Implementación y administración de extensiones de clúster para Azure Kubernetes Service (AKS)

Las extensiones de clúster proporcionan una experiencia controlada por Azure Resource Manager para la instalación y administración del ciclo de vida de servicios como Azure Machine Learning o aplicaciones de Kubernetes en un clúster de AKS. Esta característica permite:

  • Implementación de extensiones basada en Azure Resource Manager, incluidas implementaciones a escala en clústeres de AKS.
  • Administración del ciclo de vida de la extensión (actualización, eliminación) de Azure Resource Manager.

Categorías de extensiones de clúster

Hay dos categorías de extensiones de clúster, Core y Standard que se pueden implementar en clústeres de AKS.

Extensiones principales

Las extensiones principales de Kubernetes tienen una disponibilidad regional más amplia, una experiencia de AKS más integrada y una alineación de lanzamientos con las versiones de AKS. Azure Backup y Azure Supervisión de contenedores son extensiones principales.

Experiencia nativa de AKS

Las extensiones principales se pueden administrar mediante az aks el comando de la CLI.

az aks extension create \
  --name <core extension name> \
  --extension-type <type> \
  --cluster-name <name> \
  --resource-group <group>

Para obtener más información sobre los comandos, vea az aks.

Política de lanzamiento

Las actualizaciones secundarias y principales de las extensiones principales se producen junto con las actualizaciones secundarias y principales de AKS para evitar cambios disruptivos y proporcionar una mejor confiabilidad.

Migración de una extensión complementaria a la extensión principal

Azure Monitor servicios, incluidos Container Insights, Managed Prometheus y Application Insights están realizando la transición a un modelo de back-end basado en extensiones de clúster. Este cambio actualiza los complementos de supervisión de AKS a un modelo de administración basado en extensiones , sin cambios en la funcionalidad ni en la experiencia del usuario.

  • Esta migración de back-end no es disruptiva y no cambia la experiencia del usuario ni requiere la acción del cliente.

  • No hay ningún impacto en las cargas de trabajo, la recopilación de datos ni la funcionalidad de supervisión.

  • CLI de Azure, Azure portal y todas las experiencias de cliente siguen funcionando según lo previsto.

Nota:

Consulte la documentación de solución de problemas para obtener más información sobre la mitigación.

Extensiones estándar

Para obtener información sobre las otras extensiones de clúster, consulte la tabla de Extensiones disponibles de forma automática y las aplicaciones Kubernetes implementadas a través de Azure Marketplace son del tipo de extensión estándar.

Las extensiones estándar se pueden administrar mediante el comando de la az k8s-extension CLI. Para obtener más información, consulte Deploy y administrar extensiones de clúster mediante CLI de Azure.

az k8s-extension create \
  --name <standard extension name> \
  --extension-type <extension-type> \
  --scope cluster \
  --cluster-name <clusterName> \
  --resource-group <resourceGroupName> \
  --cluster-type managedClusters

Requisitos de extensión de clúster

La plataforma de extensiones de clúster se admite en todas las regiones donde se implementa AKS. Aunque la plataforma está disponible en todas las regiones, compruebe la disponibilidad de la región para las extensiones individuales.

Importante

Asegúrese de que el clúster de AKS se crea con una identidad administrada, ya que las extensiones de clúster no funcionan con clústeres basados en entidades de servicio.

En el caso de los nuevos clústeres creados con az aks create, la identidad administrada se configura de forma predeterminada. En el caso de los clústeres basados en entidades de servicio existentes que deben cambiarse a la identidad administrada, se puede habilitar mediante la ejecución de az aks update con la marca --enable-managed-identity. Para más información, consulte Habilitación de identidades administradas.

Nota:

Si ha habilitado identidad administrada por pods de Microsoft Entra en su clúster de AKS o está pensando en implementarla, le recomendamos que primero revise la Descripción general de la identidad de carga de trabajo para comprender nuestras recomendaciones y opciones para configurar su clúster y que use una ID de carga de trabajo de Microsoft Entra (versión preliminar). Este método de autenticación reemplaza la identidad administrada por pod (versión preliminar), que se integra con las funcionalidades nativas de Kubernetes para federarse con cualquier proveedor de identidades externo. La identidad administrada por pods de Microsoft Entra de código abierto (versión preliminar) en Azure Kubernetes Service ha quedado en desuso a partir del 24 de octubre de 2022.

