Veelgestelde vragen over AKS

AKS biedt SLA-garanties in de prijscategorie Standard met de functie UPTIME SLA.

Platformondersteuning is een verminderd ondersteuningsplan voor niet-ondersteunde N-3-versieclusters. Platformondersteuning omvat alleen ondersteuning voor Azure-infrastructuur.

Zie het platformondersteuningsbeleid voor meer informatie.

Ja, AKS initieert automatische upgrades voor niet-ondersteunde clusters. Wanneer een cluster in een n-3-versie (waarbij n de meest recente ondersteunde secundaire AKS GA-versie is) op het punt staat om te worden verwijderd naar n-4, wordt het cluster automatisch bijgewerkt naar n-2 om in een AKS-ondersteuningsbeleid te blijven.

Zie Ondersteunde Kubernetes-versies, geplande onderhoudsvensters en automatische upgrades voor meer informatie.

Ja, AKS ondersteunt Windows Server-containers. Zie de veelgestelde vragen over Windows Server op AKS voor meer informatie.

AKS-agentknooppunten worden gefactureerd als standaard virtuele Azure-machines. Als u Azure-reserveringen hebt aangeschaft voor de VM-grootte die u in AKS gebruikt, worden deze kortingen automatisch toegepast.

Nee, het verplaatsen van uw AKS-cluster tussen tenants wordt momenteel niet ondersteund.

Nee, het verplaatsen van uw AKS-cluster tussen abonnementen wordt momenteel niet ondersteund.

Nee, het verplaatsen of hernoemen van uw AKS-cluster en de bijbehorende resources wordt niet ondersteund.

Nee, u kunt het cluster niet herstellen nadat u het hebt verwijderen. Wanneer u uw cluster verwijdert, worden ook de knooppuntresourcegroep en alle bijbehorende resources verwijderd.

Als u een van uw resources wilt behouden, verplaatst u deze naar een andere resourcegroep voordat u het cluster verwijdert. Als u wilt beveiligen tegen onbedoelde verwijderingen, kunt u de beheerde AKS-resourcegroep vergrendelen die als host fungeert voor uw clusterresources met behulp van vergrendeling van de knooppuntresourcegroep.

U kunt een actief AKS-cluster volledig stoppen of alle of specifieke User knooppuntgroepen automatisch schalen naar nul.

U kunt systeemknooppuntgroepen niet rechtstreeks schalen naar nul.

Nee, schaalbewerkingen met behulp van de API's voor virtuele-machineschaalsets worden niet ondersteund. U kunt de AKS-API's (az aks scale) gebruiken.

Nee, schaalbewerkingen met behulp van de API's voor virtuele-machineschaalsets worden niet ondersteund. U kunt de AKS-API gebruiken om niet-systeemknooppuntgroepen te schalen naar nul of om uw cluster te stoppen.

Nee, dit is geen ondersteunde configuratie. Stop in plaats daarvan uw cluster .

AKS bouwt voort op veel Azure-infrastructuurbronnen, waaronder Virtuele-machineschaalsets, virtuele netwerken en beheerde schijven. Met deze integraties kunt u veel van de kernmogelijkheden van het Azure-platform toepassen binnen de beheerde Kubernetes-omgeving die wordt geleverd door AKS. De meeste typen virtuele Azure-machines kunnen bijvoorbeeld rechtstreeks worden gebruikt met AKS en Azure-reserveringen kunnen worden gebruikt om automatisch kortingen op deze resources te ontvangen.

Als u deze architectuur wilt inschakelen, omvat elke AKS-implementatie twee resourcegroepen:

1. U maakt de eerste resourcegroep. Deze groep bevat alleen de Kubernetes-serviceresource. De AKS-resourceprovider maakt automatisch de tweede resourcegroep tijdens de implementatie. Een voorbeeld van de tweede resourcegroep is MC_myResourceGroup_myAKSCluster_eastus. Zie de volgende sectie voor informatie over het opgeven van de naam van deze tweede resourcegroep.
2. De tweede resourcegroep, ook wel de knooppuntresourcegroep genoemd, bevat alle infrastructuurresources die aan het cluster zijn gekoppeld. Deze resources omvatten de Kubernetes-knooppunt-VM's, virtuele netwerken en opslag. De resourcegroep van het knooppunt heeft standaard een naam zoals MC_myResourceGroup_myAKSCluster_eastus. AKS verwijdert automatisch de knooppuntresourcegroep wanneer u het cluster verwijdert. U moet deze resourcegroep alleen gebruiken voor resources die de levenscyclus van het cluster delen.

