Amazon EKS Auto ModeでKubernetesの運用をシンプルにする

© 2025, Amazon Web Services, Inc. or its affiliates. All
rights reserved. Amazon EKS Auto Mode で Kubernetes の運⽤をシンプルにする Shota Suzuki Solutions Architect Amazon Web Services Japan G.K. 1

rights reserved. ⾃⼰紹介 2 鈴⽊祥太アマゾンウェブサービスジャパンソリューションアーキテクト • Web 業界のお客様を中⼼にアーキテクチャ設計や構築をサポートしています • 好きな AWS サービス Amazon Elastic Kubernetes Service (Amazon EKS) @sshota0809

rights reserved. Kubernetes の特徴 3 Simplicity Consistency Extensibility

rights reserved. 4 Kubernetes のアップストリームおよび認証プログラムに準拠あらゆる環境で信頼性の高い、安全なアプリケーションを構築することが可能 EKS では信頼性高く安全に Kubernetes を運用可能 Amazon EKS

rights reserved. ACK Project Price reduced to $0.10 per hour Secrets Encryption SLA raised to 99.95% EKS CIS Benchmark K8s Resources in EKS console EKS on AWS Local zones EKS Add-ons Load balancer controller マネージド Kubernetes on AWS の歩み 2018 2020 2021 2022 2023 2019 EKS Generally Available Managed Cluster Version Updates GPU Support HIPAA eligible ISO, PCI, and SOC Compliance Expansion to 15 AWS regions CSI drivers for EBS, EFS, FSx for Lustre Pod security policies Managed Node Groups EKS Fargate EKS on AWS Outposts IPv6 clusters available Local clusters on Outposts Trainium instances Add-ons from AWS marketplace PrivateLink support Nitro enclaves Launch time reductions Expansion to 32 AWS regions Kubernetes Network Policy enforcement Extended version support Version launch acceleration Pod Identity S3 Mountpoints CSI Driver Upgrade Insights OIDC access authentication Cluster creation reduced by 40% EFA, P4d instance support EKS Anywhere GA EKS Connector FedRamp High Compliance Control plane scaling Karpenter project Amazon Linux 2023 2024 Automatic Version Upgrades Zonal Shift Full IPv6 support Auto Mode Hybrid Nodes Multi-cluster dashboard Node health & auto-repair 5

rights reserved. Karpenter プロジェクト 6 柔軟で⾼パフォーマンスのオープンソース Kubernetes クラスターオートスケーラー可⽤性の向上コスト最適化効率的な運⽤ kubernetes-sigs/karpenter: https://github.com/kubernetes-sigs/karpenter aws/karpenter-provider-aws: https://github.com/aws/karpenter-provider-aws

rights reserved. • 標準サポート期間を超えて、12 ヶ⽉間の延⻑サポート • 延⻑サポート期間中のバージョンを使⽤して、いつでもクラスターの作成とアップグレードが可能 • コントロールプレーン、デフォルトアドオン、 AMI に対する AWS のセキュリティパッチ提供 • アップグレードポリシーの設定に応じて、標準サポートバージョンのコントロールプレーンが⾃動的にアップグレードされる New! 標準サポート延長サポート 14 ヶ月 26 ヶ月 EoL リリース Amazon EKS の延⻑サポート

rights reserved. お客様の声: Kubernetes の運⽤には多くの “投資” が必要 8 クラスター / アプリケーションを実⾏するためにインフラの管理が必要⾼度な専⾨知識と、継続的な時間（⼈的リソース）の投資が必要リソース使⽤率やコストを最適化するために、適切な EC2 インスタンスを選定・実⾏する本番環境の Kubernetes に必要なプラグインやアドオンをインストール・管理するクラスターのアップグレードや Node の更新を⾏いインフラストラクチャを最新のセキュアな状態にする

rights reserved. Auto Mode Kubernetes クラスターのインフラストラクチャ全体を⾃動化

rights reserved. 10 クラスター運⽤を AWS に委ね、俊敏性を⾼めイノベーションを加速するアプリケーションのパフォーマンス、可⽤性、セキュリティを向上させる最適なコンピューティングリソースの選択と動的スケーリングによりコストを最適化する Amazon EKS Auto Mode

