Systemkrav för AKS som aktiveras av Azure Arc på Azure Stack HCI 22H2

  • Artikel

Gäller för: Azure Stack HCI, version 22H2; Windows Server 2022, Windows Server 2019

I den här artikeln beskrivs kraven för att konfigurera Azure Kubernetes Service (AKS) som aktiveras av Azure Arc. En översikt över AKS aktiverat av Arc finns i AKS-översikten.

Maskinvarukrav

Microsoft rekommenderar att du köper en validerad azure Stack HCI-maskin-/programvarulösning från våra partner. Dessa lösningar är utformade, monterade och validerade för att köra vår referensarkitektur och för att kontrollera kompatibilitet och tillförlitlighet så att du kommer igång snabbt. Du bör kontrollera att de system, komponenter, enheter och drivrutiner som du använder är Windows Server-certifierade enligt Windows Server-katalogen. Verifierade lösningar finns på webbplatsen för Azure Stack HCI-lösningar .

Viktigt

Värdsystemen för produktionsdistributioner måste vara fysisk maskinvara. Kapslad virtualisering, som karakteriseras som distribution av Azure Stack HCI eller Windows Server på en virtuell dator och installation av AKS på den virtuella datorn, stöds inte.

Maximalt antal maskinvaruspecifikationer som stöds

AKS på Azure Stack HCI- och Windows Server-distributioner som överskrider följande specifikationer stöds inte:

Resurs Maximal
Fysiska servrar per kluster 8 (Azure Stack HCI version 22H2 och Windows Server)
Totalt antal virtuella datorer 200

Beräkningskrav

Minimikrav för minne

Du kan konfigurera ditt AKS-kluster på följande sätt för att köra AKS på en windowsserver med en enda nod med begränsat RAM-minne:

Klustertyp Kontrollplanets VM-storlek Arbetsnod För uppdateringsåtgärder Lastbalanserare
AKS-värd Standard_A4_v2 VM-storlek = 8 GB Saknas – AKS-värden har inte arbetsnoder. 8 GB Saknas – AKS-värden använder kubevip för belastningsutjämning.
Arbetsbelastningskluster Standard_A4_v2 VM-storlek = 8 GB Standard_K8S3_v1 för 1 arbetsnod = 6 GB Kan återanvända den här reserverade 8 GB för uppgradering av arbetsbelastningskluster. Saknas om kubevip används för belastningsutjämning (i stället för haProxy-standardlastbalanseraren).

Totalt minimikrav: 30 GB RAM-minne.

Det här minimikravet gäller för en AKS-distribution med en arbetsnod för att köra containerbaserade program. Om du väljer att lägga till arbetsnoder eller en HAProxy-lastbalanserare ändras det slutliga RAM-kravet i enlighet med detta.

Miljö CPU-kärnor per server RAM
Azure Stack HCI 32 256 GB
Windows Server-redundanskluster 32 256 GB
Windows Server med en nod 16 128 GB

För en produktionsmiljö beror den slutliga storleken på programmet och antalet arbetsnoder som du planerar att distribuera i Azure Stack HCI- eller Windows Server-klustret. Om du väljer att köra AKS på en Windows Server med en nod får du inte funktioner som hög tillgänglighet med AKS som körs på ett Azure Stack HCI-kluster, Windows Server-kluster eller Windows Server-redundanskluster.

Andra beräkningskrav för AKS på Azure Stack HCI och Windows Server är i linje med kraven för Azure Stack HCI. Mer information om serverkrav för Azure Stack HCI finns i Systemkrav för Azure Stack HCI .

Du måste installera samma operativsystem på varje server i klustret. Om du använder Azure Stack HCI måste samma operativsystem och version vara samma på varje server i klustret. Om du använder Windows Server Datacenter måste samma operativsystem och version vara samma på varje server i klustret. Varje operativsystem måste använda region- och språkvalen en-us . Du kan inte ändra de här inställningarna efter installationen.

Lagringskrav

AKS på Azure Stack HCI och Windows Server stöder följande lagringsimplementeringar:

Name Lagringstyp Kapacitet som krävs
Azure Stack HCI-kluster Klusterdelade volymer 1 TB
Windows Server Datacenter-redundanskluster Klusterdelade volymer 1 TB
Windows Server Datacenter med en nod Direktansluten lagring 500 GB

För ett Azure Stack HCI- eller Windows Server-kluster finns det två lagringskonfigurationer som stöds för att köra arbetsbelastningar för virtuella datorer:

  • Hybridlagring balanserar prestanda och kapacitet med flashlagring och hårddiskar (HDD).
  • Lagring med enbart flash maximerar prestanda med SSD-enheter (Solid State Drive) eller NVMe.

