この概要では、マネージド システム ノード プール機能について説明します。この機能は、新しい AKS 自動クラスターで既定で有効になっており、AKS Automatic でのみ使用できます。 マネージド システム ノード プールを使用すると、パフォーマンスと信頼性を最適化するために、AKS が基になるインフラストラクチャ (システム ノード プールを含む) を管理しながら、アプリケーションに集中できます。
マネージド システム ノード プールを使用して AKS 自動クラスターを作成するには、「Quickstart: Azure Kubernetes Service (AKS)自動クラスターの作成クイック スタート」を参照してください。
主な機能と利点
マネージド システム ノード プール機能を使用すると、アプリケーションに集中できます。一方、AKS Automatic を使用すると、基になるインフラストラクチャがパフォーマンスと信頼性のために最適化されます。 主な機能と利点は次のとおりです。
- 運用上のオーバーヘッドなし: AKS はシステム ノード プールを自動的にプロビジョニング、アップグレード、スケーリングするため、手動による介入は不要です。
- クラスターの作成の簡略化: AKS がクォータを自動的に処理するため、システム ノード プールのコンピューティング クォータを追跡または割り当てる必要はありません。
- コスト効率: システム ノード プールで実行されている仮想マシン (VM) は顧客のサブスクリプションに課金されないため、高いパフォーマンスを維持しながらコストを最適化できます。
- パフォーマンスの向上: お客様のアプリケーションからシステム ワークロードを分離することで、信頼性が向上し、 サービス レベル アグリーメント (SLA) に基づく一貫したパフォーマンスが保証されます。
- 既定では、マネージド システム ノード プール: 作成された新しい自動クラスターでは、既定でマネージド システム ノード プールが有効になります。 マネージド システム ノード プールのない既存の自動クラスターがある場合は、クラスターを再作成し、ワークロードを移行する必要があります。
- 自動スケーリングとノード修復: クラスター オートスケーラー は、マネージド システム ノード プール内のシステム ノードに対して有効になっています。 ノードの自動修復 は、マネージド システム ノード プール内のシステム ノードに対して有効になります。
Important
AKS 1.36 以降、新しい AKS Automatic クラスターでは、アップストリームの Ingress NGINX の廃止に伴い、既定で アプリケーション ルーティング アドオンを使用したマネージド NGINX イングレス ではなく、アプリケーション ルーティング アドオンを介した Kubernetes Gateway API が有効になります。
既存の自動クラスターは影響を受けませんが、 アプリケーション ルーティング アドオンを使用して Kubernetes Gateway API への移行を開始する必要があります。
制限事項
AKS 自動クラスターには、次の制限事項が適用されます。
- AKS Automatic は、次のリージョンで一般提供されています:
australiaeast、austriaeast、belgiumcentral、brazilsouth、canadacentral、centralindia、centralus、chilecentral、denmarkeast、eastasia、eastus、eastus2、francecentral、germanywestcentral、indonesiacentral、israelcentral、italynorth、japaneast、japanwest、koreacentral、malaysiawest、mexicocentral、newzealandnorth、northeurope、norwayeast、polandcentral、southafricanorth、southcentralus、southeastasia、spaincentral、swedencentral、switzerlandnorth、uaenorth、uksouth、westeurope、westus2、westus3。- 新しい AKS 自動クラスターでは、既定でマネージド システム ノード プールと LocalDNS が有効になります。 どのリージョンでも、マネージド システム ノード プールなしで AKS 自動クラスターを作成することはできません。
- AKS 自動クラスターには、node リソース グループのロックダウンが事前に構成されています。これにより、
MC_リソース グループへの変更が許可されないため、既定のプライベート DNS ゾーンでの仮想ネットワーク リンクが防止されます。 クロス VNet またはカスタム DNS シナリオの場合は、カスタム仮想ネットワークにプライベート Azure Kubernetes Service (AKS)自動クラスターを作成> - Azure CLIバージョン 2.86.0 以降が必要です。 バージョンを見つけるには、
az --versionコマンドを実行します。 インストールまたはアップグレードが必要な場合は、Azure CLI のインストールを参照してください。 - 次の拡張機能はサポートされていません。