rights reserved. EKS Auto Mode が登場する以前の Amazon EKS の活⽤ 11 コントロールプレーンの作成コンピューティング環境の⽤意プラグインのインストールアプリケーションのデプロイモニタリング⼿動での最適化とアップグレード

rights reserved. Auto Mode 1 クラスター作成本番環境クラスターに必要なコア機能の提供クラスターのインフラストラクチャを⾃動的に作成ノードとコア機能の⾃動アップグレードリソースの動的なスケール継続的なコスト最適化

rights reserved. EKS Auto Mode 以前の EKS クラスターアーキテクチャ Amazon EKS cluster EKS account Managed Control Plane Etcd Instances API Server instances Karpenter Amazon EBS CSI Driver AWS Load Balancer Controller Amazon EKS Add-Ons kube-proxy EKS Pod Identity EC2 Instances Supporting AWS Services EBS Volumes Application Load Balancer Network Load Balancer Customer account

rights reserved. EKS Auto Mode の EKS クラスターアーキテクチャ EKS account Customer account Supporting AWS Services EBS Volumes Application Load Balancer Network Load Balancer EC2 Managed Instances Compute Storage Load Balancing Managed Capabilities Amazon EKS cluster Managed Control Plane API Server instances Etcd Instances

rights reserved. Amazon EC2 マネージドインスタンス 15 Auto Mode マネージド AMI Amazon EC2 マネージドインスタンス (ノードで実行されているエージェント) CSI Node Node Monitoring K8s service load balancing K8s service discovery Pod Identity

rights reserved. 以前までの EKS における責任共有モデル AWS Global Infrastructure Foundation Services EKS Cluster Control Plane Cluster Capabilities Cluster EC2 Instances Storage Networking Monitoring Compute Regions Local Zones Edge Locations K8s API Server X-ENIs K8s Etcd Database Pod Networking / Network Policy Elastic Load Balancing Storage Drivers Compute Autoscaling System Agents, Kubelet, Container Runtime Application containers: Availability, security, monitoring VPC infrastructure, cluster configuration, add-ons © 2024, Amazon Web Services, Inc. or its affiliates. All rights reserved. お客様による管理 AWS による管理 Patching Monitoring Health and Repair Operating System Lifecycle

rights reserved. EKS Auto Mode における責任共有モデル AWS Global Infrastructure Foundation Services EKS Cluster Control Plane Cluster Capabilities Cluster EC2 Instances Storage Networking Monitoring Compute Regions Local Zones Edge Locations K8s API Server X-ENIs K8s Etcd Database Pod Networking / Network Policy Elastic Load Balancing Storage Drivers Compute Autoscaling Patching Monitoring Health and Repair Operating System Lifecycle System Agents, Kubelet, Container Runtime Application containers: Availability, security, monitoring VPC infrastructure, cluster configuration, add-ons IAM © 2024, Amazon Web Services, Inc. or its affiliates. All rights reserved. お客様による管理 AWS による管理 Customer IAM

rights reserved. Amazon EKS Auto Mode クラスターの機能 18 Compute Networking Storage Security

rights reserved. Amazon EKS Auto Mode クラスターの機能 19 Networking Security Storage Compute

rights reserved. Amazon EKS Auto Mode クラスターインフラストラクチャ 20 クラスターインフラストラクチャのプロビジョニング、スケーリング、管理を⾃動化多種多様なインスタンスタイプを利⽤可能。ワークロードに応じたコンピューティング環境を柔軟に選択。多様なワークロードのサポート Amazon EC2 インスタンス EC2 インスタンスをユーザーアカウントで実⾏しつつ、フルマネージドなコンピューティング環境を提供適切なリソースサイズの選定適切なサイズのコンピューティングリソースを作成。需要に応じた動的なスケーリングも実施。リソース使⽤率の低い Node を削除し、置き換え可能な Node をより⼩さなインスタンスに置換。また、Node を効率的に使⽤可能となるようにワークロードの統合も実施。コスト最適化

