Pravidla odchozí sítě a plně kvalifikovaného názvu domény pro clustery Azure Kubernetes Service (AKS)
Tento článek obsahuje nezbytné podrobnosti, které umožňují zabezpečit odchozí provoz ze služby Azure Kubernetes Service (AKS). Obsahuje požadavky na cluster pro základní nasazení AKS a další požadavky na volitelné doplňky a funkce. Tyto informace můžete použít na jakoukoli metodu omezení odchozích přenosů nebo zařízení.
Pokud chcete zobrazit ukázkovou konfiguraci pomocí služby Azure Firewall, přejděte na téma Řízení výchozího provozu pomocí služby Azure Firewall v AKS.
Pozadí
Clustery AKS se nasazují ve virtuální síti. Tuto síť můžete buď přizpůsobit a předem nakonfigurovat, nebo ji můžete vytvořit a spravovat pomocí AKS. V obou případech má cluster odchozí nebo odchozí závislosti na službách mimo virtuální síť.
Pro účely správy a provozu musí uzly v clusteru AKS přistupovat k určitým portům a plně kvalifikovaným názvům domén (FQDN). Tyto koncové body jsou potřeba ke komunikaci uzlů se serverem rozhraní API nebo ke stažení a instalaci základních komponent clusteru Kubernetes a aktualizací zabezpečení uzlů. Cluster například potřebuje vyžádat image základního systémového kontejneru ze služby Microsoft Container Registry (MCR).
Odchozí závislosti AKS jsou téměř zcela definovány plně kvalifikovanými názvy domén, které za sebou nemají statické adresy. Nedostatek statických adres znamená, že nemůžete použít skupiny zabezpečení sítě (NSG) k uzamčení odchozího provozu z clusteru AKS.
Clustery AKS mají ve výchozím nastavení neomezený odchozí přístup k internetu. Tato úroveň síťového přístupu umožňuje uzlům a službám, které spouštíte, přistupovat k externím prostředkům podle potřeby. Pokud chcete omezit odchozí provoz, musí být k údržbě úloh údržby clusteru přístupný omezený počet portů a adres. Nejjednodušším řešením zabezpečení odchozích adres je použití zařízení brány firewall, které může řídit odchozí provoz na základě názvů domén. Azure Firewall může omezit odchozí provoz HTTP a HTTPS na základě plně kvalifikovaného názvu domény cíle. Můžete také nakonfigurovat upřednostňovaná pravidla brány firewall a zabezpečení tak, aby povolovala tyto požadované porty a adresy.
Důležité
Tento dokument popisuje, jak uzamknout provoz, který opouští podsíť AKS. AKS nemá ve výchozím nastavení žádné požadavky na příchozí přenos dat. Blokování provozu interní podsítě pomocí skupin zabezpečení sítě (NSG) a bran firewall se nepodporuje. Pokud chcete řídit a blokovat provoz v rámci clusteru, přečtěte si téma Zabezpečení provozu mezi pody pomocí zásad sítě v AKS.
Požadovaná pravidla odchozí sítě a plně kvalifikované názvy domén pro clustery AKS
Pro cluster AKS se vyžadují následující pravidla sítě a plně kvalifikovaného názvu domény nebo aplikace. Můžete je použít, pokud chcete nakonfigurovat jiné řešení než Azure Firewall.
- Závislosti IP adres jsou určené pro provoz mimo HTTP/S (provoz TCP i UDP).
- Koncové body HTTP/HTTPS plně kvalifikovaného názvu domény se dají umístit do vašeho zařízení brány firewall.
- Koncové body HTTP/HTTPS se zástupnými čísly jsou závislosti, které se můžou v clusteru AKS lišit na základě řady kvalifikátorů.
- AKS používá kontroler přístupu k vložení plně kvalifikovaného názvu domény jako proměnné prostředí do všech nasazení v rámci kube-system a gatekeeper-system. Tím zajistíte, že veškerá systémová komunikace mezi uzly a serverem rozhraní API používá plně kvalifikovaný název domény serveru API, a ne IP adresu serveru rozhraní API. Stejné chování můžete získat u vlastních podů v libovolném oboru názvů anotací specifikace podu s názvem
kubernetes.azure.com/set-kube-service-host-fqdn. Pokud je tato poznámka k dispozici, AKS nastaví proměnnou KUBERNETES_SERVICE_HOST na název domény serveru rozhraní API místo IP adresy služby v clusteru. To je užitečné v případech, kdy výchozí přenos dat clusteru probíhá přes bránu firewall vrstvy 7. - Pokud máte aplikaci nebo řešení, které potřebuje komunikovat se serverem rozhraní API, musíte buď přidat další síťové pravidlo, které povolí komunikaci TCP na port 443 IPadresy serveru ROZHRANÍ API NEBO , pokud máte nakonfigurovanou bránu firewall vrstvy 7 tak, aby povolovala provoz do názvu domény serveru API, který je nastavený
kubernetes.azure.com/set-kube-service-host-fqdnve specifikacích podů. - Pokud dojde k operaci údržby, může se ip adresa serveru API změnit ve výjimečných případech. Operace plánované údržby, které můžou změnit IP adresu serveru rozhraní API, se vždy předávají předem.
