適用対象: ✔️ AKS 自動 ✔️ AKS Standard
Azure Kubernetes Service (AKS) でアプリケーションを正常にビルドして実行するには、次のような重要な概念を理解して実装する必要があります。
- マルチテナントとスケジューラの機能。
- クラスターおよびポッドのセキュリティ。
- 事業継続とディザスター リカバリー。
AKS 製品グループ、エンジニアリング チーム、およびフィールド チーム (Global Black Belt (GBB) を含む) は、次のベスト プラクティスと概念に関する記事の執筆、グループ化に貢献しました。 その目的は、クラスターのオペレーターと開発者が上記の概念をよく理解し、適切な機能を実装できるようにすることです。
最初に AKS モードを選択する
AKS では、 AKS Automatic と AKS Standard の 2 つのクラスター モードがサポートされています。 2 日目のプラットフォーム管理を減らした運用環境対応のベースラインが必要な場合は、AKS Automatic を選択します。 クラスターのインフラストラクチャと構成をより詳細に制御する必要がある場合は、AKS Standard を選択します。
この記事のベスト プラクティスは、両方のモードに適用されます。 ただし、実装の責任はモードによって異なります。AKS 自動では、より構成済みの既定値が提供されますが、AKS Standard では通常、より明示的なオペレーター構成が必要です。
| Area | AKS Automatic | AKS Standard |
|---|---|---|
| ベースライン クラスターのセットアップ | その他の事前構成済み既定値 | より明示的なセットアップの選択肢 |
| システム ノード プール | サービスマネージド モデル | オペレーターが管理するモデル |
| セキュリティ ベースラインの制御 | 一般的なシナリオでは、いくつかのコントロールが事前に構成されています | 一般的に、コントロールは演算子によって有効にされ、維持されます |
| ネットワーク ベースライン | 一般的なパターン向けの推奨デフォルト設定 | より広範な構成の柔軟性 |
| アップグレードと操作 | より管理された運用動作 | 演算子によるその他の動作 |
| ベストプラクティス重視 | 既定値を検証、管理、調整する | プラットフォーム コントロールの設計と構成 |
クラスター オペレーターのベスト プラクティス
クラスター オペレーターは、アプリケーション所有者および開発者と連携してそのニーズを理解します。 次に、必要に応じて、次のベスト プラクティスを使用して AKS クラスターを構成できます。
アプリケーション開発とデプロイ プロセスの一部として組み込むべき重要なプラクティスは、必ず一般に使われるデプロイとテストのパターンに従うことです。 デプロイ前にアプリケーションをテストすることは、その品質、機能、ターゲット環境との互換性を確保するための重要な手順です。 これにより、アプリケーションや基となるインフラストラクチャのパフォーマンス、セキュリティ、または使いやすさに影響を与える可能性があるエラー、バグ、または問題を特定し、修正できます。
AKS Standard では、オペレーターは通常、より多くのプラットフォーム コントロールを直接実装します。 AKS Automatic では、オペレーターは通常、サービスで管理される既定値の検証、ガードレールの定義、ポリシーとワークロードの境界のチューニングに重点を置いて取り組みます。
マルチテナント
マルチテナント ガイダンスは、両方のモードに適用されます。 AKS 自動では、ベースライン クラスターの既定値によって初期セットアップ作業が削減される可能性があります。 AKS Standard では、プラットフォーム チームは通常、より多くのテナントとスケジュールコントロールを明示的に構成します。
- クラスター分離のベスト プラクティス: マルチテナント コア コンポーネントと、名前空間を使用した論理的な分離が含まれます。
- 基本的なスケジューラ機能のベスト プラクティス: リソース クォータとポッド中断予算の使用が含まれます。
- 高度なスケジューラ機能のベストプラクティス: テイントとテレレーション、ノードセレクターとアフィニティ、ならびに Pod 間のアフィニティとアンチアフィニティの使用が含まれます。
- クラスター認証の概念: Microsoft Entra IDとの統合、Kubernetes ロールベースのアクセス制御 (Kubernetes RBAC) の使用、Azure RBAC の使用が含まれます。
