Použití spravovaných jmenných prostorů ve službě Azure Kubernetes Service (AKS)

Platí pro: ✔️ AKS Automatic ✔️ AKS Standard

Spravované obory názvů ve službě Azure Kubernetes Service (AKS) poskytují způsob, jak logicky izolovat úlohy a týmy v rámci clusteru. Tato funkce umožňuje správcům vynucovat kvóty prostředků, používat zásady sítě a spravovat řízení přístupu na úrovni oboru názvů. Podrobný přehled spravovaných oborů názvů najdete v přehledu spravovaných oborů názvů.

Než začnete

Požadavky

Předpoklad Poznámky
Azure CLI 2.80.0 nebo novější nainstalován. Pokud chcete zjistit verzi CLI, spusťte az --version. Pokud potřebujete instalovat nebo upgradovat, podívejte se na Install Azure CLI.
Verze rozhraní API AKS 2025-09-01 nebo novější.
Požadovaná oprávnění Microsoft.ContainerService/managedClusters/managedNamespaces/* nebo Azure Kubernetes Service Namespace Contributor předdefinovaná role. Microsoft.Resources/deployments/* ve skupině prostředků obsahující cluster. Další informace najdete v tématu Předdefinované role spravovaných oborů názvů.

Omezení

  • Pokus o zapojení systémových oborů názvů, jako jsou kube-system, app-routing-system, istio-system, gatekeeper-system atd., mezi spravované obory názvů, není povolen.
  • Pokud je obor názvů spravovaný, změny v něm jsou blokovány rozhraním Kubernetes API.
  • Výpis stávajících názvových prostor k převedení v portálu nefunguje s privátními clustery. Můžete přidat nové obory názvů.

Vytvořte spravovaný obor názvů v clusteru a přiřaďte uživatele

Poznámka:

Při vytváření spravovaného oboru názvů se v clusteru nainstaluje komponenta, která shodí obor názvů se stavem v Azure Resource Manageru. Tato komponenta blokuje změny spravovaných polí a prostředků z rozhraní API Kubernetes a zajišťuje konzistenci s požadovanou konfigurací.

Následující příklad Bicep ukazuje, jak vytvořit spravovaný obor názvů jako podsourc spravovaného clusteru. Nezapomeňte vybrat odpovídající hodnotu pro defaultNetworkPolicy, adoptionPolicya deletePolicy. Další informace o tom, co tyto parametry znamenají, najdete v přehledu spravovaných oborů názvů.

resource existingCluster 'Microsoft.ContainerService/managedClusters@2024-03-01' existing = {
  name: 'contoso-cluster'
}

resource managedNamespace 'Microsoft.ContainerService/managedClusters/managedNamespaces@2025-09-01' = {
  parent: existingCluster
  name: 'retail-team'
  location: location
  properties: {
    defaultResourceQuota: {
      cpuRequest: '1000m'
      cpuLimit: '2000m'
      memoryRequest: '512Mi'
      memoryLimit: '1Gi'
    }
    defaultNetworkPolicy: {
      ingress: 'AllowSameNamespace'
      egress: 'AllowAll'
    }
    adoptionPolicy: 'IfIdentical'
    deletePolicy: 'Keep'
    labels: {
      environment: 'dev'
    }
    annotations: {
      owner: 'retail'
    }
  }
}

Uložte soubor Bicep managedNamespace.bicep do místního počítače.

Nasaďte soubor Bicep pomocí Azure CLI.

az deployment group create --resource-group <resource-group> --template-file managedNamespace.bicep

Definování proměnných

Definujte následující proměnné, které se mají použít v následujících krocích.

RG_NAME=cluster-rg
CLUSTER_NAME=contoso-cluster
NAMESPACE_NAME=retail-team
LABELS="environment=dev"
ANNOTATIONS="owner=retail"

Vytvořte spravovaný obor názvů

Pokud chcete přizpůsobit konfiguraci, mají spravované obory názvů různé možnosti parametrů, ze kterých si můžete během vytváření vybrat. Nezapomeňte vybrat odpovídající hodnotu pro ingress-network-policy, egress-network-policy, adoption-policya delete-policy. Další informace o tom, co tyto parametry znamenají, najdete v přehledu spravovaných oborů názvů.

az aks namespace add \
    --name ${NAMESPACE_NAME} \
    --cluster-name ${CLUSTER_NAME} \
    --resource-group ${RG_NAME} \
    --cpu-request 1000m \
    --cpu-limit 2000m \
    --memory-request 512Mi \
    --memory-limit 1Gi \
    --ingress-policy [AllowSameNamespace|AllowAll|DenyAll] \
    --egress-policy [AllowSameNamespace|AllowAll|DenyAll] \
    --adoption-policy [Never|IfIdentical|Always] \
    --delete-policy [Keep|Delete] \
    --labels ${LABELS} \
    --annotations ${ANNOTATIONS}

Přiřaďte roli

Po vytvoření oboru názvů můžete přiřadit jednu z předdefinovaných rolí pro řídicí rovinu a rovinu dat.