AKS noemt standaard de resourcegroep van het knooppunt MC_resourcegroupname_clustername_location, maar u kunt uw eigen naam opgeven.

Als u de naam van uw eigen resourcegroep wilt opgeven, installeert u de Azure CLI-extensie aks-preview versie 0.3.2 of hoger. Wanneer u een AKS-cluster maakt met behulp van de opdracht [az aks create][az-aks-create], gebruikt u de --node-resource-group parameter en geeft u een naam op voor de resourcegroep. Als u een Azure Resource Manager-sjabloon gebruikt om een AKS-cluster te implementeren, kunt u de naam van de resourcegroep definiëren met behulp van de eigenschap nodeResourceGroup .

• De Azure-resourceprovider maakt automatisch de secundaire resourcegroep.
• U kunt alleen een aangepaste resourcegroepnaam opgeven wanneer u het cluster maakt.

Wanneer u met de knooppuntresourcegroep werkt, moet u er rekening mee houden dat u het volgende niet kunt doen:

• Geef een bestaande resourcegroep op voor de knooppuntresourcegroep.
• Geef een ander abonnement op voor de knooppuntresourcegroep.
• Wijzig de naam van de knooppuntresourcegroep nadat het cluster is gemaakt.
• Geef namen op voor de beheerde resources in de knooppuntresourcegroep.
• Door Azure gemaakte tags van beheerde resources in de knooppuntresourcegroep wijzigen of verwijderen.

Mogelijk krijgt u onverwachte schaal- en upgradefouten als u door Azure gemaakte tags en andere resource-eigenschappen in de knooppuntresourcegroep wijzigt of verwijdert. Met AKS kunt u aangepaste tags maken en wijzigen die door eindgebruikers zijn gemaakt en u kunt deze tags toevoegen bij het maken van een knooppuntgroep. U kunt aangepaste tags maken of wijzigen, bijvoorbeeld om een bedrijfseenheid of kostenplaats toe te wijzen. Een andere optie is om Azure-beleid te maken met een bereik voor de beheerde resourcegroep.

Door Azure gemaakte tags worden gemaakt voor hun respectieve Azure-services en moeten altijd worden toegestaan. Voor AKS zijn er de aks-managed en k8s-azure tags. Het wijzigen van door Azure gemaakte tags op resources onder de knooppuntresourcegroep in het AKS-cluster is een niet-ondersteunde actie die de serviceniveaudoelstelling (SLO) onderbreekt.

Zie AKS-regio's en beschikbaarheid voor een volledige lijst met beschikbare regio's.

Nee, AKS-clusters zijn regionale resources en kunnen geen regio's omvatten. Zie best practices voor bedrijfscontinuïteit en herstel na noodgevallen voor hulp bij het maken van een architectuur met meerdere regio's.

Ja, u kunt een AKS-cluster implementeren in een of meer beschikbaarheidszones in regio's die deze ondersteunen.

Ja, u kunt verschillende grootten van virtuele machines in uw AKS-cluster gebruiken door meerdere knooppuntgroepen te maken.

AKS stelt geen limiet in voor de grootte van de containerinstallatiekopieën. Het is echter belangrijk om te begrijpen dat hoe groter de afbeelding, hoe hoger de vraag naar geheugen. Een grotere grootte kan mogelijk de resourcelimieten overschrijden of het totale beschikbare geheugen van werkknooppunten. Standaard is geheugen voor VM-grootte Standard_DS2_v2 voor een AKS-cluster ingesteld op 7 GiB.

Wanneer een containerinstallatiekopie te groot is, zoals in het bereik Van Terabyte (TB's), kan kubelet deze mogelijk niet ophalen uit het containerregister naar een knooppunt vanwege onvoldoende schijfruimte.