- クラスター承認の概念: Microsoft Entra IDとの統合、Kubernetes ロールベースのアクセス制御 (Kubernetes RBAC) の使用、Azure RBAC の使用、ポッド ID の使用が含まれます。
セキュリティ
セキュリティ ガイダンスは、両方のモードに適用されます。 AKS Automatic には、多くの一般的なシナリオで構成済みのセキュリティの既定値が含まれていますが、AKS Standard では通常、より多くのコントロールの明示的な有効化とライフサイクルの所有権が必要です。
- クラスターのセキュリティとアップグレードのベスト プラクティス: API サーバーへのアクセスのセキュリティ保護、コンテナー アクセスの制限、アップグレードとノードの再起動の管理が含まれます。
- コンテナー イメージの管理とセキュリティのベスト プラクティス: イメージとランタイムのセキュリティ保護、および基本イメージの更新に基づく自動ビルドが含まれます。
- ポッドのセキュリティに関するベスト プラクティス: リソースへのアクセスのセキュリティ保護、資格情報の公開の制限、ポッド ID とデジタル キー コンテナーの使用が含まれます。
AKS 自動セキュリティ ベースライン
AKS Automatic は、多くの運用シナリオに対して強化されたベースラインと構成済みのコントロールを使用して設計されています。 セキュリティのベスト プラクティスに関する記事を使用して、体制を検証し、例外を管理し、エンタープライズ ポリシーの要件に合わせます。
現在の機能の動作とスコープについては、「 AKS 自動の概要」を参照してください。
ネットワークとストレージ
ネットワークとストレージのベスト プラクティスは、両方のモードに適用されます。 AKS Automatic では、一般的なパターンに対してより意見の多い既定値が提供されますが、AKS Standard では、より広範な構成の柔軟性とオペレーター制御が提供されます。
- ネットワーク接続のベスト プラクティス: さまざまなネットワーク モデル、イングレスおよび Web アプリケーション ファイアウォール (WAF) の使用、ノードの SSH アクセスのセキュリティ保護が含まれます。
- ストレージとバックアップのベスト プラクティス: 適切なストレージの種類とノード サイズの選択、ボリュームの動的プロビジョニング、データ バックアップが含まれます。
エンタープライズ対応ワークロードの実行
信頼性と回復のプラクティスは、両方のモードに適用されます。 AKS Automatic ではベースライン操作を簡略化できますが、AKS Standard では特殊なアーキテクチャに対してより優れた設計時制御が提供されます。
- ビジネス継続性とディザスター リカバリーのベスト プラクティス: リージョン ペアの使用、Azure Traffic Managerを持つ複数のクラスター、コンテナー イメージの geo レプリケーションが含まれます。
開発者のベスト プラクティス
開発者またはアプリケーションの所有者である場合は、開発エクスペリエンスを簡略化し、必要なアプリケーション パフォーマンスのニーズを定義することができます。
開発者向けガイダンスは、両方のモードに適用されます。 AKS Automatic では、チームは通常、事前構成済みのクラスター基盤を使用して迅速に移動できます。 AKS Standard では、開発者は前提条件をプラットフォーム チームのクラスター構成の選択肢に合わせる必要があります。
- アプリケーション開発者がリソースを管理するためのベスト プラクティス: ポッド リソースの要求と制限の定義、開発ツールの構成、アプリケーションの問題の確認が含まれます。
- ポッドのセキュリティに関するベスト プラクティス: リソースへのアクセスのセキュリティ保護、資格情報の公開の制限、ポッド ID とデジタル キー コンテナーの使用が含まれます。
- デプロイとクラスターの信頼性のベスト プラクティス: デプロイ、クラスター、ノード プール レベルのベスト プラクティスが含まれます。
Kubernetes および AKS の概念
次の概念に関する記事では、AKS のクラスターの基本的な機能とコンポーネントの一部について説明します。
関連するコンテンツ
AKS のエンタープライズ規模の実装の設計に関するガイダンスについては、「AKS 設計の計画」を参照してください。
ワークロードと運用モデルに適したクラスター モードを選択するには、 AKS 自動機能と AKS Standard 機能の比較に関する記事を参照してください。
AKS の詳細については、次のドキュメントを参照してください。