Nasazení a správa rozšíření clusteru pro Azure Kubernetes Service (AKS)

Rozšíření clusteru poskytují Azure Resource Manager řízené prostředí pro instalaci a správu životního cyklu služeb, jako jsou Azure Machine Learning nebo aplikace Kubernetes v clusteru AKS. Tato funkce umožňuje:

• Nasazení rozšíření pomocí Azure Resource Manager, včetně rozsáhlého nasazení napříč AKS clustery.
• Správa životního cyklu rozšíření (aktualizace, odstranění) z Azure Resource Manager

Kategorie rozšíření clusteru

Existují dvě kategorie rozšíření clusteru, Core a Standard , které je možné nasadit do clusterů AKS.

Základní rozšíření

Základní rozšíření Kubernetes mají širší dostupnost v regionech, integrovanější prostředí AKS a sladění verzí s verzemi AKS. Azure Backup a monitorování Azure pro kontejnery jsou základní rozšíření.

Nativní prostředí AKS

Základní rozšíření je možné spravovat pomocí az aks příkazu rozhraní příkazového řádku.

az aks extension create \
  --name <core extension name> \
  --extension-type <type> \
  --cluster-name <name> \
  --resource-group <group>

Další informace o příkazech naleznete v tématu az aks.

Zásady vydávání verzí

K dílčím a hlavním upgradům základních rozšíření dochází společně s aktualizacemi podverze a hlavní verze AKS, aby nedocházelo k zásadním změnám a poskytovala lepší spolehlivost.

Migrace doplňku na základní rozšíření

služby Azure Monitor, včetně služeb Container Insights, Managed Prometheus a Application Insights přechází na back-endový model založený na rozšíření clusteru. Tato změna aktualizuje doplňky monitorování AKS na model správy založený na rozšířeních beze změny funkčnosti nebo uživatelského prostředí.

• Tato back-endová migrace není rozruchná a nemění uživatelské prostředí ani nevyžaduje akci zákazníka.

• Na úlohy, shromažďování dat ani monitorování to nemá žádný vliv.

• Azure CLI, portál Azure a všechna klientská prostředí nadále fungují podle očekávání.

Poznámka:

• omezení zásad Azure: Vlastní zásady Azure, které blokují vytváření nebo aktualizace typu prostředku rozšíření clusteru, musí být aktualizovány nebo vyloučeny.
• Zámky prostředků Azure: Zámky prostředků Azure mohou blokovat správu typu prostředku rozšíření clusteru.

Podrobnosti o zmírnění rizik najdete v dokumentaci k řešení potíží .

Standardní rozšíření

Informace o ostatních rozšířeních clusteru najdete v tabulce v Aktuálně dostupná rozšíření a AplikaceKubernetes nasazené prostřednictvím Azure Marketplace jsou typu Standardní rozšíření.

Standardní rozšíření je možné spravovat pomocí příkazu az k8s-extension příkazového rozhraní. Další informace najdete v tématu Deploy a správa rozšíření clusteru pomocí Azure CLI.

az k8s-extension create \
  --name <standard extension name> \
  --extension-type <extension-type> \
  --scope cluster \
  --cluster-name <clusterName> \
  --resource-group <resourceGroupName> \
  --cluster-type managedClusters

Požadavky na rozšíření clusteru

Platforma rozšíření clusteru se podporuje ve všech oblastech, ve kterých je nasazená služba AKS. I když je platforma dostupná ve všech oblastech, zkontrolujte dostupnost jednotlivých rozšíření v jednotlivých oblastech.

Důležité

Ujistěte se, že je váš cluster AKS vytvořen se spravovanou identitou, protože rozšíření clusteru nefungují s clustery založenými na služebním subjektu.

U nových clusterů vytvořených pomocí az aks create je spravovaná identita ve výchozím nastavení nakonfigurovaná. Pro existující clustery založené na služebním principálu, které je potřeba přepnout na spravovanou identitu, jej lze povolit spuštěním az aks update s příznakem --enable-managed-identity. Další informace najdete v tématu Použití spravované identity.

Poznámka:

Pokud jste povolili Microsoft Entra identitu spravovanou podem ve vašem clusteru AKS, nebo zvažujete jeho implementaci, doporučujeme nejprve zkontrolovat přehled identity abyste porozuměli našim doporučením a možnostem, jak nastavit váš cluster pro využití ID úloh Microsoft Entra (Preview). Tato metoda ověřování nahrazuje identitu spravovanou podem (Preview), která se integruje s nativními funkcemi Kubernetes pro federaci se všemi externími zprostředkovateli identity. Open source identita Microsoft Entra spravovaná pomocí podu (verze Preview) v Azure Kubernetes Service byla ukončena k 24. říjnu 2022.

