Přehled automatických clusterů služby Azure Kubernetes Service (AKS) se spravovanými fondy systémových uzlů

Tento přehled vysvětluje funkci fondů uzlů spravovaného systému, která je ve výchozím nastavení povolená u nových automatických clusterů AKS a je dostupná jenom v AKS Automatic. Fondy uzlů spravovaného systému umožňují soustředit se na aplikace, zatímco AKS spravuje základní infrastrukturu, včetně fondů systémových uzlů, za účelem optimalizace výkonu a spolehlivosti.

Informace o vytvoření clusteru AKS Automatic se spravovanými fondy systémových uzlů najdete v rychlém startu Rychlý start: Vytvoření clusteru Azure Kubernetes Service (AKS) Automatic.

Klíčové funkce a výhody

Funkce fondů uzlů spravovaného systému umožňuje soustředit se na aplikace, zatímco AKS Automatic zajišťuje, že základní infrastruktura je optimalizovaná pro výkon a spolehlivost. Mezi klíčové funkce a výhody patří:

• Žádné provozní režie: AKS zřizuje, upgraduje a škáluje fondy systémových uzlů automaticky a eliminuje potřebu ručního zásahu.
• Zjednodušené vytváření clusteru: Nemusíte sledovat ani přidělovat kvóty výpočetních prostředků pro fondy systémových uzlů, protože AKS za vás zpracovává kvóty.
• Nákladová efektivita: Virtuální počítače běžící na fondech systémových uzlů se neúčtují zákaznickým předplatným, což vám umožní optimalizovat náklady při zachování vysokého výkonu.
• Vylepšený výkon: Izolace systémových úloh od zákaznických aplikací zlepšuje spolehlivost a zajišťuje konzistentní výkon založený na smlouvách o úrovni služeb (SLA).
• Ve výchozím nastavení spravovaný fond systémových uzlů: Nové clustery AKS Automatic ve výchozím nastavení používají spravované fondy systémových uzlů. Pokud máte existující automatický cluster AKS bez fondů uzlů spravovaného systému, můžete cluster migrovat tak, aby používal fondy uzlů spravovaného systému ve verzi Preview.
• Automatické škálování a oprava uzlu: Automatické škálování clusteru je povolené pro systémové uzly ve fondu spravovaných systémových uzlů. Automatická oprava uzlu je povolená pro systémové uzly ve fondu spravovaných systémových uzlů.

Důležité

Počínaje AKS 1.36 budou mít nové clustery AKS Automatic ve výchozím nastavení povolené rozhraní Kubernetes Gateway API pomocí doplňku směrování aplikací místo spravovaného ingressu NGINX pomocí doplňku směrování aplikací kvůli ukončení Ingress NGINX.

Stávající automatické clustery nejsou ovlivněné, ale měly by začít s migrací do rozhraní API brány Kubernetes prostřednictvím doplňku pro směrování aplikací.

Omezení

Pro automatické clustery AKS platí následující omezení:

• AKS Automatic je obecně k dispozici v následujících oblastech: australiacentral, australiaeast, australiasoutheast, belgiumcentral, austriaeast, brazilsouth, canadacentral, canadaeast, centralindia, centralus, chilecentral, denmarkeast, eastasia, eastus, eastus2, francecentral, germanywestcentral, indonesiacentral, israelcentral, italynorth, japaneast, japanwest, koreacentral, koreasouth, malaysiawest, mexicocentral, newzealandnorth, northcentralus, northeurope, norwayeast, polandcentral, southafricanorth, southcentralus, southeastasia, southindia, spaincentral, swedencentral, switzerlandnorth, uaenorth, uksouth, ukwest, westcentralus, westeurope, westus, westus2, westus3.
• Nové automatické clustery AKS mají ve výchozím nastavení povolené spravované fondy systémových uzlů a LocalDNS. Clustery AKS Automatic nemůžete v žádné oblasti vytvářet bez spravovaných systémových fondů uzlů.
• Cluster AKS Automatic má předkonfigurované uzamčení skupiny prostředků uzlu, které neumožňuje provádět změny ve skupině prostředků MC_, a tím zabraňuje vytváření propojení virtuální sítě ve výchozí privátní zóně DNS. V případě scénářů pro různé virtuální sítě nebo vlastní DNS použijte vlastní síť a privátní DNS podle Vytvoření privátního Azure Kubernetes Service (AKS) automatického clusteru ve vlastní virtuální síti.
• Azure CLI je vyžadována verze 2.86.0 nebo novější. Verzi najdete spuštěním az --version příkazu. Pokud potřebujete instalovat nebo upgradovat, podívejte se na Install Azure CLI.
• Následující rozšíření nejsou podporovaná:
  • Dapr
  • Azure Machine Learning
• Uzly Windows nejsou podporované.
• Migrace ze základní skladové položky AKS na automatickou skladovou položku není podporovaná.
• Migrace z existujícího automatického clusteru AKS bez fondů uzlů spravovaného systému do AKS Automaticky s fondy uzlů spravovaného systému je podporována ve verzi Preview v oblastech, kde jsou obecně dostupné fondy spravovaných systémových uzlů. Migrace z AKS Automatic se spravovanými fondy systémových uzlů zpět na AKS Automatic bez spravovaných fondů systémových uzlů není podporována.

Komponenty fondů uzlů spravovaného systému

Následující tabulka popisuje komponenty spravované službou AKS ve fondech uzlů spravovaného systému. AKS zpracovává vytváření, upgrade a škálování systémových uzlů, ve kterých se tyto komponenty spouštějí.