rights reserved. ノードスケールがどのようにして実現されるか 21 Pending pods Existing capacity Just-in-time capacity Unschedulable pods • EKS Auto Mode はアカウント内に必要なマネージド Amazon EC2 インスタンスを⾃動的に起動 • クラスター内の Pod のリソース要件を評価することで実現 • EKS Auto Mode はプロビジョニングする最適なコンピューティングリソースを決定

rights reserved. NodePool で属性ベースのプロビジョニングが可能に 22 • NodePool により、さまざまなインスタンスサイズ、ファミリー、世代、CPU アーキテクチャ、購⼊オプションといった制約をクラスター内に作成される Node に設定可能 • クラスター内に 2 つのマネージド NodePool を⾃動作成 (general-purpose と system) • マネージド NodePool は編集できず、変更した場合はすぐに元に戻される • マネージド NodePool は Weight: 0 に設定されている

rights reserved. apiVersion: karpenter.sh/v1 kind: NodePool metadata: name: general-purpose spec: disruption: budgets: - nodes: 10% consolidateAfter: 30s consolidationPolicy: WhenEmptyOrUnderUtilized template: spec: expireAfter: 336h nodeClassRef: group: eks.amazonaws.com kind: NodeClass name: default requirements: - key: karpenter.sh/capacity-type operator: In values: [”On-Demand”] - key: karpenter.k8s.aws/instance-category operator: In values: ["c","m","r"] - key: karpenter.k8s.aws/instance-generation operator: Gt values: [“4”] - key: kubernetes.io/arch operator: In values: [“amd64”] - key: kubernetes.io/os operator: In values: [”linux”] terminationGracePeriod: 24h0m0S 23 マネージド NodePool General Purpose • general-purpose NodePool は特定のハードウェア要件が無い様々なワークロードをサポートするように設計されている • すぐに利⽤可能

rights reserved. apiVersion: karpenter.sh/v1 kind: NodePool metadata: name: system spec: disruption: budgets: - nodes: 10% consolidationPolicy: WhenEmptyOrUnderUtilized template: spec: expireAfter: 336h nodeClassRef: group: eks.amazonaws.com kind: NodeClass name: default requirements: - key: karpenter.sh/capacity-type operator: In values: [”On-Demand”] - key: karpenter.k8s.aws/instance-category operator: In values: ["c","m","r"] - key: karpenter.k8s.aws/instance-generation operator: Gt values: [“4”] - key: kubernetes.io/arch operator: In values: [“arm64”, “amd64”] - key: kubernetes.io/os operator: In values: [”linux”] taints: - effect: NoSchedule key: CriticalAddonsOnly terminationGracePeriod: 24h0m0S 24 マネージド NodePool System • system NodePool はクラスターの重要なコンポーネントを分離するように設計されている • Pod の toleration に CriticalAddonsOnly が付与されている場合にのみスケジュールされる • クラスターにデプロイされた追加のアドオン / プラグインもこの NodePool にスケジュールできる

rights reserved. 独⾃の NodePool の定義 25 マネージド NodePool ではなく、独⾃の定義を使⽤することも可能例えば、以下を使⽤または実現したい場合: • ⾼速コンピューティングインスタンス • Amazon EC2 スポットインスタンス • 異なる⽬的のためのコンピューティングの分離 • セキュリティ分離 • チーム分割 • ノイジーネイバーによるテナント分離 • 既存 NodePool の移⾏ • 優先順位と順序を定義するための重み付け apiVersion: karpenter.sh/v1 kind: NodePool metadata: name: team-ai-ml spec: disruption: budgets: - nodes: 10% consolidationPolicy: WhenEmptyorUnderutilized template: spec: requirements: - key: karpenter.k8s.aws/instance-family operator: In values: [”inf2"] nodeClassRef: group: eks.amazonaws.com kind: NodeClass name: team-ai-ml