- Za určitých okolností se může stát, že se vyžaduje provoz směrem k md-*.blob.storage.azure.net. Tato závislost je způsobená některými interními mechanismy azure Spravované disky. Můžete také chtít použít značku služby Storage.
Globální pravidla sítě Azure
| Cílový koncový bod | Protokol | Port | Používání |
|---|---|---|---|
*:1194 Nebo ServiceTag - AzureCloud.<Region>:1194 Nebo Regionální identifikátory CIDR - RegionCIDRs:1194 Nebo APIServerPublicIP:1194 (only known after cluster creation) |
UDP | 1194 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. To se nevyžaduje pro privátní clustery ani pro clustery s povoleným agentem konnectivity. |
*:9000 Nebo ServiceTag - AzureCloud.<Region>:9000 Nebo Regionální identifikátory CIDR - RegionCIDRs:9000 Nebo APIServerPublicIP:9000 (only known after cluster creation) |
TCP | 9000 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. To se nevyžaduje pro privátní clustery ani pro clustery s povoleným agentem konnectivity. |
*:123 nebo ntp.ubuntu.com:123 (pokud používáte síťová pravidla služby Azure Firewall) |
UDP | 123 | Vyžaduje se synchronizace času protokolu NTP (Network Time Protocol) na linuxových uzlech. To se nevyžaduje pro uzly zřízené po březnu 2021. |
CustomDNSIP:53 (if using custom DNS servers) |
UDP | 53 | Pokud používáte vlastní servery DNS, musíte zajistit, aby byly přístupné uzly clusteru. |
APIServerPublicIP:443 (if running pods/deployments that access the API Server) |
TCP | 443 | Vyžaduje se, pokud spouštíte pody nebo nasazení, které přistupují k serveru API, tyto pody/nasazení budou používat IP adresu rozhraní API. Tento port není nutný pro privátní clustery. |
Globální požadovaný plně kvalifikovaný název domény Azure / pravidla aplikací
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
*.hcp.<location>.azmk8s.io |
HTTPS:443 |
Vyžaduje se pro komunikaci uzlu <–> server API. > Umístění nahraďte <oblastí, ve které je nasazený cluster AKS. To se vyžaduje pro clustery s povoleným agentem konnectivity. Konnectivity také ke komunikaci mezi agentem a serverem používá protokol ALPN (Application-Layer Protocol Negotiation). Blokování nebo přepsání rozšíření ALPN způsobí selhání. To se nevyžaduje pro privátní clustery. |
mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro přístup k imagím ve službě Microsoft Container Registry (MCR). Tento registr obsahuje obrázky a grafy první strany (například coreDNS atd.). Tyto image se vyžadují pro správné vytvoření a fungování clusteru, včetně operací škálování a upgradu. |
*.data.mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro úložiště MCR zálohované sítí pro doručování obsahu Azure (CDN). |
management.azure.com |
HTTPS:443 |
Vyžaduje se pro operace Kubernetes s rozhraním Azure API. |
login.microsoftonline.com |
HTTPS:443 |
Vyžaduje se pro ověřování Microsoft Entra. |
packages.microsoft.com |
HTTPS:443 |
Tato adresa je úložiště balíčků Microsoftu používané pro operace apt-get uložené v mezipaměti. Mezi příklady balíčků patří Moby, PowerShell a Azure CLI. |
acs-mirror.azureedge.net |
HTTPS:443 |
Tato adresa je určená pro úložiště potřebné ke stažení a instalaci požadovaných binárních souborů, jako je kubenet a Azure CNI. |
Microsoft Azure provozovaný společností 21Vianet – požadovaná síťová pravidla
| Cílový koncový bod | Protokol | Port | Používání |
|---|---|---|---|
*:1194 Nebo ServiceTag - AzureCloud.Region:1194 Nebo Regionální identifikátory CIDR - RegionCIDRs:1194 Nebo APIServerPublicIP:1194 (only known after cluster creation) |
UDP | 1194 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. |
*:9000 Nebo ServiceTag - AzureCloud.<Region>:9000 Nebo Regionální identifikátory CIDR - RegionCIDRs:9000 Nebo APIServerPublicIP:9000 (only known after cluster creation) |
TCP | 9000 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. |
