帮助改进此页面

要帮助改进本用户指南，请选择位于每个页面右侧窗格中的在 GitHub 上编辑此页面链接。

适用于 Amazon EKS 集群的备用 CNI 插件

适用于 Kubernetes 的 Amazon VPC CNI 插件是使用 Amazon EC2 节点的 Amazon EKS 唯一支持的 CNI 插件。对于 Amazon EKS 混合节点功能，Amazon EKS 支持 Cilium 和 Calico 的核心功能。Amazon EKS 运行上游 Kubernetes，因此您可以将备选的兼容 CNI 插件安装到集群中的 Amazon EC2 节点。如果集群中包含 Fargate 节点，则适用于 Kubernetes 的 Amazon VPC CNI 插件已在 Fargate 节点上。这是唯一可与 Fargate 节点结合使用的 CNI 插件。尝试在 Fargate 节点上安装备用 CNI 插件失败。

如果您计划在 Amazon EC2 节点上使用备用 CNI 插件，我们建议您获得插件的商业支持，或者利用内部专业知识对 CNI 插件项目进行故障排除并提供修复。

Amazon EKS 与为备选的兼容 CNI 插件提供支持的合作伙伴网络保持着合作关系。有关版本、资格和所执行测试的详细信息，请参阅以下合作伙伴的文档。

Amazon EKS 旨在为您提供广泛的选项来涵盖所有使用案例。

可选的兼容网络策略插件

Calico 是一种广泛采用的容器网络和安全解决方案。在 EKS 上使用 Calico 可为 EKS 集群提供完全合规的网络策略实施。此外，也可选择使用 Calico 联网，便于保护底层 VPC 的 IP 地址。Calico Cloud 增强了 Calico Open Source 的功能，因此可提供更高的安全性与可观测性。

流向和来自具有关联安全组的 Pod 的流量不受 Calico 网络策略执行的限制，并且仅受限于 Amazon VPC 安全组执行。

如果使用 Calico 网络策略实施，则建议您将环境变量 ANNOTATE_POD_IP 设置为 true，以避免出现 Kubernetes 的已知问题。要使用此功能，必须将容器组（pod）的 patch 权限添加到 aws-node ClusterRole。请注意，向 aws-node DaemonSet 添加 patch 权限会提高插件的安全范围。有关更多信息，请参阅 GitHub 上的 VPC CNI 存储库中的 ANNOTATE_POD_IP。

Amazon EKS 自动模式的注意事项

Amazon EKS 自动模式不支持备用 CNI 插件或网络策略插件。有关更多信息，请参阅 使用 EKS 自动模式实现集群基础设施自动化。