rights reserved. apiVersion: eks.amazonaws.com/v1 kind: NodeClass metadata: name: sample-nodeclass spec: securityGroupSelectorTerms: - id: sg-00ec75a7f8bdccb3c - id: sg-00ec75a7f8bdccb3d subnetSelectorTerms: - id: subnet-0c190d90ff89523a9 - id: subnet-0c190d90ff89523a9 networkPolicy: Disabled snatPolicy: Random ephermalStorage: size: 20Gi iops: 3000 throughput: 125Mi マネージド NodeClass 26 • Auto Mode はクラスターサブネットとノードセキュリティグループが事前設定されたマネージド NodeClass を作成する • nodeClassRef を通して NodePool から参照される • AMI を定義する必要はない • Bottlerocket OS のノードをプロビジョニング • 独⾃の NodeClass を作成して IOPS の増加、ネットワークポリシーの有効化、特定のサブネットの指定も可能

rights reserved. 継続的なコンピューティング最適化 27 EC2 – m5.xlarge EC2 – m5.xlarge EC2 – m5.xlarge EC2 – m5.xlarge • Auto Mode は、クラスターで実⾏されているコンピューティングを継続的に評価し、リソースを最適化する • この例では、クラスター内には使⽤率の低いノードが複数存在する:

rights reserved. 継続的なコンピューティング最適化 28 apiVersion: karpenter.sh/v1 kind: NodePool metadata: name: general-purpose spec: …. disruption: consolidationPolicy: WhenEmptyOrUnderutilized consolidateAfter: 30s デフォルト動作は、統合のために最後の Pod 追加または削除の後、30 秒間空のノードまたは十分に活用されていなかったノードを統合するように設定されている EC2 – m5.xlarge EC2 – m5.xlarge EC2 – m5.xlarge EC2 – m5.xlarge • Auto Mode は、クラスターで実⾏されているコンピューティングを継続的に評価し、リソースを最適化する • この例では、クラスター内には使⽤率の低いノードが複数存在する:

rights reserved. 継続的なコンピューティング最適化 29 使用率の低いノードは削除 EC2 – m5.xlarge EC2 – m5.xlarge • ノードを統合できる場合、EKS は既存ノードを削除するために taint を付与し、キャパシティのある既存ノードに Pod を再スケジュールする:

rights reserved. 継続的なコンピューティング最適化 30 EC2 – m5.xlarge EC2 – m5.xlarge EC2 – m5.xlarge • Auto Mode は、クラスターで実⾏されているコンピューティングを継続的に評価し、リソースを最適化する • この例では、クラスター内に使⽤率が低く⾼価なノードがいくつも存在する:

rights reserved. 継続的なコンピューティング最適化 31 EC2 – m5.xlarge • Auto Mode は、クラスターで実⾏されているコンピューティングを継続的に評価し、リソースを最適化する • この例では、クラスター内に使⽤率が低く⾼価なノードがいくつも存在する: 適切なワーカーノードの選択 - コスト削減 EC2 – m5.large

rights reserved. マネージドなネットワーキング機能 33 マネージドな kube-proxy を iptables モードで実⾏マネージドな Amazon VPC CNI Plugin を実⾏ Pod ネットワーキングや Network Policy の適⽤を管理マネージドな CoreDNS を各 Node 上で実⾏各 Node 上で systemd サービスとして実⾏されている

rights reserved. マネージドロードバランシング 34 • Kubernetes の Ingress リソースに対応する Application Load Balancer (ALB) をプロビジョニング • Kubernetes の Service リソースに対応する Network Load Balancers (NLB) をプロビジョニング • ALB 構築のためには新たな IngressClass の作成が必要 Kubernetes service/ingress へのアノテーションによって NLB もしくは ALB が構築ロードバランサーコントローラーは Amazon EKS が管理するアカウント上で動作

rights reserved. サービスの公開 – Layer 4 35 kind: Service apiVersion: v1 metadata: name: nginx-service annotations: service.beta.kubernetes.io/aws-load-balancer-nlb-target-type: ip service.beta.kubernetes.io/aws-load-balancer-scheme: internet-facing spec: type: LoadBalancer loadBalancerClass: eks.amazonaws.com/nlb selector: app: nginx ports: - name: http protocol: TCP port: 8080 targetPort: 80 Network Load Balancer