ASSIGNEE="user@contoso.com"
NAMESPACE_ID=$(az aks namespace show --name ${NAMESPACE_NAME} --cluster-name ${CLUSTER_NAME} --resource-group ${RG_NAME} --query id -o tsv)

Přiřaďte roli v řídicí rovině, abyste mohli zobrazit spravovaný obor názvů v portálu, ve výstupu Azure CLI a v Azure Resource Manageru. Tato role také umožňuje uživateli načíst přihlašovací údaje pro připojení k tomuto namespace.

az role assignment create \
  --assignee ${ASSIGNEE} \
  --role "Azure Kubernetes Service Namespace User" \
  --scope ${NAMESPACE_ID}

Přiřaďte roli roviny dat, aby bylo možné získat přístup k vytváření prostředků v rámci oboru názvů pomocí rozhraní API Kubernetes.

az role assignment create \
  --assignee ${ASSIGNEE} \
  --role "Azure Kubernetes Service RBAC Writer" \
  --scope ${NAMESPACE_ID}
  1. Přihlaste se do Azure Portalu.
  2. Na domovské stránce webu Azure Portal vyberte Vytvořit prostředek.
  3. V části Kategorie vyberte Spravované obory názvů Kubernetes.
  4. Na kartě Základy v části Podrobnosti projektu nakonfigurujte následující nastavení:
    1. Vyberte cílový cluster, na kterém chcete vytvořit obor názvů.
    2. Pokud vytváříte nový obor názvů, ponechte výchozí vytvořit nový. V opačném případě zvolte změnit existující na spravovaný pro převod existujícího oboru názvů.
  5. Nakonfigurujte zásady sítě, které se použijí na obor názvů.
  6. Nakonfigurujte požadavky a omezení prostředků pro daný obor názvů.
  7. Vyberte členy (uživatele nebo skupiny) a jejich roli.
    1. Přiřaďte roli uživatele oboru názvů služby Azure Kubernetes Service , abyste jim poskytli přístup k zobrazení spravovaného oboru názvů na portálu, výstupu Azure CLI a Azure Resource Manageru. Tato role také umožňuje uživateli načíst přihlašovací údaje pro připojení k tomuto namespace.
    2. Přiřaďte roli Azure Kubernetes Service RBAC Writer, která jim poskytne přístup k vytváření prostředků v oboru názvů pomocí rozhraní Kubernetes API.
  8. Vyberte možnost Zkontrolovat a vytvořit pro spuštění ověřování konfigurace. Po dokončení ověření vyberte Vytvořit.

Seznam spravovaných namespace

Spravované obory názvů můžete zobrazit na různých úrovních pomocí Azure CLI.

Úroveň předplatného

Spusťte následující příkaz ke zobrazení seznamu všech spravovaných jmenných prostorů v předplatném.

az aks namespace list --subscription <subscription-id>

Úroveň skupiny prostředků

Spusťte následující příkaz pro zobrazení všech spravovaných jmenných prostorů v konkrétní skupině prostředků.

az aks namespace list --resource-group <rg-name>

Úroveň clusteru

Pomocí následujícího příkazu zobrazte seznam všech spravovaných jmenných prostorů v konkrétním clusteru.

az aks namespace list --resource-group <rg-name> --cluster-name <cluster-name>

Seznam spravovaných namespace

Spravované obory názvů můžete zobrazit na různých úrovních pomocí Azure CLI.

Úroveň předplatného

Spusťte následující příkaz ke zobrazení seznamu všech spravovaných jmenných prostorů v předplatném.

az aks namespace list --subscription <subscription-id>

Úroveň skupiny prostředků

Spusťte následující příkaz pro zobrazení všech spravovaných jmenných prostorů v konkrétní skupině prostředků.

az aks namespace list --resource-group <rg-name>

Úroveň clusteru

Pomocí následujícího příkazu zobrazte seznam všech spravovaných jmenných prostorů v konkrétním clusteru.

az aks namespace list --resource-group <rg-name> --cluster-name <cluster-name>

Připojení ke clusteru

Přihlašovací údaje pro připojení k namespacu načtete pomocí následujícího příkazu.

az aks namespace get-credentials --name <namespace-name> --resource-group <rg-name> --cluster-name <cluster-name>

Připojení ke clusteru

Přihlašovací údaje pro připojení k namespacu načtete pomocí následujícího příkazu.

az aks namespace get-credentials --name <namespace-name> --resource-group <rg-name> --cluster-name <cluster-name>

Další kroky

Tento článek se zaměřuje na použití funkce spravovaných oborů názvů k logickému oddělení týmů a aplikací. Můžete dále prozkoumat další mantinely a osvědčené postupy, které se použijí prostřednictvím bezpečnostních opatření nasazení.

  • Poslední aktualizace v