*:22 Nebo ServiceTag - AzureCloud.<Region>:22 Nebo Regionální identifikátory CIDR - RegionCIDRs:22 Nebo APIServerPublicIP:22 (only known after cluster creation) |
TCP | 22 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. |
*:123 nebo ntp.ubuntu.com:123 (pokud používáte síťová pravidla služby Azure Firewall) |
UDP | 123 | Vyžaduje se synchronizace času protokolu NTP (Network Time Protocol) na linuxových uzlech. |
CustomDNSIP:53 (if using custom DNS servers) |
UDP | 53 | Pokud používáte vlastní servery DNS, musíte zajistit, aby byly přístupné uzly clusteru. |
APIServerPublicIP:443 (if running pods/deployments that access the API Server) |
TCP | 443 | Vyžaduje se, pokud spouštíte pody nebo nasazení, které přistupují k serveru ROZHRANÍ API, budou tyto pody nebo nasazení používat IP adresu rozhraní API. |
Microsoft Azure provozovaný společností 21Vianet – požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
*.hcp.<location>.cx.prod.service.azk8s.cn |
HTTPS:443 |
Vyžaduje se pro komunikaci uzlu <–> server API. > Umístění nahraďte <oblastí, ve které je nasazený cluster AKS. |
*.tun.<location>.cx.prod.service.azk8s.cn |
HTTPS:443 |
Vyžaduje se pro komunikaci uzlu <–> server API. > Umístění nahraďte <oblastí, ve které je nasazený cluster AKS. |
mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro přístup k imagím ve službě Microsoft Container Registry (MCR). Tento registr obsahuje obrázky a grafy první strany (například coreDNS atd.). Tyto image se vyžadují pro správné vytvoření a fungování clusteru, včetně operací škálování a upgradu. |
.data.mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro úložiště MCR zálohované službou Azure Content Delivery Network (CDN). |
management.chinacloudapi.cn |
HTTPS:443 |
Vyžaduje se pro operace Kubernetes s rozhraním Azure API. |
login.chinacloudapi.cn |
HTTPS:443 |
Vyžaduje se pro ověřování Microsoft Entra. |
packages.microsoft.com |
HTTPS:443 |
Tato adresa je úložiště balíčků Microsoftu používané pro operace apt-get uložené v mezipaměti. Mezi příklady balíčků patří Moby, PowerShell a Azure CLI. |
*.azk8s.cn |
HTTPS:443 |
Tato adresa je určená pro úložiště potřebné ke stažení a instalaci požadovaných binárních souborů, jako je kubenet a Azure CNI. |
Požadovaná pravidla sítě pro Azure US Government
| Cílový koncový bod | Protokol | Port | Používání |
|---|---|---|---|
*:1194 Nebo ServiceTag - AzureCloud.<Region>:1194 Nebo Regionální identifikátory CIDR - RegionCIDRs:1194 Nebo APIServerPublicIP:1194 (only known after cluster creation) |
UDP | 1194 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. |
*:9000 Nebo ServiceTag - AzureCloud.<Region>:9000 Nebo Regionální identifikátory CIDR - RegionCIDRs:9000 Nebo APIServerPublicIP:9000 (only known after cluster creation) |
TCP | 9000 | Pro tunelovanou zabezpečenou komunikaci mezi uzly a řídicí rovinou. |
*:123 nebo ntp.ubuntu.com:123 (pokud používáte síťová pravidla služby Azure Firewall) |
UDP | 123 | Vyžaduje se synchronizace času protokolu NTP (Network Time Protocol) na linuxových uzlech. |
CustomDNSIP:53 (if using custom DNS servers) |
UDP | 53 | Pokud používáte vlastní servery DNS, musíte zajistit, aby byly přístupné uzly clusteru. |
APIServerPublicIP:443 (if running pods/deployments that access the API Server) |
TCP | 443 | Vyžaduje se, pokud spouštíte pody nebo nasazení, které přistupují k serveru API, tyto pody/nasazení budou používat IP adresu rozhraní API. |
Požadovaná plně kvalifikovaný název domény nebo pravidla aplikací pro Azure US Government
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
*.hcp.<location>.cx.aks.containerservice.azure.us |
HTTPS:443 |
Vyžaduje se pro komunikaci uzlu <–> server API. > Umístění nahraďte <oblastí, ve které je nasazený cluster AKS. |
mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro přístup k imagím ve službě Microsoft Container Registry (MCR). Tento registr obsahuje obrázky a grafy první strany (například coreDNS atd.). Tyto image se vyžadují pro správné vytvoření a fungování clusteru, včetně operací škálování a upgradu. |
