Azure Kubernetes Service のサポートポリシー

[アーティクル]
08/28/2023

この記事では、Azure Kubernetes Service (AKS) のテクニカルサポートポリシーと制限事項を説明します。また、エージェントノードの管理、マネージドコントロールプレーンコンポーネント、サードパーティ製オープンソースコンポーネント、セキュリティまたは修正プログラムの管理についても説明します。

サービスの更新とリリース

リリース情報については、AKS のリリースノートを参照してください。
プレビュー機能については、「AKS ロードマップ」を参照してください。

AKS のマネージド機能

コンピューティングコンポーネントやネットワークコンポーネントなどの基本的な IaaS (サービスとしてのインフラストラクチャ) クラウドコンポーネントは、低レベルの制御とカスタマイズのオプションにユーザーがアクセスできるようにします。これに対し、AKS では、クラスターに必要な構成と機能の共通セットをユーザーに提供する、ターンキー Kubernetes のデプロイが提供されます。 AKS ユーザーの場合、カスタマイズとデプロイのオプションが制限されています。その代わり、Kubernetes クラスターを心配したり、直接管理したりする必要はありません。

AKS があれば、ユーザーはフルマネージドの "コントロールプレーン" を入手できます。このコントロールプレーンには、Kubernetes クラスターを操作してエンドユーザーに提供するために必要なすべてのコンポーネントとサービスが含まれています。 Microsoft では、すべての Kubernetes コンポーネントを管理して運用しています。

Microsoft は、コントロールプレーンを通して次のコンポーネントを管理および監視します。

Kubelet または Kubernetes API サーバー
サービスの品質 (QoS)、スケーラビリティ、およびランタイムを提供する、etcd またはそれと互換性のあるキーと値ストア
DNS サービス (kube-dns や CoreDNS など)
Kubernetes プロキシまたはネットワーク (BYOCNI が使用されている場合は除く)
kube-system 名前空間で実行されているその他のアドオンまたはシステムコンポーネント

AKS はサービスとしてのプラットフォーム (PaaS) ソリューションではありません。エージェントノードなど一部のコンポーネントには共同責任があり、ユーザーが AKS クラスターの管理をサポートする必要があります。たとえば、エージェントノードのオペレーティングシステム (OS) のセキュリティ修正プログラムを適用するには、ユーザー入力が必要です。

マネージド サービスとは、Microsoft と AKS チームがデプロイと運用を行い、可用性と機能に対して責任を負うことを意味します。これらのマネージドコンポーネントをお客様が変更することはできません。 Microsoft では、一貫したスケーラブルなユーザーエクスペリエンスを確保するためにカスタマイズを制限しています。

Shared responsibility

クラスターが作成されると、ユーザーは AKS で作成する Kubernetes エージェントノードを定義します。ユーザーのワークロードは、これらのノードで実行されます。

ユーザーのエージェントノードではプライベートコードが実行され、機密データが格納されるため、Microsoft サポートはこれらのノードへのアクセスを制限されています。 Microsoft サポートは、ユーザーによる明確な許可または支援なしに、これらのノードにサインインしたり、これらのノードでコマンドを実行したり、これらのノードのログを表示することができません。

いずれかの IaaS API を使用してエージェントノードに直接変更を加えると、クラスターがサポートできない状態になります。エージェントノードに適用されたすべての変更は、Daemon Sets など kubernetes ネイティブのメカニズムを使用して行う必要があります。

同様に、あらゆるメタデータ (タグやラベルなど) をクラスターやノードに追加できますが、システムによって作成されたメタデータを変更するとクラスターがサポートできない状態になります。