Voor Windows Server-knooppunten wordt Windows Update niet automatisch uitgevoerd en worden de meest recente updates toegepast. Volgens een regelmatig schema rond de releasecyclus van Windows Update en uw eigen validatieproces moet u een upgrade uitvoeren op het cluster en de Windows Server-knooppuntgroep(en) in uw AKS-cluster. Met dit upgradeproces worden knooppunten gemaakt waarop de meest recente Windows Server-installatiekopieën en patches worden uitgevoerd, waarna de oudere knooppunten worden verwijderd. Zie Een knooppuntgroep upgraden in AKS voor meer informatie over dit proces.

De volgende installatiekopieën hebben functionele vereisten voor 'Uitvoeren als root' en uitzonderingen moeten worden opgeslagen voor elk beleid:

• mcr.microsoft.com/oss/kubernetes/coredns
• mcr.microsoft.com/azuremonitor/containerinsights/ciprod
• mcr.microsoft.com/oss/calico/node
• mcr.microsoft.com/oss/kubernetes-csi/azuredisk-csi

Ja, er zijn twee opties voor het beperken van de toegang tot de API-server:

• Gebruik geautoriseerde IP-bereiken van API Server als u een openbaar eindpunt voor de API-server wilt onderhouden, maar de toegang tot een set vertrouwde IP-bereiken wilt beperken.
• Gebruik een privécluster als u wilt beperken dat de API-server alleen toegankelijk is vanuit uw virtuele netwerk.

AKS patches CV's die elke week een 'leverancieroplossing' hebben. CV's zonder een oplossing wachten op een oplossing van de leverancier voordat ze kunnen worden hersteld. De AKS-installatiekopieën worden binnen 30 dagen automatisch bijgewerkt. U wordt aangeraden een bijgewerkte knooppuntinstallatiekopie regelmatig toe te passen om ervoor te zorgen dat de meest recente patchinstallatiekopieën en besturingssysteempatches allemaal worden toegepast en actueel zijn. U kunt dit doen met een van de volgende methoden:

• Handmatig, via De Azure-portal of de Azure CLI.
• Door uw AKS-cluster te upgraden. Het cluster werkt cordon- en drain-knooppunten automatisch bij en brengt vervolgens een nieuw knooppunt online met de nieuwste Ubuntu-installatiekopie en een nieuwe patchversie of een secundaire Kubernetes-versie. Zie Een AKS-cluster upgraden voor meer informatie.
• Door de upgrade van de knooppuntinstallatiekopieën te gebruiken.

Microsoft biedt richtlijnen voor andere acties die u kunt ondernemen om uw workloads te beveiligen via services zoals Microsoft Defender for Containers. De volgende beveiligingsrisico's zijn gerelateerd aan AKS en Kubernetes waarvan u rekening moet houden:

• Nieuwe grootschalige campagnedoelen voor Kubeflow (8 juni 2021).

Nee, alle gegevens worden opgeslagen in de regio van het cluster.

Traditioneel als uw pod wordt uitgevoerd als een niet-basisgebruiker (wat u moet doen), moet u een fsGroup binnen de beveiligingscontext van de pod opgeven, zodat het volume kan worden gelezen en beschrijfbaar door de pod. Deze vereiste wordt hier uitvoeriger besproken.

Een neveneffect van het instellen fsGroup is dat telkens wanneer een volume wordt gekoppeld, Kubernetes recursief en alle bestanden en mappen binnen het volume moet recursief chown() chmod() zijn (met enkele uitzonderingen die hieronder worden vermeld). Dit scenario gebeurt zelfs als het groepseigendom van het volume al overeenkomt met de aangevraagde fsGroup. Het kan duur zijn voor grotere volumes met veel kleine bestanden, waardoor het opstarten van pods lang kan duren. Dit scenario is een bekend probleem geweest voor v1.20 en de tijdelijke oplossing is het instellen van de Pod als root:

apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 0
    fsGroup: 0

Het probleem is opgelost met Kubernetes versie 1.20. Zie Kubernetes 1.20 voor meer informatie: Gedetailleerde controle over wijzigingen in volumemachtigingen.