Aktuálně dostupná rozšíření

Podpora rozšíření pro možnosti připravenosti na zabezpečení, identitu, sítě a nasazení se liší podle rozšíření. Následující tabulka obsahuje aktuální stav podpory pro každou funkci. Použijte ho k určení, jestli rozšíření splňuje požadavky vaší organizace na provozní a zásady správného řízení.

• Federal Information Processing Standard (FIPS) 140-3 je standard státní správy USA, který definuje minimální požadavky na zabezpečení kryptografických modulů v produktech a systémech informačních technologií.
• Identita úloh je nezbytná pro zabezpečení správy identit a omezení IMDS pro ochranu před krádeží přihlašovacích údajů.
• Private Link je zásadní pro izolaci sítě, brání neoprávněnému přístupu a umožňuje fungování rozšíření v clusterech AKS v izolované síti.
• Ochrana nasazení vynucuje osvědčené postupy v clusteru Azure Kubernetes Service (AKS).
• Pod Security Standards (PSS) definují tři různé zásady, které široce pokrývají celé spektrum zabezpečení. PSS-Baseline poskytuje minimální omezující zásadu, která brání eskalaci známých oprávnění.

Legenda:

Symbol	Meaning
✅	Podporováno
❌	Nepodporováno
Není k dispozici	Nepovinné

Matice možností rozšíření

Rozšíření	Popis	PSS – směrný plán	Standardy zpracování federálních informací (FIPS)	Zabezpečení nasazení	Identita úloh	Private Link
konfigurace Aplikace Azure	Centralizovaná správa nastavení aplikací a příznaků funkcí	✅	❌	✅	✅	✅
Azure Machine Learning	Trénujte, nasazujte a spravujte úlohy strojového učení v AKS.	❌	❌	❌	❌	✅
Dapr	Běhové prostředí aplikací řízených událostmi pro cloudové úlohy a úlohy na okraji sítě.	✅	❌	❌	✅	✅
Azure Backup pro AKS	Ochrana před zálohováním a obnovením trvalých svazků (Základní rozšíření)	✅	❌	✅	✅	✅
Flux (GitOps)	Konfigurace založená na GitOps a správa nasazení aplikací	✅	❌	✅	❌	✅
Azure Container Storage	Trvalé úložiště pro úlohy AKS	✅	❌	✅	Není k dispozici	❌
Konektor služby	Zjednodušuje zabezpečené připojení mezi úlohami AKS a službami Azure.	✅	❌	✅	✅	Není k dispozici
Virtuální uzly v2 v Azure Container Instances (Preview)	Použití virtuálních uzlů v2 k rozšíření úloh AKS na bezserverové výpočetní prostředky v Azure Container Instances (ACI).	Není k dispozici	✅	❌	✅	✅
Azure Monitor – Přehledy kontejnerů	Shromažďování protokolů a monitorování clusterů a kontejnerů v AKS (Základní rozšíření)	❌	❌	❌	❌	✅
Azure Monitor - Prometheus	Kolekce metrik kompatibilní s Prometheus pro AKS (Základní rozšíření)	✅	❌	✅	Není k dispozici	✅
Azure Monitor – Monitorování aplikací	Monitorování výkonu aplikací a shromažďování telemetrie (Základní rozšíření)	❌	❌	❌	❌	❌
Argo CD	Průběžné doručování založené na GitOps pro aplikace Kubernetes	✅	❌	✅	✅	❌

Můžete také vybrat a nasadit aplikace Kubernetes dostupné prostřednictvím Marketplace.

Poznámka:

Rozšíření clusteru poskytují platformu pro instalaci a správu různých rozšíření v clusteru AKS. Pokud při používání některého z těchto rozšíření dochází k problémům, otevřete lístek podpory u příslušné služby.

Poznámka:

Ne každá funkce je relevantní pro každé rozšíření. Rozšíření označená jako Nepožadují se, nadále dodržují příslušné požadavky na zabezpečení AKS. Stav jednoduše značí, že funkce není potřebná pro zamýšlenou funkčnost rozšíření.

Další kroky

• Naučte se nasazení rozšíření clusterů pomocí Azure CLI.
• Přečtěte si o rozšířeních clusteru.