EKS中Kubernetes API私有与公网访问：能否创建公网暴露的Ingress？

答案是可以，完全不受影响，核心逻辑如下：

• Ingress资源创建与公网暴露是两个独立环节
  创建Ingress资源仅需能访问Kubernetes API Server（不管是内网还是公网），而Ingress的公网暴露是由集群内的Ingress Controller负责的。只要你的管理终端（比如VPC内的EC2、VPN接入的本地机器）能访问私有API Server，就能提交Ingress配置；运行在集群内的Ingress Controller（比如AWS ALB Controller、NGINX Ingress）会监听API Server的Ingress资源变化，自动对接AWS负载均衡（如ALB）或自身暴露公网端口，把流量路由到集群服务——这个过程全程在集群内网和AWS服务间完成，和API Server是否对外暴露无关。

• 私有API Server仅限制外部对API的访问，不影响集群内组件通信
  EKS API Server设为私有后，只是切断了公网IP对API的访问路径，但集群内的节点、Pod、Ingress Controller等组件依然能通过VPC内网正常访问API Server。Ingress Controller作为集群内的组件，完全不受这个限制，照样能同步配置、管理公网入口。

• 实操注意事项

  • 确保管理集群的终端能通过内网访问API Server：比如在VPC内操作、通过VPN连接到VPC，或者用AWS CloudShell（需集群VPC允许）。
  • 确认Ingress Controller有足够IAM权限：比如AWS ALB Controller需要权限创建/管理ALB、安全组等资源，这部分配置和API Server是否公网无关。
  • 集群VPC需具备公网访问能力：节点需要通过NAT Gateway或公网IP访问公网，确保Ingress Controller能拉取镜像、和AWS服务通信。

内容的提问来源于stack exchange，提问作者bkalcho