Container Service for Kubernetes (ACK) クラスターの API サーバーにインターネットまたは内部ネットワーク経由で接続します。コンソールに加えて、kubectl、Workbench、CloudShell などのコマンドラインツールを使用して API サーバーを操作できます。API サーバーに接続し、kubeconfig ファイルで API サーバーへのアクセスを管理します。
1. ACK クラスターにアクセスするためのネットワークモードとネットワーク ACL の設定
ACK クラスターの API サーバーにインターネットまたは内部ネットワーク経由で接続し、API サーバーのネットワークアクセスコントロールリスト (ACL) を設定します。
-
内部ネットワーク経由の接続：ACK クラスターを作成すると、ACK は API サーバー用に内部向けのクラシックロードバランサー (CLB) インスタンスを作成します。同じ仮想プライベートクラウド (VPC) 内のリソースは相互に通信できます。
-
インターネット経由の接続：API サーバー用に作成された内部向けの CLB インスタンスに Elastic IP アドレス (EIP) を関連付けることで、クラスターへのインターネットアクセスを有効にします。詳細については、「クラスターの API サーバーへのパブリックアクセスの制御」をご参照ください。
ACK クラスターの API サーバーへの不正アクセスを防ぐため、API サーバー用に作成された CLB インスタンスのリスナーポート 6443 にネットワーク ACL を設定することを推奨します。ネットワーク ACL をホワイトリストまたはブラックリストとして設定することで、API サーバーへのアクセスを制限できます。詳細については、「ACK クラスターの API サーバーのネットワーク ACL の構成」をご参照ください。
2. kubeconfig ファイルの管理
クラスターに接続する前に、kubeconfig ファイルを取得します。kubeconfig ファイルには、インターネットまたは内部ネットワーク経由のアクセスを認証するための認証情報が格納されています。ACK は、Alibaba Cloud アカウント、Resource Access Management (RAM) ユーザー、または RAM ロール用の kubeconfig ファイルを発行します。セキュリティリスクを軽減するため、一時的な kubeconfig ファイルを使用し、その有効期間を慎重に設定することを推奨します。詳細については、「kubeconfig ファイルの管理」をご参照ください。
3. クラスター接続方法の選択
クラスターにインターネットアクセスがあるかどうかなどの要因に基づいて、接続方法を選択します。
RAM ユーザーが ACK クラスターに接続する前に、必要な Container Service システム権限に加えて、クラスター操作権限を付与してください。詳細については、「認可」をご参照ください。
-
Container Service コンソールにログインします。
RAM ユーザーを使用してコンソールにアクセスする場合は、必要なクラウドサービス権限を設定する必要があります。詳細については、「ACK コンソールに必要な権限」をご参照ください。
-
kubectl、または Alibaba Cloud が提供する Web ベースのツール Workbench と CloudShell を使用します。
ツール
説明
ローカルインストール①
内部ネットワーク経由のアクセス
インターネット経由のアクセス
参考資料
Kubernetes のコマンドラインツールです。
必要①
対応
対応
追加のソフトウェアをインストールせずに Elastic Compute Service (ECS) インスタンスに接続するための Web ベースのツールです。
不要
対応
対応
さまざまなプログラミング言語とコマンドラインツールがプリインストールされた Linux VM を作成する Web ベースのシェルです。
不要
非対応
対応
①：Workbench と CloudShell はブラウザで動作します。kubectl はローカルインストールが必要ですが、ACK ワーカーノードにはプリインストールされています。
関連ドキュメント
ACK クラスター内のアプリケーションがイメージのプルや依存関係ライブラリの更新など、インターネット経由で外部リソースにアクセスする必要がある場合は、「既存の ACK クラスターでインターネットアクセスを有効にする」をご参照ください。