Extensiones disponibles actualmente

La compatibilidad de extensiones con las funcionalidades de seguridad, identidad, redes e preparación de la implementación varía según la extensión. En la tabla siguiente se proporciona el estado de compatibilidad actual para cada funcionalidad. Úselo para determinar si una extensión cumple los requisitos operativos y de gobernanza de su organización.

  • Federal Information Processing Standard (FIPS) 140-3 es un estándar gubernamental de ESTADOS Unidos que define los requisitos mínimos de seguridad para los módulos criptográficos en los productos y sistemas de tecnología de la información.
  • La identidad de carga de trabajo es esencial para proteger la administración de identidades y la restricción de IMDS, para protegerse contra el robo de credenciales.
  • Private Link es fundamental para el aislamiento de red, lo que impide el acceso no autorizado y permite que las extensiones funcionen en clústeres de AKS aislados de red.
  • Las medidas de seguridad de implementación aplican los procedimientos recomendados en un clúster de Azure Kubernetes Service (AKS).
  • Los estándares de seguridad de pods (PSS) definen tres directivas diferentes para cubrir ampliamente el espectro de seguridad. PSS-Baseline proporciona una directiva mínimamente restrictiva que impide las escalaciones de privilegios conocidas.

Leyenda

Símbolo Meaning
✅ Soportado
❌ No está soportado
N/R No es obligatorio

Matriz de funcionalidades de extensión

Extensión Descripción PSS: línea base Estándares Federales de Procesamiento de Información (FIPS) Medidas de seguridad de implementación Identidad de carga de trabajo Enlace privado
Azure App Configuration Administración centralizada de la configuración de la aplicación y de los indicadores de funciones. ✅ ❌ ✅ ✅ ✅
Azure Machine Learning Entrene, implemente y administre cargas de trabajo de aprendizaje automático en AKS. ❌ ❌ ❌ ❌ ✅
Dapr Tiempo de ejecución de aplicaciones controladas por eventos para cargas de trabajo perimetrales y en la nube. ✅ ❌ ❌ ✅ ✅
Azure Backup para AKS Protección de copia de seguridad y restauración para volúmenes persistentes. (Extensión principal) ✅ ❌ ✅ ✅ ✅
Flux (GitOps) Configuración basada en GitOps y administración de implementación de aplicaciones. ✅ ❌ ✅ ❌ ✅
Azure Container Storage Almacenamiento persistente para cargas de trabajo de AKS. ✅ ❌ ✅ N/R ❌
Conector de servicio Simplifica la conectividad segura entre las cargas de trabajo de AKS y los servicios de Azure. ✅ ❌ ✅ ✅ N/R
Nodos virtuales v2 en Azure Container Instances (versión preliminar) Utilice Virtual Nodes v2 para distribuir cargas de trabajo de AKS a recursos de proceso sin servidor en Azure Container Instances (ACI). N/R ✅ ❌ ✅ ✅
Azure Monitor: Container Insights Recopilación y supervisión de registros para clústeres y contenedores de AKS. (Extensión principal) ❌ ❌ ❌ ❌ ✅
Azure Monitor - Prometheus Recopilación de métricas compatibles con Prometheus para AKS. (Extensión principal) ✅ ❌ ✅ N/R ✅
Azure Monitor: Supervisión de aplicaciones Recopilación de telemetría y supervisión del rendimiento de aplicaciones. (Extensión principal) ❌ ❌ ❌ ❌ ❌
Argo CD Entrega continua basada en GitOps para aplicaciones de Kubernetes. ✅ ❌ ✅ ✅ ❌

También puede seleccionar e implementar aplicaciones de Kubernetes disponibles a través de Marketplace.

Nota:

Las extensiones de clúster proporcionan una plataforma para que se instalen y administren diferentes extensiones en un clúster de AKS. Si tiene problemas al usar cualquiera de estas extensiones, abra una incidencia de soporte técnico con el servicio correspondiente.

Nota:

No todas las funcionalidades son relevantes para todas las extensiones. Las extensiones marcadas como No requeridas siguen los requisitos de seguridad de AKS aplicables. El estado simplemente indica que la funcionalidad no es necesaria para la funcionalidad prevista de la extensión.

Pasos siguientes

  • Se actualizó por última vez el