Month: March 2022

将IAM用户或角色授权为EKS集群管理员

有关EKS系列文档和实验的汇总，请点击这里跳转

使用EKS服务过程中，经常出现创建EKS集群和管理EKS集群的不是一个人。由此会导致在AWS控制台上显示EKS服务不正常，无法获取有关配置。例如出现如下错误：

通俗点说：A使用eksctl命令行工具创建了集群，B在AWS控制台上看不到，现在需要A给B授权。B可能是一个IAM User用户，也可能是一个IAM Role角色（虚拟的）。根据B是用户还是角色，后续操作二选一。

解决办法如下。

Continue reading “将IAM用户或角色授权为EKS集群管理员”

使用eksctl在现有VPC和子网中创建EKS集群

有关EKS系列文档和实验的汇总，请点击这里跳转

在EKS教程和实验手册中，使用eksctl工具创建集群，可以在几分钟内配置好一个EKS集群。但是，默认情况下，eksctl将会通过Cloudformation创建一个全新的VPC，默认使用192.168.0.0/16的子网掩码，而且Nodegroup还是位于Public Subnet。由此，并未能落在现有VPC内，也未能使用Private Subnet。因此，在这种场景下，可使用如下方法。

Continue reading “使用eksctl在现有VPC和子网中创建EKS集群”

AWS Network Firewall (NFW) Demo

AWS Network Firewall 是一项新推出的 AWS 托管服务，可使您轻松地为所有 Amazon Virtual Private Cloud (VPC) 部署必要的网络保护。您只需单击几下鼠标就可以设置此服务，它随着网络流量而自动缩放，因此无需担心基础设施的部署和管理问题。AWS Network Firewall 适用于要检查和筛选 Amazon VPC 进出流量或 Amazon VPC 之间流量的客户。 

AWS官网
Continue reading “AWS Network Firewall (NFW) Demo”

为IDC或私有VPC内的Storage Gateway使用VPC Endpoint访问S3

之前写过Blog和视频谈到了在内网环境的Storage Gateway的激活，在2021年Storage Gatway升级后，内网的激活流程和向导作出了改进，激活更为方便。

此外，如果安全上有需求要求所有流量在内网不能出现在公网，可以搭配专线或Site-to-site VPN，然后将所有流量发送到Interface类型的VPC Endpoint，即可实现所有流量处于内网的私密状态。

Continue reading “为IDC或私有VPC内的Storage Gateway使用VPC Endpoint访问S3”

在海外区域使用AWS Client VPN访问没有Internet Gateway的VPC内网资源

一、背景和架构

AWS Client VPN是一种基于客户端的托管VPN服务，让您能够安全地访问云上资源或借助云作为网络通道访问其他资源。AWS Client VPN具有专用的VPN客户端，也支持使用OpenVPN作为客户端。

注意：AWS Client VPN只能用于企业海外员工到附近的海外AWS区域的访问接入，不可用于跨境访问。跨境需求需要申请符合相关法律规定的具有资质的跨境专线。

Continue reading “在海外区域使用AWS Client VPN访问没有Internet Gateway的VPC内网资源”

GWLB系列3: 使用GWLB+TGW方案时跨AZ访问的场景打开Transit Gateway Appliance Mode

在使用GWLB+TGW方案时候，运行应用系统的VPC（可叫做Spoke VPC或叫做Application VPC）访问其他VPC时候出现了同AZ可访问，跨AZ无法访问。经调查是Transit Gateway Appliance Mode默认是关闭模式，没有打开。

Continue reading “GWLB系列3: 使用GWLB+TGW方案时跨AZ访问的场景打开Transit Gateway Appliance Mode”