System som bara har HDD-baserad lagring stöds inte av Azure Stack HCI och rekommenderas därför inte för att köra AKS på Azure Stack HCI och Windows Server. Mer information om de rekommenderade enhetskonfigurationerna finns i Azure Stack HCI-dokumentationen. Alla system som verifieras i Azure Stack HCI-katalogen hör till någon av dessa två lagringskonfigurationer som stöds.

Kubernetes använder etcd för att lagra klustrens tillstånd. Etcd lagrar konfiguration, specifikationer och status för poddar som körs. Dessutom använder Kubernetes arkivet för tjänstidentifiering. Som en samordningskomponent för driften av Kubernetes och de arbetsbelastningar som stöds är svarstid och dataflöde till etcd kritiska. Du måste köra AKS på en SSD. Mer information finns i Prestanda på etcd.io.

För ett Windows Server Datacenter-baserat kluster kan du antingen distribuera med lokal lagring eller SAN-baserad lagring. För lokal lagring rekommenderar vi att du använder den inbyggda Lagringsdirigering eller en motsvarande certifierad virtuell SAN-lösning för att skapa en hyperkonvergerad infrastruktur som presenterar klusterdelade volymer för användning av arbetsbelastningar. För Lagringsdirigering krävs att din lagring antingen är hybrid (flash + HDD) som balanserar prestanda och kapacitet, eller helt flash (SSD, NVMe) som maximerar prestanda. Om du väljer att distribuera med SAN-baserad lagring kontrollerar du att SAN-lagringen kan leverera tillräckligt med prestanda för att köra flera arbetsbelastningar på virtuella datorer. Äldre HDD-baserad SAN-lagring kanske inte levererar de prestandanivåer som krävs för att köra flera arbetsbelastningar för virtuella datorer, och du kan se prestandaproblem och tidsgränser.

För Windows Server-distributioner med en nod som använder lokal lagring rekommenderar vi starkt att du använder flashlagring (SSD, NVMe) för att leverera den prestanda som krävs för att vara värd för flera virtuella datorer på en enda fysisk värd. Utan flashlagring kan de lägre prestandanivåerna på hårddiskar orsaka distributionsproblem och tidsgränser.

Nätverkskrav

Följande krav gäller för ett Azure Stack HCI 22H2-kluster och ett Windows Server Datacenter-kluster. Nätverkskrav på Azure Stack HCI 23H2 finns i Nätverkskrav.

  • För Azure Stack HCI 22H2 och Windows Server kontrollerar du att du har en befintlig extern virtuell växel konfigurerad om du använder Windows Admin Center. För HCI- eller Windows Server-kluster måste den här växeln och dess namn vara samma för alla klusternoder. För HCI 23H2, se kraven för nätverkssystem.
  • Kontrollera att du har inaktiverat IPv6 på alla nätverkskort.
  • För en lyckad distribution måste Azure Stack HCI- eller Windows Server-klusternoderna och de virtuella Kubernetes-klusterdatorerna ha extern internetanslutning.
  • Kontrollera att alla undernät som du definierar för klustret kan dirigeras mellan varandra och till Internet.
  • Kontrollera att det finns nätverksanslutning mellan Azure Stack HCI-värdar och de virtuella klientdatorerna.
  • DNS-namnmatchning krävs för att alla noder ska kunna kommunicera med varandra.
  • (Rekommenderas) Aktivera dynamiska DNS-uppdateringar i DNS-miljön så att AKS kan registrera molnagentens allmänna klusternamn i DNS-systemet för identifiering.

TILLDELNING av IP-adress

I AKS som aktiveras av Arc används virtuella nätverk för att allokera IP-adresser till Kubernetes-resurser som kräver dem, som tidigare anges. Det finns två nätverksmodeller att välja mellan, beroende på önskad AKS-nätverksarkitektur.

Anteckning

Arkitekturen för virtuella nätverk som definieras här för dina AKS-distributioner skiljer sig från den underliggande fysiska nätverksarkitekturen i ditt datacenter.

  • Statiskt IP-nätverk: Det virtuella nätverket allokerar statiska IP-adresser till Kubernetes-klustrets API-server, Kubernetes-noder, underliggande virtuella datorer, lastbalanserare och alla Kubernetes-tjänster som du kör ovanpå klustret.
  • DHCP-nätverk: Det virtuella nätverket allokerar dynamiska IP-adresser till Kubernetes-noderna, underliggande virtuella datorer och lastbalanserare med hjälp av en DHCP-server. Kubernetes-klustrets API-server och alla Kubernetes-tjänster som du kör ovanpå klustret allokeras fortfarande statiska IP-adresser.

