AWS EKS私有集群节点组无法加入集群问题排查求助

核心问题：{{EC2PrivateDNSName}}未填充的原因 #

• VPC DNS配置未启用：EC2节点生成私有DNS名称依赖VPC的enableDnsSupport和enableDnsHostnames两个参数，必须同时设为true。任意一项关闭都会导致节点无法获取私有DNS名称，进而让模板变量为空。
• 实例元数据服务(IMDS)访问受限：节点通过IMDS的http://169.254.169.254端点拉取自身私有DNS名称。如果安全组/网络ACL阻止了这个地址的HTTP请求，节点拿不到元数据，变量自然无法填充。
• 节点引导脚本执行失败：Terraform EKS模块自带的引导脚本负责替换{{EC2PrivateDNSName}}变量，如果脚本被篡改、启动时权限不足或网络超时，都会导致替换失败。
• IAM角色权限异常：虽然eks-node-role配置了正确的认证映射，但如果该角色被限制了IMDS访问（比如IMDSv2的角色绑定限制），也可能影响节点获取元数据。

节点获取PrivateDNSName的流程 #

节点获取私有DNS名称的逻辑很清晰：

1. 节点启动后，通过IMDS的/latest/meta-data/local-hostname端点获取自身私有DNS名称。
2. EKS引导脚本读取该值，替换kubelet配置中的{{EC2PrivateDNSName}}，生成完整的用户标识system:node:<私有DNS名称>。
3. kubelet用这个标识向EKS控制平面发起认证请求。

受限VPC环境下的安全组排查重点 #

针对你的受限VPC场景，重点检查以下规则：

• 节点安全组出站规则：必须允许访问169.254.169.254:80，这是访问IMDS的基础。
• 控制平面安全组入站规则：允许节点安全组的流量访问443端口（kube-apiserver），否则节点连不上控制平面提交认证请求。
• VPC网络ACL：网络ACL是无状态的，要同时配置入站和出站规则，允许节点与IMDS、控制平面之间的流量通行。
• IMDS版本兼容性：如果启用了IMDSv2，确认节点能正常获取会话令牌，且Terraform EKS模块版本支持IMDSv2访问（新版本一般都支持，旧版本可能需要调整）。

快速验证步骤 #

1. 登录节点执行curl http://169.254.169.254/latest/meta-data/local-hostname，若返回空或超时，直接定位到IMDS访问问题。
2. 检查VPC属性，确认DNS支持和DNS主机名均已启用。
3. 查看节点kubelet配置文件（路径通常是/var/lib/kubelet/kubeconfig），检查user.name字段是否为空或未正确填充。

内容的提问来源于stack exchange，提问作者user2501711