*.data.mcr.microsoft.com |
HTTPS:443 |
Vyžaduje se pro úložiště MCR zálohované sítí pro doručování obsahu Azure (CDN). |
management.usgovcloudapi.net |
HTTPS:443 |
Vyžaduje se pro operace Kubernetes s rozhraním Azure API. |
login.microsoftonline.us |
HTTPS:443 |
Vyžaduje se pro ověřování Microsoft Entra. |
packages.microsoft.com |
HTTPS:443 |
Tato adresa je úložiště balíčků Microsoftu používané pro operace apt-get uložené v mezipaměti. Mezi příklady balíčků patří Moby, PowerShell a Azure CLI. |
acs-mirror.azureedge.net |
HTTPS:443 |
Tato adresa je určená pro úložiště potřebné k instalaci požadovaných binárních souborů, jako je kubenet a Azure CNI. |
Nepovinný doporučený plně kvalifikovaný název domény nebo pravidla aplikace pro clustery AKS
Následující pravidla plně kvalifikovaného názvu domény nebo aplikace se nevyžadují, ale doporučuje se pro clustery AKS:
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
security.ubuntu.com, , azure.archive.ubuntu.comchangelogs.ubuntu.com |
HTTP:80 |
Tato adresa umožňuje uzlům clusteru s Linuxem stáhnout požadované opravy zabezpečení a aktualizace. |
Pokud se rozhodnete blokovat nebo nepovolit tyto plně kvalifikované názvy domén, uzly budou přijímat aktualizace operačního systému jenom při upgradu image uzlu nebo upgradu clusteru. Mějte na paměti, že upgrady imagí uzlů mají aktualizované balíčky, včetně oprav zabezpečení.
Clustery AKS s podporou GPU vyžadují plně kvalifikovaný název domény nebo pravidla aplikací
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
nvidia.github.io |
HTTPS:443 |
Tato adresa se používá pro správnou instalaci a operaci ovladače na uzlech založených na GPU. |
us.download.nvidia.com |
HTTPS:443 |
Tato adresa se používá pro správnou instalaci a operaci ovladače na uzlech založených na GPU. |
download.docker.com |
HTTPS:443 |
Tato adresa se používá pro správnou instalaci a operaci ovladače na uzlech založených na GPU. |
Fondy uzlů založené na Windows Serveru vyžadují plně kvalifikovaný název domény nebo pravidla aplikací.
| Cílový plně kvalifikovaný název domény | Port | Používání |
|---|---|---|
onegetcdn.azureedge.net, go.microsoft.com |
HTTPS:443 |
Instalace binárních souborů souvisejících s Windows |
*.mp.microsoft.com, www.msftconnecttest.com, ctldl.windowsupdate.com |
HTTP:80 |
Instalace binárních souborů souvisejících s Windows |
Pokud se rozhodnete blokovat nebo nepovolit tyto plně kvalifikované názvy domén, uzly budou přijímat aktualizace operačního systému jenom při upgradu image uzlu nebo upgradu clusteru. Mějte na paměti, že upgrady imagí uzlů mají aktualizované balíčky, včetně oprav zabezpečení.
Doplňky a integrace AKS
Microsoft Defender pro kontejnery
Požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
login.microsoftonline.com login.microsoftonline.us (Azure Government) login.microsoftonline.cn (Azure provozovaný společností 21Vianet) |
HTTPS:443 |
Vyžaduje se pro ověřování active directory. |
*.ods.opinsights.azure.com *.ods.opinsights.azure.us (Azure Government) *.ods.opinsights.azure.cn (Azure provozovaný společností 21Vianet) |
HTTPS:443 |
Vyžaduje se, aby Microsoft Defender nahrál události zabezpečení do cloudu. |
*.oms.opinsights.azure.com *.oms.opinsights.azure.us (Azure Government) *.oms.opinsights.azure.cn (Azure provozovaný společností 21Vianet) |
HTTPS:443 |
Vyžaduje se k ověření pomocí pracovních prostorů LogAnalytics. |
Úložiště tajných kódů CSI
Požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
vault.azure.net |
HTTPS:443 |
Vyžaduje se, aby doplňky úložiště tajných kódů CSI komunikují se serverem Azure KeyVault. |
Azure Monitor pro kontejnery
Existují dvě možnosti, jak poskytnout přístup ke službě Azure Monitor pro kontejnery:
- Povolte jmenovku služby Azure Monitor.