- Windows ノードはサポートされていません。
- AKS ベース SKU から自動 SKU への移行はサポートされていません。
- マネージド システム ノード プールのない AKS 自動クラスターと、マネージド システム ノード プールを持つ AKS 自動クラスター間の移行はサポートされていません。
マネージド システム ノード プールのコンポーネント
次の表は、マネージド システム ノード プールで AKS によって管理されるコンポーネントの概要を示しています。 AKS は、これらのコンポーネントが実行されるシステム ノードの作成、アップグレード、スケーリングを処理します。
| コンポーネント | Namespace | デプロイメント |
|---|---|---|
| ワークロードアイデンティティ | kube-system |
azure-wi-webhook-controller-manager |
| CoreDNS | kube-system |
coredns、coredns-autoscaler |
| 消しゴム | kube-system |
eraser-controller-manager |
| Kubernetes イベント駆動自動スケーリング (KEDA) | kube-system |
keda-admission-webhooks、 keda-operator、 keda-operator-metrics-apiserver |
| Konnectivity | kube-system |
konnectivity-agent、konnectivity-agent-autoscaler |
| Metrics Server | kube-system |
metrics-server |
| 垂直ポッド自動スケーリング (VPA) | kube-system |
vpa-admission-controller、 vpa-recommender、 vpa-updater |
その他のアドオンや拡張機能は、aks-system-surge ノードで実行され、スケーリングはノード自動プロビジョニング（NAP）によって処理されます。
DaemonSets は、サブスクリプション内のマネージド システム ノード プールおよび aks-system-surge ノードを含むノードの両方で実行されます。
マネージド システム ノード プールのセキュリティ制限
AKS はユーザーに代わってシステム ノード プールを管理するため、AKS は組み込みのポリシー、ベースライン ポッドのセキュリティ標準、および受付時間ポリシーを通じて複数のセキュリティ制限レイヤーを適用します。 これらの制限は、マネージド システム コンポーネントを保護し、顧客のワークロードと AKS で管理されるインフラストラクチャの間の境界を維持するのに役立ちます。
| 制限 | AKS で防止される内容 | 共同作業の重要性 |
|---|---|---|
| マネージド システム リソースの変更 | AKS マネージド システム名前空間でのリソースの作成、更新、または削除。 | 顧客が開始した変更から AKS で管理されるコンポーネントを保護するのに役立ちます。 |
| システム ポッドへの対話型アクセス | AKS で管理されるシステム ポッドに対してポッド exec、 attach、または port-forward を使用する。 |
マネージド システム ノード プールで実行されているシステム ワークロードへの直接アクセスを防ぐのに役立ちます。 |
| マネージド システム ノードの変更 | マネージド システム ノードの変更、または通常のノードをマネージド システム ノードとしてラベル付けする。 | カスタマー マネージド ノードと AKS マネージド システム ノードの間の境界を維持するのに役立ちます。 |
| マネージド システム ノードでのワークロードの配置 | 予約済みの許容、広範なワイルドカード許容、またはカスタム スケジューラを含む、顧客ワークロードを AKS が管理するシステム ノードでスケジュールまたは実行する。 | お客様のワークロードが専用システム ノードで実行されるのを防ぐのに役立ちます。 |
| 特権クラスターアクセス パス | 機密性の高いノード プロキシへのアクセス許可の付与。 | 通常の制御をバイパスしたり、クラスター リソースへのアクセスをエスカレートしたりする可能性のあるパスを減らします。 |
| 保護された ID の偽装 | 保護された AKS、Kubernetes、またはシステム サービス アカウント ID の偽装。 | 呼び出し元が信頼されたシステム コンポーネントによって使用される ID を想定できないようにするのに役立ちます。 |
| AKS で管理されるセキュリティ制御の変更 | AKS で管理されるセキュリティ ポリシーとアドミッションコントロールの変更。 | マネージド システム ノード プールを保護するコントロールの弱化または無効化を防ぐのに役立ちます。 |
サポートされていない AKS API 操作
次の AKS API 操作は サポートされていません。
- マネージド システム ノード プールのアップグレード。
- マネージド システム ノード プールの削除。
- マネージド システム ノード プールを使用してクラスターを停止する。
- クラスター上のエージェント プールの一覧表示には、マネージド システム ノード プールは含まれません。