AWS Load Balancer Controller无法创建ELB的问题及注解疑问

1. 外部ELB创建的API依赖未覆盖私有端点 #

在无公网的私有VPC环境中，创建外部负载均衡器时，AWS Load Balancer Controller（LBC）需要调用涉及公网资源分配的AWS API（如EC2的AllocateAddresses、公网IP关联操作）。如果这些API对应的VPC私有端点未配置，LBC Pod会尝试走公网访问，但私有VPC内的Pod无公网权限，导致STS凭证获取流程异常，最终触发NoCredentialProviders错误。

而创建内部负载均衡器时，LBC仅需操作VPC内网资源，所有依赖的API都已通过你配置的私有端点访问，Pod Identity Agent提供的IAM凭证可以正常验证，因此负载均衡器创建成功。

2. aws-load-balancer-internal注解的兼容性 #

虽然AWS LBC v2.8.1官方文档未明确列出service.beta.kubernetes.io/aws-load-balancer-internal: "true"注解，但该注解是Kubernetes与AWS兼容的传统配置项，LBC内部会自动将其转换为官方推荐的service.beta.kubernetes.io/aws-load-balancer-scheme: internal参数。这种兼容设计是为了适配用户的历史使用习惯，所以即使文档未标注，LBC仍能正常识别处理。

3. 外部ELB的后续修复建议 #

如果需要创建外部ELB，需补充配置以下AWS服务的VPC私有端点：

• EC2私有端点（com.amazonaws.<region>.ec2）
• STS私有端点（需确保启用Regional模式，Pod Identity依赖该模式的端点）
• Route 53 Resolver私有端点（若涉及公网DNS解析操作）

内容的提问来源于stack exchange，提问作者Andrei Vasil