Amazon EKS Distro

Amazon EKS Distro（EKS-D）は、Amazon EKS が内部で利用しているのと同じ Kubernetes ディストリビューションを、AWS がビルド・テストしてオープンソースとして公開したものです。利用者はこれを任意の環境に自分で展開し、EKS と一貫したバージョン構成やセキュリティパッチを持つ Kubernetes クラスタを運用できます。

解決する課題

Kubernetes をオンプレミスや他クラウドで自前運用しようとすると、アップストリームの Kubernetes 本体に加えて、etcd、CoreDNS、CNI、CSI ドライバといった周辺コンポーネントのバージョン整合性を自分で取り、テストし、セキュリティパッチを追従させる必要があります。これらの組み合わせ検証は手間がかかり、環境ごとに微妙に異なる構成になりがちで、本番障害やセキュリティリスクの温床になります。

EKS Distro は、AWS が EKS 向けに検証済みの Kubernetes とその依存コンポーネントを一つのディストリビューションとしてまとめ、ビルド済みバイナリやコンテナイメージとして配布します。これにより、クラウド上のマネージドな EKS とオンプレミスなどの自己管理クラスタとで、同じソース・同じパッチレベルの Kubernetes を使うことができ、環境差異と検証負荷を減らせます。

主要概念と用語

• EKS Distro（EKS-D）: EKS と同じ Kubernetes ディストリビューションを AWS がビルド・テストして公開したオープンソース成果物。
• アップストリーム Kubernetes: コミュニティが開発する本家の Kubernetes。EKS Distro はこれをベースに依存関係をまとめ直したもの。
• ディストリビューション: Kubernetes 本体と etcd、CoreDNS、CNI、CSI などの関連コンポーネントを、検証済みの組み合わせとしてパッケージしたもの。
• リリースチャネル: 特定の Kubernetes マイナーバージョンに対応する配布系列。バージョンごとに成果物とパッチが提供される。
• マネージドサービスとの違い: EKS はコントロールプレーンを AWS が運用するが、EKS Distro は成果物の提供のみで、構築・運用は利用者が行う。
• Amazon EKS Anywhere: EKS Distro を土台に、オンプレミスでのクラスタ作成・運用をより自動化した別の仕組み。EKS Distro 単体よりも導入が容易になる。
• セキュリティパッチ追従: AWS がディストリビューションに対して脆弱性修正を反映し、利用者は新しい成果物を取得して適用する。

仕様・制限・クォータ

EKS Distro は AWS が運用するサービスではなくオープンソースの配布物であるため、サービスクォータやコントロールプレーンの料金といった概念は基本的に存在しません。提供されるのは、特定の Kubernetes マイナーバージョンに対応したビルド済みバイナリ、コンテナイメージ、および検証済みの依存コンポーネント群です。

サポート対象の Kubernetes バージョンは、おおむね EKS のサポートサイクルに沿った範囲で複数のマイナーバージョンが並行して提供されます。各バージョンには提供期間があり、期間が過ぎるとそのバージョン向けのパッチ提供が終了するため、利用者は計画的にアップグレードする必要があります。具体的な対象バージョンや提供期間は変動するため、最新の公式情報で確認してください。

内部の仕組み

EKS Distro は、アップストリームの Kubernetes ソースに対して AWS がビルドとテストを行い、Kubernetes のコアコンポーネント（API サーバー、コントローラマネージャ、スケジューラ、kubelet など）に加え、etcd、CoreDNS、CNI プラグイン、CSI ドライバといった周辺コンポーネントを、相互に検証済みのバージョン組み合わせとして提供します。

利用者はこれらの成果物を取得し、自分で用意したインフラ（オンプレミスのサーバー、他クラウドの仮想マシンなど）の上にコントロールプレーンとデータプレーンを構築します。AWS は成果物の提供と、対象バージョンへのセキュリティパッチの反映を担いますが、それらを実際にクラスタへ展開・適用する作業は利用者側のオペレーションです。EKS のマネージドな仕組みと違い、API サーバーや etcd の高可用配置、証明書管理、ノードの登録といった構築・運用は利用者が設計します。

