Azure Linux には、Azure Kubernetes Service (AKS)用の 2 つのコンテナー最適化オペレーティング システム (OS) オプション (Azure Linux コンテナー ホストと Azure Container Linux (ACL) が用意されています。 どちらもAzure Linux 基盤上に構築され、Microsoftによって維持されますが、設計哲学、更新モデル、セキュリティ体制が異なります。
この記事では、AKS の 2 つの Azure Linux コンテナー最適化 OS オプションの違いを理解し、ワークロードの要件に基づいて適切なオプションを選択する方法について説明します。
Azure Linux コンテナー ホストと Azure Container Linux (ACL) の比較
次の表は、基本 OS、ファイルシステム モデル、更新メカニズム、OS アップグレード チャネル、その他の運用上およびセキュリティ上の特性など、複数のディメンションにわたる Azure Linux Container Host と Azure Container Linux (ACL) の主な違いをまとめたものです。
| 特徴 | Azure Linux コンテナー ホスト | Azure Container Linux (ACL) |
|---|---|---|
| に基づいて | Azure Linux | Azure Linux パッケージとサービスを備えた Flatcar Container Linux |
| ファイルシステム モデル | 変更可能 (標準の読み取り/書き込み) | 不変 (/usr は読み取り専用で、dm-verity によって保護されます) |
| 更新メカニズム | パッケージ ベースの OS 更新プログラム | 毎週のイメージ ベースの更新 (個々のパッケージの更新なし) |
| OS アップグレード チャネル | サポートされているすべての AKS ノード OS アップグレード チャネル |
NodeImage と None のみ |
| パッケージ管理 | RPM ベース (dnf) |
パッケージ管理なし (不変 OS) |
| カスタマイズ | パッケージ レベルのカスタマイズが可能 | ワークロードのカスタマイズは、主にコンテナーを使用します。ホスト レベルのソフトウェア配信が必要な場合は、systemd 拡張機能を使用して拡張性が提供されます |
| セキュリティ モデル | Azure最適化、CIS レベル 1 に準拠した強化された Linux カーネル | カーネルによる不変性の強制 (dm-verity)、デフォルトでの SELinux の強制モード、セキュア ブートによるトラステッド起動が必須 |
| ブートの要件 | Standard AKS 仮想マシン (VM) のサイズ | セキュア ブートと vTPM が必要なトラステッド起動 (第 2 世代 VM のみ) |
| アーキテクチャのサポート | AMD64 と ARM64 | AMD64 と ARM64 |
| GPU のサポート | AKS 上のすべての NVIDIA GPU AMD64 VM サイズ | AKS 上のすべての NVIDIA GPU AMD64 VM サイズ |
| FIPS のサポート | Supported | Supported |
| ポッド サンドボックス | Supported | サポートしていません |
| アーティファクト ストリーミング | Supported | まだサポートされていません |
| 機密 VM | Supported | まだサポートされていません |
Linux コンテナー ホストAzure使用するタイミング
必要に応Azure Linux コンテナー ホストを使用します。
- 広範な機能互換性: すべての AKS OS アップグレード チャネル、FIPS、ポッド サンドボックス、成果物ストリーミング、および機密 VM の完全なサポート。
- パッケージ レベルの柔軟性: ノードに個々のパッケージをインストール、更新、またはカスタマイズする機能。
- 汎用コンテナー ワークロード: 既存の AKS 拡張機能、アドオン、およびオープンソース ツールと連携する、軽量で安全で安定したコンテナー ホスト。
AKS Azure Linux Container Host の使用を開始するには、「
Azure Container Linux (ACL) を使用する場合
必要な場合は ACL を使用します。
- 改ざん防止インフラストラクチャ: dm-verity を使用したカーネル強制不変性により、実行時に OS イメージを変更できなくなります。
- 最小の攻撃対象領域: コンテナーの実行に必要なコンポーネントのみが含まれるため、パッケージの数と攻撃者の潜在的なエントリ ポイントが減ります。
- 一貫性のある自動更新: 毎週のイメージベースの自動更新では、すべてのノードが最新のセキュリティ パッチを使用して同じ OS バージョンに維持されます。
- 厳密なセキュリティとコンプライアンス: SELinux (既定で適用) とセキュア ブートによる信頼された起動 (統合カーネル イメージ経由) が既定で有効になります。
AKS での ACL の使用を開始するには、「