EKS Cluster endpoint设为私有是否属于EKS Private Cluster疑问

核心结论 #

仅将EKS集群端点设置为私有，不等于该集群就是EKS私有集群，二者是包含关系：私有集群一定开启了私有端点，但开启私有端点的集群不一定是私有集群。

两个概念的明确定义 #

• EKS集群私有端点：仅限制Kubernetes API Server的网络可达范围，开启后API Server仅能在你指定的VPC内部被访问，公网无法直接调用K8s API。这个配置仅作用于API Server层面，不影响集群其他资源的网络属性。
• EKS私有集群：是指集群全链路没有公网暴露的完全私有化部署，除了必须开启API Server私有端点外，还需要满足以下全部要求：
  • 所有工作节点均部署在无公网IP的私有子网，子网路由表未绑定互联网网关（IGW）
  • 集群所有出站访问均通过NAT网关或者AWS PrivateLink实现，无直接公网访问路径
  • 依赖的AWS服务（ECR、S3、CloudWatch等）均已配置对应VPC端点，支持私网访问

关于ECR使用要求的说明 #

你提到的私有集群必须使用ECR作为镜像仓库的规则，本质是因为私有集群节点没有公网访问能力，无法拉取公网环境的镜像，所以需要将镜像提前同步到同区域ECR，通过ECR的VPC端点完成私网拉取。如果你的集群仅开启了API私有端点，但节点所在子网有公网路由，完全可以正常拉取公网镜像，没有强制使用ECR的要求。

内容的提问来源于stack exchange，提问作者Wakeupcolumn