AKS のサポート範囲

Microsoft は、以下の例に関するテクニカルサポートを提供します。

API サーバーなど、Kubernetes Service によって提供およびサポートされるすべての Kubernetes コンポーネントへの接続。
Kubernetes コントロールプレーンサービスの管理、アップタイム、QoS、操作 (Kubernetes コントロールプレーン、API サーバー、etcd、coreDNS など)。
etcd データストア。サポートには、障害計画とクラスターの状態復元のために 30 分ごとに行われる etcd のすべてのデータの自動的で透過的なバックアップが含まれます。ユーザーはこれらのバックアップを直接は使用できません。これらにより、データの信頼性と一貫性が確保されます。オンデマンドのロールバックや復元は、機能としてサポートされていません。
Kubernetes 用の Azure クラウドプロバイダードライバー内のすべての統合ポイント。これらには、ロードバランサー、永続ボリューム、ネットワーク (Kubernetes や Azure CNI。BYOCNI が使用されている場合は除く) などの他の Azure サービスへの統合が含まれます。
Kubernetes API サーバー、etcd、coreDNS などのコントロールプレーンコンポーネントのカスタマイズに関する質問または問題。
BYOCNI が使用されている場合を除く、Azure CNI、Kubenet、他のネットワークアクセスなどのネットワークに関する問題、および機能の問題。問題には、DNS 解決、パケット損失、ルーティングなどが含まれる可能性があります。 Microsoft では、次のさまざまなネットワークシナリオをサポートしています。
- マネージド VNET を使用した、またはカスタムの (独自のものを使用した) サブネットによる Kubenet および Azure CNI。
- その他の Azure サービスおよびアプリケーションへの接続
- イングレスコントローラーとイングレスまたはロードバランサーの構成
- ネットワークパフォーマンスと待機時間
- ネットワークポリシー

注意

Microsoft/AKS によって実行されるすべてのクラスターアクションは、ユーザーの同意を得たうえで、組み込みの Kubernetes ロール aks-service と組み込みのロールバインド aks-service-rolebinding に基づいて行われます。このロールにより、AKS はクラスターの問題のトラブルシューティングや診断を行うことができますが、アクセス許可の変更や、ロールやロールバインドの作成など、高い特権を必要とする操作を行うことはできません。ロールによるアクセスは、アクティブなサポートチケットで Just-In-Time (JIT) アクセスを使用する場合にのみ有効になります。

Microsoft では、次のシナリオに関するテクニカルサポートは提供していません。

Kubernetes の使用方法に関する質問。たとえば、Microsoft サポートでは、カスタムのイングレスコントローラーの作成方法、アプリケーションのワークロードの使用方法、サードパーティまたはオープンソースのソフトウェアパッケージやツールの適用方法に対するアドバイスは提供していません。

Note

Microsoft サポートでは、AKS クラスターの機能、カスタマイズ、およびチューニング (Kubernetes 操作の問題や手順など) に対するアドバイスは提供できます。
Kubernetes コントロールプレーンの一部として提供されない、または AKS クラスターと共にデプロイされない、サードパーティのオープンソースプロジェクト。これらのプロジェクトには、Istio、Helm、Envoy などが含まれる場合があります。

Note

Microsoft では、Helm などのサードパーティのオープンソースプロジェクトに対してベストエフォートのサポートを提供できます。サードパーティのオープンソースツールが Kubernetes の Azure クラウドプロバイダーまたは他の AKS 固有のバグと統合される場合、Microsoft では、Microsoft ドキュメントからの例やアプリケーションをサポートします。
サードパーティのクローズドソースソフトウェア。このソフトウェアには、セキュリティスキャンツール、およびネットワークデバイスまたはソフトウェアが含まれる場合があります。
AKS ドキュメントに記載されている以外のネットワークのカスタマイズ。
BYOCNI モードで使用されるカスタムまたはサードパーティ製 CNI プラグイン。
スタンバイかつプロアクティブなシナリオ。 Microsoft サポートは、アクティブな問題をタイムリーかつ専門的な方法で解決するために役立つリアクティブなサポートを提供します。ただし、運用上のリスクの排除、可用性の向上、パフォーマンスの最適化に役立つスタンバイまたはプロアクティブなサポートは、カバレッジに含まれません。対象となるお客様は、アカウントチームに連絡して、Azure Event Management サービスの指定を受けることができます。これは、Microsoft サポートエンジニアによって提供される有料サービスであり、イベント中のプロアクティブなソリューションリスク評価とカバレッジが含まれます。