AKS maakt gebruik van een beveiligde tunnelcommunicatie om de kubelets van de API-server en afzonderlijke knooppunten te laten communiceren, zelfs op afzonderlijke virtuele netwerken. De tunnel wordt beveiligd via mTLS-versleuteling. De huidige hoofdtunnel die door AKS wordt gebruikt, is Konnectivity, voorheen bekend als apiserver-network-proxy. Controleer of alle netwerkregels voldoen aan de vereiste netwerkregels en FQDN's van Azure.

Ja, u kunt de aantekening kubernetes.azure.com/set-kube-service-host-fqdn toevoegen aan pods om de KUBERNETES_SERVICE_HOST variabele in te stellen op de domeinnaam van de API-server in plaats van het IP-adres van de in-clusterservice. Dit is handig in gevallen waarin het uitgaand verkeer van uw cluster wordt uitgevoerd via een firewall van laag 7, zoals bij het gebruik van Azure Firewall met toepassingsregels.

AKS past geen netwerkbeveiligingsgroepen (NSG's) toe op het subnet en wijzigt geen NSG's die aan dat subnet zijn gekoppeld. AKS wijzigt alleen de NSG-instellingen voor netwerkinterfaces. Als u CNI gebruikt, moet u er ook voor zorgen dat de beveiligingsregels in de NSG's verkeer toestaan tussen het knooppunt en de CIDR-bereiken voor pods. Als u kubenet gebruikt, moet u er ook voor zorgen dat de beveiligingsregels in de NSG's verkeer toestaan tussen het knooppunt en de CIDR van de pod. Zie Netwerkbeveiligingsgroepen voor meer informatie.

AKS-knooppunten voeren de 'chrony'-service uit, die tijd ophaalt van de localhost. Containers die worden uitgevoerd op pods krijgen de tijd van de AKS-knooppunten. Toepassingen die in een container worden gestart, gebruiken tijd van de container van de pod.

Nee, AKS is een beheerde service en het bewerken van de IaaS-resources wordt niet ondersteund. Als u aangepaste onderdelen wilt installeren, gebruikt u de Kubernetes-API's en mechanismen. Gebruik bijvoorbeeld DaemonSets om vereiste onderdelen te installeren.

AKS ondersteunt de volgende toegangscontrollers:

• NamespaceLifecycle
• LimitRanger
• ServiceAccount
• DefaultIngressClass
• DefaultStorageClass
• DefaultTolerationSeconds
• MutatingAdmissionWebhook
• ValidatingAdmissionWebhook
• ResourceQuota
• PodNodeSelector
• PodTolerationRestriction
• ExtendedResourceToleration

Op dit moment kunt u de lijst met toegangscontrollers in AKS niet wijzigen.

Ja, u kunt toegangscontrollerwebhooks op AKS gebruiken. Het is raadzaam om interne AKS-naamruimten uit te sluiten, die zijn gemarkeerd met het label besturingsvlak . Voorbeeld:

namespaceSelector:
    matchExpressions:
    - key: control-plane
      operator: DoesNotExist

AKS-firewalls uitgaand verkeer van de API-server, zodat de webhooks van de toegangscontroller toegankelijk moeten zijn vanuit het cluster.

Om de stabiliteit van het systeem te beschermen en te voorkomen dat aangepaste toegangscontrollers van invloed zijn op interne services in het kube-systeem, heeft naamruimte AKS een toegangsafdwinger, die automatisch kube-system- en AKS-interne naamruimten uitsluit. Deze service zorgt ervoor dat de aangepaste toegangscontrollers geen invloed hebben op de services die worden uitgevoerd in kube-system.

Als u een kritieke use-case hebt voor het implementeren van iets op kube-system (niet aanbevolen) ter ondersteuning van uw aangepaste toegangswebhook, kunt u het volgende label of de volgende aantekening toevoegen, zodat de toegangsafdwinger dit negeert.

Label: "admissions.enforcer/disabled": "true" of Aantekening: "admissions.enforcer/disabled": true

Azure Key Vault-provider voor Secrets Store CSI Driver biedt systeemeigen integratie van Azure Key Vault in AKS.

Knooppunten met FIPS-functionaliteit worden nu ondersteund in linux-knooppuntgroepen. Zie Een FIPS-knooppuntgroep toevoegen voor meer informatie.