Minsta IP-adressreservation

Du bör minst reservera följande antal IP-adresser för distributionen:

Klustertyp Kontrollplansnod Arbetsnod För uppdateringsåtgärder Lastbalanserare
AKS-värd 1 IP-adress NA 2 IP-adresser NA
Arbetsbelastningskluster 1 IP per nod 1 IP per nod 5 IP-adresser 1 IP-adress

Dessutom bör du reservera följande antal IP-adresser för din VIP-pool:

Resurstyp Antal IP-adresser
Kluster-API-server 1 per kluster
Kubernetes-tjänster 1 per tjänst

Som du ser varierar antalet nödvändiga IP-adresser beroende på AKS-arkitekturen och antalet tjänster som du kör i Kubernetes-klustret. Vi rekommenderar att du reserverar totalt 256 IP-adresser (/24 undernät) för distributionen.

Mer information om nätverkskrav finns i begrepp för nodnätverk i AKS och begrepp för containernätverk i AKS.

Krav för nätverksport och URL

AKS aktiverat av Arc-krav

När du skapar ett Kubernetes-kluster på Azure Stack HCI öppnas följande brandväggsportar automatiskt på varje server i klustret.

Om de fysiska klusternoderna i Azure Stack HCI och virtuella Azure Kubernetes-klusterdatorer finns på två isolerade vlan måste dessa portar öppnas i brandväggen mellan dem:

Port Källa Beskrivning Brandväggsanteckningar
22 Virtuella AKS-datorer Krävs för att samla in loggar när du använder Get-AksHciLogs. Om du använder separata VLAN måste de fysiska Hyper-V-värdarna komma åt de virtuella AKS-datorerna på den här porten.
6443 Virtuella AKS-datorer Krävs för att kommunicera med Kubernetes-API:er. Om du använder separata VLAN måste de fysiska Hyper-V-värdarna komma åt de virtuella AKS-datorerna på den här porten.
45000 Fysiska Hyper-V-värdar wssdAgent gRPC-server. Inga regler mellan VLAN behövs.
45001 Fysiska Hyper-V-värdar wssdAgent gRPC-autentisering. Inga regler mellan VLAN behövs.
46000 Virtuella AKS-datorer wssdCloudAgent till lbagent. Om du använder separata VLAN måste de fysiska Hyper-V-värdarna komma åt de virtuella AKS-datorerna på den här porten.
55 000 Klusterresurs (-CloudServiceCIDR) Cloud Agent gRPC-server. Om du använder separata virtuella lokala nätverk måste de virtuella AKS-datorerna komma åt klusterresursens IP-adress på den här porten.
65000 Klusterresurs (-CloudServiceCIDR) Cloud Agent gRPC-autentisering. Om du använder separata virtuella lokala nätverk måste de virtuella AKS-datorerna komma åt klusterresursens IP-adress på den här porten.

Om nätverket kräver att en proxyserver används för att ansluta till Internet läser du Använda proxyserverinställningar på AKS.

Följande URL:er måste läggas till i listan över tillåtna:

URL Port Kommentarer
msk8s.api.cdp.microsoft.com 443 Används vid nedladdning av AKS i Azure Stack HCI-produktkatalog, produktbitar och OS-avbildningar från SFS. Inträffar när du kör Set-AksHciConfig och när du laddar ned från SFS.

msk8s.b.tlu.dl.delivery.mp.microsoft.com msk8s.f.tlu.dl.delivery.mp.microsoft.com		 80 Används vid nedladdning av AKS i Azure Stack HCI-produktkatalog, produktbitar och OS-avbildningar från SFS. Inträffar när du kör Set-AksHciConfig och när du laddar ned från SFS.

login.microsoftonline.com login.windows.net
management.azure.com msft.sts.microsoft.com
graph.windows.net
443 Används för att logga in på Azure när du kör Set-AksHciRegistration.

ecpacr.azurecr.io mcr.microsoft.com
*.mcr.microsoft.com
*.data.mcr.microsoft.com
*.blob.core.windows.net
US-slutpunkt: wus2replica*.blob.core.windows.net		 443 Krävs för att hämta containeravbildningar när du kör Install-AksHci.
<region.dp.kubernetesconfiguration.azure.com> 443 Krävs för att registrera AKS-hybridkluster till Azure Arc.
gbl.his.arc.azure.com 443 Krävs för att hämta den regionala slutpunkten för att hämta systemtilldelade hanterade identitetscertifikat.
*.his.arc.azure.com 443 Krävs för att hämta systemtilldelade hanterade identitetscertifikat.
k8connecthelm.azureedge.net 443 Arc-aktiverade Kubernetes använder Helm 3 för att distribuera Azure Arc-agenter i AKS-HCI-hanteringsklustret. Den här slutpunkten behövs för nedladdning av Helm-klienten för att underlätta distributionen av agentens Helm-diagram.
*.arc.azure.net 443 Krävs för att hantera AKS-hybridkluster i Azure Portal.
dl.k8s.io 443 Krävs för att ladda ned och uppdatera Kubernetes-binärfiler för Azure Arc.
akshci.azurefd.net 443 Krävs för AKS på Azure Stack HCI-fakturering när du kör Install-AksHci.

v20.events.data.microsoft.com gcs.prod.monitoring.core.windows.net		 443 Används regelbundet för att skicka microsofts obligatoriska diagnostikdata från Azure Stack HCI- eller Windows Server-värden.