Součást	Namespace	Deployment
Identita úloh	kube-system	azure-wi-webhook-controller-manager
CoreDNS	kube-system	coredns, coredns-autoscaler
Mazání	kube-system	eraser-controller-manager
Automatické škálování řízené událostmi Kubernetes (KEDA)	kube-system	keda-admission-webhooks, keda-operatorkeda-operator-metrics-apiserver
Konnectivity	kube-system	konnectivity-agent, konnectivity-agent-autoscaler
Metrický server	kube-system	metrics-server
Vertikální automatické škálování podů (VPA)	kube-system	vpa-admission-controller, vpa-recommendervpa-updater

Další doplňky a rozšíření běží na uzlu aks-system-surge, přičemž škálování je řešeno automatickým zřizováním uzlů (NAP). DaemonSets zprovoznit na spravovaných fondech uzlů systému i uzlech v rámci vašeho předplatného, včetně aks-system-surge uzlů.

Migrace existujícího automatického clusteru AKS do fondů uzlů spravovaného systému (Preview)

AKS Automatic podporuje migraci verze Preview z fondů nespravovaných systémových uzlů do fondů spravovaných systémových uzlů v oblastech, kde jsou fondy spravovaných systémových uzlů obecně dostupné. Pokud chcete použít tuto verzi Preview, zaregistrujte ve svém předplatném příznak funkce Microsoft.ContainerService/NonHoboToHoboConversionPreview a pak aktualizujte cluster pomocí parametru --enable-hosted-system.

az feature register \
    --namespace Microsoft.ContainerService \
    --name NonHoboToHoboConversionPreview

Pomocí příkazu zkontrolujte stav az feature show registrace:

az feature show \
    --namespace Microsoft.ContainerService \
    --name NonHoboToHoboConversionPreview \
    --query properties.state \
    --output tsv

Počkejte, až se příkaz vrátí Registered , než budete pokračovat. Potom aktualizujte registraci poskytovatele prostředků Microsoft.ContainerService.

az provider register --namespace Microsoft.ContainerService

Pokud chcete migrovat existující automatický cluster AKS, který používá sítě spravované službou AKS, spusťte az aks update příkaz s parametrem --enable-hosted-system :

az aks update \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --enable-hosted-system

Pro automatický cluster AKS, který používá vlastní virtuální síť, zadejte také podsíť pro fond uzlů spravovaného systému. Podsíť systémového uzlu musí být ve stejné virtuální síti a oblasti jako cluster, musí mít alespoň /26 a nesmí být delegována jiné službě. Parametr --node-subnet-id je volitelný. Pokud ji nezadáte, AKS použije existující podsíť fondu systémových uzlů.

az aks update \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --enable-hosted-system \
    --system-node-subnet-id <system-node-subnet-resource-id> \
    --node-subnet-id <node-subnet-resource-id>

Další informace najdete v tématu Migrace mezi automatickými clustery AKS a základními clustery AKS.

Omezení zabezpečení pro pooly uzlů řízeného systému

Vzhledem k tomu, že AKS spravuje fond systémových uzlů vaším jménem, AKS používá více vrstev omezení zabezpečení prostřednictvím předdefinovaných zásad, standardních standardů zabezpečení podů a zásad doby přístupu. Tato omezení pomáhají chránit komponenty spravovaného systému a zachovat hranici mezi úlohami zákazníků a infrastrukturou spravovanou službou AKS.

Omezení	Co AKS zabraňuje	Proč je to důležité
Změny spravovaných systémových prostředků	Vytváření, aktualizace nebo odstraňování prostředků v systémových oborech názvů spravovaných AKS.	Pomáhá chránit komponenty spravované službou AKS před změnami iniciované zákazníkem.
Interaktivní přístup k podům systému	Použití podu exec, attachnebo port-forward proti podům spravovaným systémem AKS	Pomáhá zabránit přímému přístupu k systémovým úlohám spuštěným ve fondech spravovaných systémových uzlů.
Změny uzlů spravovaného systému	Úprava uzlů spravovaného systému nebo označení běžných uzlů jako spravovaných systémových uzlů	Pomáhá udržovat hranici mezi uzly spravovanými zákazníky a systémovými uzly spravovanými AKS.
Umístění úloh na uzlech spravovaného systému	Plánování nebo spouštění zákaznických úloh na systémových uzlech spravovaných AKS, včetně úloh s rezervovanými tolerancemi, obecnými zástupnými tolerancemi nebo vlastními plánovači.	Pomáhá zabránit tomu, aby úlohy zákazníků běžely na vyhrazených systémových uzlech.
Cesty přístupu k privilegovanému clusteru	Udělení přístupu k citlivým oprávněním proxy uzlu	Snižuje cesty, které by mohly obejít normální ovládací prvky nebo eskalovat přístup k prostředkům clusteru.
Zneužití chráněné identity	Zosobnění identit chráněných účtů AKS, Kubernetes nebo systémových služeb	Pomáhá zabránit volajícím, aby vystupovali pod identitami důvěryhodných systémových komponent.
Změny řízení zabezpečení spravované službou AKS	Úprava zásad zabezpečení a řízení přístupu spravovaných službou AKS	Pomáhá zabránit oslabování nebo zakázání ovládacích prvků, které chrání fondy spravovaných systémových uzlů.

Nepodporované operace rozhraní API AKS

Následující operace rozhraní API AKS nejsou podporovány:

• Aktualizace fondu uzlů spravovaného systému.
• Odstranění fondu uzlů spravovaného systémem
• Zastavení clusteru s uzlovým fondem spravovaného systému.
• Výpis agentních fondů v clusteru nezahrnuje uzlové fondy spravovaného systému.

Další kroky

Vytvoření automatického clusteru Azure Kubernetes Service (AKS)