rights reserved. apiVersion: networking.k8s.io/v1 kind: IngressClass metadata: labels: app.kubernetes.io/name: LoadBalancerController name: eks-alb spec: controller: eks.amazonaws.com/alb --- apiVersion: networking.k8s.io/v1 kind: Ingress metadata: namespace: game-2048 name: ingress-2048 annotations: alb.ingress.kubernetes.io/scheme: internet-facing alb.ingress.kubernetes.io/target-type: ip spec: ingressClassName: eks-alb rules: - http: paths: - path: / pathType: Prefix backend: service: name: service-2048 port: number: 80 サービスの公開 – Layer 7 36 Application Load Balancer

rights reserved. マネージドブロックストレージ 38 StorageClass gp3 io1 sc1 encrypted io1 st1 • Amazon EBS CSI controller は EKS が管理する AWS アカウント上で実行 • Amazon EBS CSI node agent は systemd サービスとして各 Node 上で実行 • Auto Mode は ebs.csi.eks.amazonaws.com Provisioner をサポート • 上記の Provisioner を参照する StorageClass を作成することで利用可能 Amazon EBS CSI Driver apiVersion: storage.k8s.io/v1 kind: StorageClass metadata: name: eks-auto-ebs-csi-sc annotations: storageclass.kubernetes.io/is-default-class: "true" provisioner: ebs.csi.eks.amazonaws.com volumeBindingMode: WaitForFirstConsumer parameters: type: gp3

rights reserved. EKS Auto Mode の CSI ストレージへの準拠 39 EFS 用と S3 用の CSI ドライバーを EKS add-on でインストール可能 • マネージド NodePool (system) にインストール • コントローラー / エージェントは EC2 インスタンス上で実行 § 責任共有モデルの元、お客様にて EKS add-on でインストールと更新を行う EKS add-on 以外の CSI ドライバーもインストール可能 • Amazon FSx for Lustre CSI Driver • Amazon FSx for NetApp ONTAP • Amazon FSx for OpenZFS

rights reserved. EKS Pod Identity を利⽤した Pod の権限管理 41 aws eks create-pod-identity-association ¥ --clusterName my-cluster ¥ --namespace my-namespace ¥ --serviceAccount my-service-account ¥ --roleARN my-iam-role-arn • EKS Auto Mode では、各 Node に EKS Pod Identity Agent がインストール済み • EKS Pods Identity によって、Kubernetes アプリケーションが IAM 権限を取得するための設定が簡素化される • Pod Identity を使⽤するには、Pod Identity Association を作成して、IAM ロールと Kubernetes のサービスアカウントを関連付ける必要がある

rights reserved. Amazon EKS Auto Mode のセキュリティ考慮事項 42 RBAC を使⽤して、あらゆるエンティティの Kubernetes レベルのアクセスを管理 Granular Pod Identity エージェントは、インスタンス上でデフォルトで有効化された状態で起動 IRSAもサポート Integrated Compatible API または ConfigMap を使⽤した認証モードを利⽤可能認証 / 認可

rights reserved. Amazon EKS Auto Mode のセキュリティ考慮事項 43 セキュリティアップデートとパッチは、中断することなく⾃動的に適⽤ Patching updates EKS Auto Mode は Bottlerocket OS を使⽤ SSH アクセスが無効、 SELinux が有効、ルートファイルシステムが読み取り専⽤となっているコンテナ専⽤の OS Bottlerocket Drift detection Node のバージョンドリフト検出によって、コントロールプレーンのバージョンに合わせた Node の更新が⾃動的に実⾏されるインフラストラクチャ / クラスター

rights reserved. Amazon EKS Auto Mode のセキュリティ考慮事項 44 オープンソースの Policy-as-Code (PaC) ソリューションを使⽤可能 Policy as Code Amazon Guard Duty の Kubernetes およびランタイム保護機能は、従来と同じ⽅法で有効化可能 Scanning Pod Security Kubernetes の Pod Security Standards (PSS) と Pod Security Admission (PSA) は、 Namespace レベルで有効化可能ランタイム / Pod