- Zadejte přístup k požadovaným pravidlům plně kvalifikovaného názvu domény nebo aplikace.
Požadovaná pravidla sítě
| Cílový koncový bod | Protokol | Port | Používání |
|---|---|---|---|
ServiceTag - AzureMonitor:443 |
TCP | 443 | Tento koncový bod se používá k odesílání dat metrik a protokolů do služby Azure Monitor a Log Analytics. |
Požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
dc.services.visualstudio.com |
HTTPS:443 |
Tento koncový bod se používá pro metriky a monitorování telemetrie pomocí služby Azure Monitor. |
*.ods.opinsights.azure.com |
HTTPS:443 |
Tento koncový bod používá Azure Monitor k ingestování dat analýzy protokolů. |
*.oms.opinsights.azure.com |
HTTPS:443 |
Tento koncový bod používá omsagent, který se používá k ověření služby Log Analytics. |
*.monitoring.azure.com |
HTTPS:443 |
Tento koncový bod se používá k odesílání dat metrik do služby Azure Monitor. |
<cluster-region-name>.ingest.monitor.azure.com |
HTTPS:443 |
Tento koncový bod používá spravovaná služba Azure Monitoru pro příjem metrik Prometheus. |
<cluster-region-name>.handler.control.monitor.azure.com |
HTTPS:443 |
Tento koncový bod slouží k načtení pravidel shromažďování dat pro konkrétní cluster. |
Microsoft Azure provozovaný společností 21Vianet – požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
dc.services.visualstudio.com |
HTTPS:443 |
Tento koncový bod se používá pro metriky a monitorování telemetrie pomocí služby Azure Monitor. |
*.ods.opinsights.azure.cn |
HTTPS:443 |
Tento koncový bod používá Azure Monitor k ingestování dat analýzy protokolů. |
*.oms.opinsights.azure.cn |
HTTPS:443 |
Tento koncový bod používá omsagent, který se používá k ověření služby Log Analytics. |
global.handler.control.monitor.azure.cn |
HTTPS:443 |
Tento koncový bod používá Azure Monitor pro přístup k řídicí službě. |
<cluster-region-name>.handler.control.monitor.azure.cn |
HTTPS:443 |
Tento koncový bod slouží k načtení pravidel shromažďování dat pro konkrétní cluster. |
Požadovaná plně kvalifikovaný název domény nebo pravidla aplikací pro Azure US Government
| FQDN | Port | Používání |
|---|---|---|
dc.services.visualstudio.com |
HTTPS:443 |
Tento koncový bod se používá pro metriky a monitorování telemetrie pomocí služby Azure Monitor. |
*.ods.opinsights.azure.us |
HTTPS:443 |
Tento koncový bod používá Azure Monitor k ingestování dat analýzy protokolů. |
*.oms.opinsights.azure.us |
HTTPS:443 |
Tento koncový bod používá omsagent, který se používá k ověření služby Log Analytics. |
global.handler.control.monitor.azure.us |
HTTPS:443 |
Tento koncový bod používá Azure Monitor pro přístup k řídicí službě. |
<cluster-region-name>.handler.control.monitor.azure.us |
HTTPS:443 |
Tento koncový bod slouží k načtení pravidel shromažďování dat pro konkrétní cluster. |
Azure Policy
Požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
data.policy.core.windows.net |
HTTPS:443 |
Tato adresa se používá k vyžádání zásad Kubernetes a k hlášení stavu dodržování předpisů clusteru do služby zásad. |
store.policy.core.windows.net |
HTTPS:443 |
Tato adresa se používá k načtení artefaktů Gatekeeper předdefinovaných zásad. |
dc.services.visualstudio.com |
HTTPS:443 |
Doplněk Azure Policy, který odesílá telemetrická data do koncového bodu Application Insights. |
Microsoft Azure provozovaný společností 21Vianet – požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
data.policy.azure.cn |
HTTPS:443 |