エージェントノードに対する AKS のサポート範囲

AKS エージェントノードに対する Microsoft の責任

Microsoft とユーザーは、次の場合に Kubernetes エージェントノードに対する責任を共有します。

基本 OS イメージに、必要な追加機能 (監視エージェントやネットワークエージェントなど) がある。
エージェントノードが OS 修正プログラムを自動的に受信する。
エージェントノード上で実行される Kubernetes コントロールプレーンコンポーネントに関する問題が自動修復される。コンポーネントには、以下のものが含まれます。
- Kube-proxy
- Kubernetes マスターコンポーネントへの通信パスを提供するネットワークトンネル
- Kubelet
- containerd

注意

エージェントノードが動作していない場合、AKS は個々のコンポーネントまたはエージェントノード全体を再起動する可能性があります。こうした再起動操作は自動化されており、これにより一般的な問題の自動修復機能が提供されます。自動修復メカニズムの詳細については、「ノードの自動修復」を参照してください

AKS エージェントノードに対するお客様の責任

Microsoft では、イメージノードの更新プログラムと新しいイメージを毎週提供していますが、既定ではパッチは自動的には適用されません。エージェントノード OS とランタイムコンポーネントにパッチを適用し続けるには、定期的なノードイメージのアップグレードのスケジュールを維持するか、これを自動化する必要があります。

同様に、AKS は kubernetes の新しいパッチとマイナーバージョンを定期的にリリースしています。これらの更新プログラムには、Kubernetes に対するセキュリティまたは機能の強化が含まれていることがあります。クラスターの kubernetes バージョンを最新の状態に保ち、AKS Kubernetes のサポートバージョンポリシーに従う責任はユーザーが担います。

エージェントノードのユーザーカスタマイズ

Note

AKS エージェントノードは、Azure portal で標準の Azure IaaS リソースとして表示されます。しかし、これらの仮想マシンはカスタムの Azure リソースグループ (先頭に MC_* が付加されている) にデプロイされます。 IaaS の API またはリソースを使用して、ベース OS イメージの変更やこれらのノードの直接カスタマイズはできません。 AKS の API 経由以外で行われたすべてのカスタム変更は、アップグレード、スケーリング、更新、または再起動後には保持されません。また、CustomScriptExtension のようなノードの拡張子に変更を加えると、予期しない動作が発生する可能性があるため、禁止する必要があります。 Microsoft サポートが変更を指示しない限り、エージェントノードへの変更を実行しないでください。

AKS は、ユーザーに代わってエージェントノードのライフサイクルと操作を管理します。エージェントノードに関連付けられている IaaS リソースの変更はサポートされていません。サポートされていない操作の例としては、ノードプールの仮想マシンスケールセットのカスタマイズを、Azure portal または API を使用して構成を手動で変更して行うことが挙げられます。

ワークロード固有の構成またはパッケージの場合、AKS では Kubernetes daemon sets を使用することをお勧めします。

Kubernetes の特権 daemon sets と init コンテナーを使用すると、クラスターのエージェントノードでサードパーティ製ソフトウェアを調整/変更、またはクラスターのエージェントノードにインストールできます。このようなカスタマイズの例としては、カスタムセキュリティスキャンソフトウェアの追加や、sysctl 設定の更新などがあります。

この方法は上記の要件が適用される場合に推奨されますが、カスタムでデプロイした daemon set が原因でノードが使用できなくなった場合、AKS のエンジニアリングとサポートは変更のトラブルシューティングや診断には利用できません。

セキュリティの問題と修正プログラムの適用

AKS のマネージドコンポーネント 1 つ以上でセキュリティ上の欠陥が見つかった場合、AKS チームは問題を軽減するために、修正プログラムを影響を受けるすべてのクラスターに適用します。または、AKS チームからアップグレードガイダンスが提供されます。

セキュリティ上の欠陥によって影響を受けるエージェントノードについて、Microsoft は影響に関する詳細と、セキュリティの問題を修正または軽減するためのステップをユーザーに通知します。

ノードのメンテナンスとアクセス

ユーザーはエージェントノードにサインインして変更を加えることができますが、変更によってクラスターがサポートできない状態になる可能性があるため、この操作はお勧めできません。

ネットワークポート、アクセス、NSG

NSG のカスタマイズは、カスタムサブネット上でのみ行うことができます。マネージドサブネット上またはエージェントノードの NIC レベルで NSG をカスタマイズすることはできません。 AKS では、エグレスを制御し必要な接続を確保するために、特定のエンドポイントへのエグレス要件があります。エグレストラフィックの制限に関する記事を参照してください。イングレスの場合、要件は、クラスターにデプロイしたアプリケーションに基づきます。