Elke patch, inclusief een beveiligingspatch, wordt automatisch toegepast op het AKS-cluster. Alles wat groter is dan een patch, zoals belangrijke of secundaire versiewijzigingen (die belangrijke wijzigingen in uw geïmplementeerde objecten kunnen hebben), wordt bijgewerkt wanneer u uw cluster bijwerkt als er een nieuwe release beschikbaar is. U kunt vinden wanneer er een nieuwe release beschikbaar is door naar de opmerkingen bij de AKS-release te gaan.

De AKS Linux-extensie is een Azure VM-extensie waarmee bewakingshulpprogramma's op Kubernetes-werkknooppunten worden geïnstalleerd en geconfigureerd. De extensie wordt geïnstalleerd op alle nieuwe en bestaande Linux-knooppunten. Hiermee configureert u de volgende bewakingshulpprogramma's:

• Knooppuntexporteur: verzamelt hardwaretelemetrie van de virtuele machine en maakt deze beschikbaar met behulp van een eindpunt voor metrische gegevens. Vervolgens kan een bewakingsprogramma, zoals Prometheus, deze metrische gegevens schrooten.
• Node-problem-detector: is bedoeld om verschillende knooppuntproblemen zichtbaar te maken voor upstream-lagen in de clusterbeheerstack. Het is een systeemeenheid die op elk knooppunt wordt uitgevoerd, knooppuntproblemen detecteert en deze rapporteert aan de API-server van het cluster met behulp van Events en NodeConditions.
• ig: Een opensource-framework met eBPF voor foutopsporing en het observeren van Linux- en Kubernetes-systemen. Het biedt een set hulpprogramma's (of gadgets) die zijn ontworpen om relevante informatie te verzamelen, zodat gebruikers de oorzaak van prestatieproblemen, crashes of andere afwijkingen kunnen identificeren. Met name de onafhankelijkheid van Kubernetes stelt gebruikers in staat om het ook te gebruiken voor foutopsporing van besturingsvlakproblemen.

Deze hulpprogramma's bieden waarneembaarheid rond veel problemen met betrekking tot de status van knooppunten, zoals:

• Problemen met infrastructuurdemon: NTP-service is offline
• Hardwareproblemen: Ongeldige CPU, geheugen of schijf
• Kernelproblemen: kernel impasse, beschadigd bestandssysteem
• Problemen met containerruntime: Niet-reagerende runtime-daemon

Voor de extensie is geen extra uitgaande toegang vereist tot URL's, IP-adressen of poorten buiten de gedocumenteerde AKS-vereisten voor uitgaand verkeer. Er zijn geen speciale machtigingen vereist die zijn verleend in Azure. Kubeconfig wordt gebruikt om verbinding te maken met de API-server om de verzamelde bewakingsgegevens te verzenden.

De meeste clusters worden verwijderd op verzoek van de gebruiker. In sommige gevallen, met name wanneer u uw eigen resourcegroep meeneemt of cross-RG-taken uitvoert, kan het verwijderen langer duren of zelfs mislukken. Als u een probleem hebt met verwijderen, controleert u of u geen vergrendelingen op de RG hebt, of alle resources buiten de RG worden ontkoppeld van de RG, enzovoort.

Als u problemen ondervindt met het maken en bijwerken van clusterbewerkingen, moet u ervoor zorgen dat u geen toegewezen beleidsregels of servicebeperkingen hebt die het beheer van resources zoals VM's, load balancers, tags, enzovoort kunnen blokkeren voor uw AKS-cluster.

Dat kan, maar we raden het niet aan. U moet updates uitvoeren wanneer de status van het cluster bekend en in orde is.

Nee, verwijder of verwijder knooppunten met een mislukte status of anderszins uit het cluster voordat u een upgrade uitvoert.

Deze fout treedt meestal op als u nog een of meer netwerkbeveiligingsgroepen (NSG's) gebruikt die zijn gekoppeld aan het cluster. Verwijder ze en probeer de verwijdering opnieuw uit te voeren.

Controleer of uw service-principal niet is verlopen. Zie AKS-service-principal en AKS-updatereferenties.

Controleer of uw service-principal niet is verlopen. Zie AKS-service-principal en AKS-updatereferenties.