Tato adresa se používá k vyžádání zásad Kubernetes a k hlášení stavu dodržování předpisů clusteru do služby zásad. |
store.policy.azure.cn |
HTTPS:443 |
Tato adresa se používá k načtení artefaktů Gatekeeper předdefinovaných zásad. |
Požadovaná plně kvalifikovaný název domény nebo pravidla aplikací pro Azure US Government
| FQDN | Port | Používání |
|---|---|---|
data.policy.azure.us |
HTTPS:443 |
Tato adresa se používá k vyžádání zásad Kubernetes a k hlášení stavu dodržování předpisů clusteru do služby zásad. |
store.policy.azure.us |
HTTPS:443 |
Tato adresa se používá k načtení artefaktů Gatekeeper předdefinovaných zásad. |
Rozšíření clusteru
Požadovaná pravidla plně kvalifikovaného názvu domény nebo aplikace
| FQDN | Port | Používání |
|---|---|---|
<region>.dp.kubernetesconfiguration.azure.com |
HTTPS:443 |
Tato adresa slouží k načtení informací o konfiguraci ze služby Rozšíření clusteru a hlášení stavu rozšíření do služby. |
mcr.microsoft.com, *.data.mcr.microsoft.com |
HTTPS:443 |
Tato adresa se vyžaduje k vyžádání imagí kontejneru pro instalaci agentů rozšíření clusteru do clusteru AKS. |
arcmktplaceprod.azurecr.io |
HTTPS:443 |
Tato adresa se vyžaduje k vyžádání imagí kontejneru pro instalaci rozšíření Marketplace v clusteru AKS. |
arcmktplaceprod.centralindia.data.azurecr.io |
HTTPS:443 |
Tato adresa je určená pro koncový bod dat v oblasti Indie – střed a vyžaduje se pro vyžádání imagí kontejneru pro instalaci rozšíření marketplace v clusteru AKS. |
arcmktplaceprod.japaneast.data.azurecr.io |
HTTPS:443 |
Tato adresa je určená pro koncový bod dat oblasti Východní Japonsko a vyžaduje se pro vyžádání imagí kontejneru pro instalaci rozšíření marketplace v clusteru AKS. |
arcmktplaceprod.westus2.data.azurecr.io |
HTTPS:443 |
Tato adresa je určená pro koncový bod dat oblasti USA – západ 2 a je nutná k vyžádání imagí kontejneru pro instalaci rozšíření marketplace v clusteru AKS. |
arcmktplaceprod.westeurope.data.azurecr.io |
HTTPS:443 |
Tato adresa je určená pro koncový bod dat v oblasti Západní Evropa a vyžaduje se k vyžádání imagí kontejneru pro instalaci rozšíření marketplace v clusteru AKS. |
arcmktplaceprod.eastus.data.azurecr.io |
HTTPS:443 |
Tato adresa je určená pro koncový bod dat oblasti USA – východ a vyžaduje se k vyžádání imagí kontejneru pro instalaci rozšíření marketplace v clusteru AKS. |
*.ingestion.msftcloudes.com, *.microsoftmetrics.com |
HTTPS:443 |
Tato adresa se používá k odesílání dat metrik agentů do Azure. |
marketplaceapi.microsoft.com |
HTTPS: 443 |
Tato adresa se používá k odesílání vlastního využití založeného na měřičích do rozhraní API pro měření obchodu. |
Požadovaná plně kvalifikovaný název domény nebo pravidla aplikací pro Azure US Government
| FQDN | Port | Používání |
|---|---|---|
<region>.dp.kubernetesconfiguration.azure.us |
HTTPS:443 |
Tato adresa slouží k načtení informací o konfiguraci ze služby Rozšíření clusteru a hlášení stavu rozšíření do služby. |
mcr.microsoft.com, *.data.mcr.microsoft.com |
HTTPS:443 |
Tato adresa se vyžaduje k vyžádání imagí kontejneru pro instalaci agentů rozšíření clusteru do clusteru AKS. |
Poznámka:
Pro všechny doplňky, které zde nejsou explicitně uvedené, se vztahují základní požadavky.
Další kroky
V tomto článku jste zjistili, jaké porty a adresy chcete povolit, pokud chcete omezit odchozí provoz pro cluster.
Pokud chcete omezit, jak pody komunikují mezi sebou a omezeními provozu východ-západ v rámci clusteru, podívejte se na zabezpečený provoz mezi pody pomocí zásad sítě v AKS.