Amazon EKS がクラスター OIDC エンドポイントに対する AWS PrivateLink をサポート
Amazon Elastic Kubernetes Service (Amazon EKS) が、クラスター OIDC ディスカバリーおよび JWKS エンドポイントに対する AWS PrivateLink をサポートするようになりました。これにより、インターネットへの送信を必要とすることなく、サービスアカウントの IAM ロール (IRSA) が使用するエンドポイントに、VPC からプライベートにアクセスできるようになりました。
各 EKS クラスターは、IRSA 向けに署名用公開鍵を OIDC エンドポイントで公開します。クラスター OIDC エンドポイントに対する AWS PrivateLink を使用することで、com.amazonaws.<region>.oidc-eks サービス用のインターフェイス VPC エンドポイントを作成し、VPC 内で実行されているツール (eksctl、Terraform、カスタムのトークン検証ツールなど) から、OIDC ディスカバリドキュメントや JWKS へプライベートにアクセスできるようになります。これにより、インターネット出口を持たない VPC 内でも IRSA のセットアップやトークン検証が可能になるほか、EKS 管理用 VPC エンドポイントでプライベート DNS が有効化されている場合に正しい DNS 名前解決が保証されます。
クラスター OIDC エンドポイントに対する AWS PrivateLink は、Amazon EKS が利用可能なすべての AWS リージョンにおいて、標準の AWS PrivateLink 料金以外の追加料金なしで利用できます。使用を開始するには、Amazon EKS ユーザーガイドの AWS PrivateLink を使用してクラスター OIDC エンドポイントにアクセスするを参照してください。