設計パターン / ベストプラクティス

• 用途を見極める。フルに自前運用したい、または既存の自動化基盤に組み込みたい場合は EKS Distro を、オンプレ運用を簡素化したい場合は EKS Anywhere を、クラウドでマネージドに運用したい場合は EKS を選ぶ。
• クラウド上の EKS とオンプレの自己管理クラスタを併用する場合、同じ Kubernetes バージョン系列に揃え、マニフェストやツールチェーンの一貫性を保つ。
• コントロールプレーンを複数ノードで冗長化し、etcd の定期バックアップとリストア手順を整備しておく。
• セキュリティパッチがリリースされたら速やかに新しい成果物を取得して適用できるよう、アップグレード手順を自動化しておく。
• 構成管理ツールや IaC で構築手順をコード化し、環境間で再現性のあるクラスタを作れるようにする。

運用・監視

EKS Distro はマネージドな可観測性機能を内蔵していないため、監視やログ集約は利用者が構成します。一般的には、ノードやポッドのメトリクスをオープンソースのモニタリングスタックで収集し、コントロールプレーンと監査のログを集約基盤に送る構成を自前で組み立てます。クラスタの健全性、etcd の状態、証明書の有効期限などを継続的に監視することが重要です。

アップグレード運用では、対象バージョンの新しい成果物が公開されたら、まずコントロールプレーンを更新し、続いてデータプレーンのノードを順次入れ替える流れが基本です。ノード入れ替え時はポッドの退避と再スケジュールが発生するため、レプリカ数や PodDisruptionBudget を適切に設定し、可用性を保ちながら更新します。マネージドサービスのような自動アップグレードはないため、手順の自動化と事前検証が運用品質を左右します。

コスト

EKS Distro 自体はオープンソースの配布物であり、ディストリビューションの利用そのものに対する AWS の料金は発生しません。コストの中心は、クラスタを動かすために利用者が用意するインフラ（オンプレミスのハードウェア、他クラウドの仮想マシン、ネットワーク、ストレージなど）と、それを構築・運用する人的コストです。

マネージドな EKS ではコントロールプレーンに時間課金が発生しますが、EKS Distro ではその課金がない代わりに、コントロールプレーンの構築・冗長化・運用を自分で行うコストを負担します。総コストを評価する際は、ライセンス費用ではなくインフラ費用と運用工数の比較が中心になる点に注意してください。

セキュリティ

EKS Distro では、AWS が提供するのはテスト済みの成果物とセキュリティパッチまでで、それを適用し、クラスタを安全に構成・運用する責任は利用者にあります。マネージドサービスのように基盤の保護を AWS が担う範囲は限定的で、コントロールプレーンの保護、認証・認可（RBAC）の設計、ネットワーク分離、ノードの堅牢化はすべて利用者の手で実施します。

セキュリティパッチが公開されたら速やかに取得して適用できる体制を整え、etcd の暗号化やシークレットの保護、API サーバーへのアクセス制限、NetworkPolicy による東西通信の制御といった多層防御を自前で構成します。コンテナイメージは信頼できるレジストリから取得し、脆弱性スキャンを通すべきです。AWS の管理が及ばない分、パッチ追従とセキュアな構成の維持が一層重要になります。

関連サービス・比較

最もよく比較されるのはマネージドサービスである Amazon EKS です。両者は同じ Kubernetes ディストリビューションを土台にしますが、運用責任の分担が大きく異なります。EKS はコントロールプレーンを AWS が運用するのに対し、EKS Distro は成果物の提供にとどまり、構築・運用は利用者が担います。

ハンズオン / CLI例

EKS Distro はオープンソースの配布物のため、aws CLI で直接クラスタを作るのではなく、公開された成果物（コンテナイメージなど）を取得して利用します。以下は ECR Public のリポジトリ情報を確認し、イメージを取得する例です。

# ECR Public にログイン（パブリックギャラリーは us-east-1 を使用）
aws ecr-public get-login-password --region us-east-1 \
  | docker login --username AWS --password-stdin public.ecr.aws

# EKS Distro 関連のパブリックリポジトリ一覧を確認
aws ecr-public describe-repositories --region us-east-1

# 取得したいイメージを pull（タグは対象バージョンに合わせて指定）
docker pull public.ecr.aws/eks-distro/kubernetes/pause:latest