如何，总会为集群创建这个 SG。现在，如果您在 cloudformation 脚本中传递其他安全组作为 SG 的参数，它只会将这些安全组与创建的 ENI 附加在一起。如果您启动 Nodegroup NG-1 并将其附加到不同的安全组，请确保在集群 cloudformation 脚本中提供 SG，以便它可以将那个安全组附加到 ENI 并打开相应的端口，以便工作节点可以与集群。

我使用专用 SG 创建了启动模板，并使用相同的启动模板创建了一个节点组。我还在 CF 的集群脚本中提到了我的 Launchtemplate 的 SG，以确保我的节点可以与控制平面通信，否则节点组将无法启动。

简而言之，请记住以下几点：

-总会有集群创建的安全组

-ClusterSG 或您在 cf 集群脚本中传递的任何其他 SG 将附加到 EKS 在启动时创建的 ENI。

请参阅以下文档以获得更好的理解。

https://docs.aws.amazon.com/eks/latest/userguide/sec-group-reqs.html

amazon-cloudformation amazon-eks amazon-web-services aws-security-group