rights reserved. Amazon EKS Auto Mode のオペレーション 45

rights reserved. K8s コントロールプレーンアップグレードを開始 EKS Auto Mode による簡略化されたバージョンアップデート 46 Auto Mode Cluster コンポーネント Cluster コンポーネントの⾃動更新データプレーンの EC2 インスタンスの graceful な更新 Inf2 C6i C6i C6i P4 M6g M6g C6i R7g Amazon EC2 マネージドインスタンス • 最新バージョンの EKS を確認したら、バージョンアップデートを開始可能 • コントロールプレーンがアップグレードされた後に、Auto Mode ではマネージドなクラスターの機能全てが⾃動的に更新され、バージョン間の互換性を確保 • データプレーンは、 Node と Pod の disruption budget を考慮しながら graceful に更新、新しいバージョンの EKS に対応した更新済み AMI を使用して、インスタンスを段階的に入れ替え

rights reserved. データプレーン Node への⾃動パッチ適⽤ 47 AMI のロールアウト（展開）は⾃動的に管理され、セキュア・バイ・デフォルトを実現 Node を常に最新の状態へと保つ EKS コントロールプレーン K8s Data plane v1.30 ami-13021 ami-13021 ami-13033 ami-13033 AMI ami-13033 Node は、disruption budget を考慮し、次の⼊れ替えのタイミングに新しい AMI へと⾃動的に置き換え 2 更新が未適用のまま 21 日が経過すると、強制的に更新が実施される 3 AWS が Auto Mode 用の新しい AMI をリリース 1

rights reserved. Demo 48

rights reserved. 再掲 - お客様の声: Kubernetes の運⽤には多くの “投資” が必要 49 クラスター / アプリケーションを実⾏するためにインフラの管理が必要⾼度な専⾨知識と、継続的な時間（⼈的リソース）の投資が必要リソース使⽤率やコストを最適化するために、適切な EC2 インスタンスを選定・実⾏する本番環境の Kubernetes に必要なプラグインやアドオンをインストール・管理するクラスターのアップグレードや Node の更新を⾏いインフラストラクチャを最新のセキュアな状態にする

rights reserved. 重要なポイント – Amazon EKS Auto Mode 50 コンピューティングリソースを動的に最適化することで、コストを削減し、アプリケーションの可⽤性を向上させ、パフォーマンスを改善 Amazon EKS 上でのモダナイズや新規ワークロードの⽴ち上げにかかる時間を短縮し、アジリティを向上最適な更新と、よりシンプルなユーザーエクスペリエンスにより、運用コストを削減⾃動 OS パッチ、アップデート、セキュリティリスクを抑えたエフェメラルなコンピューティング環境によって、セキュア・バイ・デフォルトを実現ビジネスにとって重要な活動に集中できるようにサポート

rights reserved. リソースベストプラクティスについての解説 AWS による定期的なアップデート New! 機械学習のベストプラクティス EKS Best Practices Guide EKS 利用者のためのトレーニング L200 から L400 までのモジュール New! Developer 向けワークショップ eksworkshop.com EKS Workshop EKS クラスターをデプロイするためのフレームワークとサンプル Terraform と AWS CDK に対応 aws-ia.github.io/terraform-aws-eks-blueprints aws-quickstart.github.io/cdk-eks-blueprints/ EKS Blueprints docs.aws.amazon.com/eks/latest/best-practices

rights reserved. Call to action 52 EKS Auto Mode を試す Amazon EKS のドキュメントを参照して、新規もしくは既存クラスタで Auto Mode を有効にして Karpenter や MNG から移行する方法をキャッチアップできますフィードバックください AWS Containers Roadmap のチケットで EKS Auto Mode に関するご意見をお聞かせくださいチュートリアルを実施 AWS Blog で紹介されているチュートリアルを参照して、Auto Mode を使用してサンプルアプリケーションをデプロイできます

rights reserved. Thank you! 53

Amazon EKS Auto ModeでKubernetesの運用をシンプルにする

Amazon EKS Auto ModeでKubernetesの運用をシンプルにする

More Decks by Shota Suzuki

Other Decks in Technology

Featured

Transcript