停止された、割り当て解除された、または準備ができていないノード

AKS ワークロードを継続的に実行不要な場合は、すべてのノードプールとコントロールプレーンを停止する AKS クラスターを停止します。必要に応じて再開できます。 az aks stop コマンドを使用してクラスターを停止した場合、クラスターの状態は最長 12 か月間保持されます。 12 か月後、クラスターの状態とそのすべてのリソースが削除されます。

すべてのクラスターノードを IaaS の API、Azure CLI、または Azure portal から手動で割り当て解除することは、AKS クラスターまたはノードプールを停止するためにはサポートされていません。クラスターはサポート対象外と見なされ、30 日後に AKS によって停止されます。その後、クラスターは正しく停止されるクラスターと同じ 12 か月の保持ポリシーの対象になります。

準備完了ノードがない (またはすべて準備できていない) クラスターや実行中の VM がないクラスターは、30 日後に停止されます。

AKS は、30 日以上の延長期間について、サポートガイドラインを超えて構成されているコントロールプレーンをアーカイブする権利を留保します。 AKS では、クラスターの etcd メタデータのバックアップが保持され、クラスターを簡単に再割り当てすることができます。この再割り当ては、クラスターをサポートに戻す任意の PUT 操作 (アクティブなエージェントノードへのアップグレードやスケーリングなど) によって開始できます。

一時停止されたサブスクリプション内のすべてのクラスターは直ちに停止され、90 日後に削除されます。削除されたサブスクリプション内のすべてのクラスターは直ちに削除されます。

非サポートのアルファとベータの Kubernetes 機能

AKS では、アップストリームの Kubernetes プロジェクト内の安定したベータの機能のみがサポートされます。文書化されていない限り、AKS では、アップストリームの Kubernetes プロジェクトで使用できるアルファの機能がサポートされていません。

プレビュー機能または機能フラグ

拡張テストとユーザーフィードバックを必要とする機能の場合、Microsoft では、新しいプレビュー機能または機能フラグの背後にある機能をリリースします。これらの機能は、プレリリースまたはベータ機能としてお考えください。

プレビュー機能または機能フラグは、運用環境向けではありません。 API と動作の継続的な変更、バグの修正、その他の変更により、クラスターが不安定になったり、ダウンタイムが生じたりする可能性があります。

パブリックプレビューの機能はベストエフォート サポートに該当します。これらの機能はプレビュー段階であり、運用環境向けではありません。 AKS テクニカルサポートチームは、営業時間中にのみサポートを提供します。詳細については、「Azure サポートに関する FAQ」を参照してください。

アップストリームのバグと問題

アップストリームの Kubernetes プロジェクトにおける開発速度では、バグが必ず発生します。これらのバグの一部には、修正プログラムを適用できず、AKS システム内で回避できないものがあります。代わりに、バグの修正では、アップストリームのプロジェクト (Kubernetes、ノードまたはエージェントのオペレーティングシステム、カーネルなど) に対する大規模な修正プログラムが必要になります。 Microsoft が所有するコンポーネント (Azure クラウドプロバイダーなど) については、AKS と Azure の担当者がコミュニティのアップストリームで問題の修正に努めます。

テクニカルサポートの問題に対する根本原因が 1 つ以上のアップストリームのバグである場合、AKS のサポートチームとエンジニアリングチームは次のことを行います。

アップストリームのバグを特定し、その問題がお客様のクラスターやワークロードに影響する理由を説明するのに役立つサポートの詳細にリンクします。お客様は、問題を監視し、新しいリリースで修正プログラムがいつ提供されるかを確認できるよう、必要なリポジトリへのリンクを受け取ります。
潜在的な回避策または軽減策を提供します。問題を軽減できる場合は、既知の問題が AKS リポジトリに記録されます。既知の問題の記録には、次の内容が示されます。
- アップストリームのバグへのリンクを含む問題
- 回避策、および解決策のアップグレードやその他の永続化に関する詳細情報
- アップストリームのリリース周期に基づく、問題の組み込みの大まかなタイムライン

Azure Kubernetes Service のサポート ポリシー