Anteckning

AKS som aktiveras av Arc lagrar och bearbetar kunddata. Som standard finns kunddata kvar i den region där kunden distribuerar tjänstinstansen. Dessa data lagras i regionala Microsoft-drivna datacenter. För regioner med krav på datahemvist behålls kunddata alltid inom samma region.

Ytterligare URL-krav för Azure Arc-funktioner

Den tidigare URL-listan innehåller de url:er som krävs för att du ska kunna ansluta AKS-tjänsten till Azure för fakturering. Du måste tillåta ytterligare URL:er om du vill använda klusteranslutning, anpassade platser, Azure RBAC och andra Azure-tjänster som Azure Monitor osv. i ditt AKS-arbetsbelastningskluster. En fullständig lista över Arc-URL:er finns i Azure Arc-aktiverade Kubernetes-nätverkskrav.

Du bör också granska Azure Stack HCI-URL:er. Eftersom Arc för serveragenter nu installeras som standard på Azure Stack HCI-noder från Azure Stack HCI 21H2 och senare bör du även granska URL:erna för Arc for Server Agents.

Stretchkluster i AKS

Som beskrivs i översikten över stretchkluster stöds inte distribution av AKS på Azure Stack HCI och Windows Server med hjälp av Windows-stretchkluster. Vi rekommenderar att du använder en metod för säkerhetskopiering och haveriberedskap för ditt datacenters driftskontinuitet. Mer information finns i Utföra säkerhetskopiering eller återställning av arbetsbelastningskluster med Velero och Azure Blob Storage på Azure Stack HCI och Windows Server och Distribuera konfigurationer på AksHci med GitOps med Flux v2 för programkontinuitet.

Windows Admin Center krav

Windows Admin Center är användargränssnittet för att skapa och hantera AKS som aktiveras av Azure Arc. Om du vill använda Windows Admin Center med AKS på Azure Stack HCI och Windows Server måste du uppfylla alla kriterier i följande lista.

Det här är kraven för den dator som kör Windows Admin Center gateway:

  • Windows 10 eller Windows Server.
  • Registrerad i Azure.
  • I samma domän som Azure Stack HCI- eller Windows Server Datacenter-klustret.
  • En Azure-prenumeration där du har ägarrättigheter. Du kan kontrollera din åtkomstnivå genom att gå till din prenumeration och välja Åtkomstkontroll (IAM) till vänster i Azure Portal och sedan välja Visa min åtkomst.

Krav för Azure

Du måste ansluta till ditt Azure-konto.

Azure-konto och -prenumeration

Om du inte redan har ett Azure-konto skapar du ett. Du kan använda en befintlig prenumeration av valfri typ:

Microsoft Entra behörigheter, roll och åtkomstnivå

Du måste ha tillräcklig behörighet för att registrera ett program med din Microsoft Entra klientorganisation.

Om du vill kontrollera att du har tillräcklig behörighet följer du informationen nedan:

  • Gå till Azure Portal och välj Roller och administratörer under Microsoft Entra ID för att kontrollera din roll.
  • Om din roll är Användare måste du se till att icke-administratörer kan registrera program.
  • Om du vill kontrollera om du kan registrera program går du till Användarinställningar under Microsoft Entra-tjänsten för att kontrollera om du har behörighet att registrera ett program.

Om inställningen för appregistreringar är inställd på Nej kan endast användare med administratörsroll registrera dessa typer av program. Mer information om tillgängliga administratörsroller och specifika behörigheter i Microsoft Entra ID som ges till varje roll finns i Microsoft Entra inbyggda roller. Om ditt konto har tilldelats rollen Användare , men appregistreringsinställningen är begränsad till administratörsanvändare, ber du administratören antingen att tilldela dig en av de administratörsroller som kan skapa och hantera alla aspekter av appregistreringar eller att låta användarna registrera appar.

Om du inte har tillräcklig behörighet för att registrera ett program och administratören inte kan ge dig dessa behörigheter är det enklaste sättet att distribuera AKS att be azure-administratören att skapa ett huvudnamn för tjänsten med rätt behörigheter. Administratörer kan kontrollera följande avsnitt för att lära sig hur du skapar ett huvudnamn för tjänsten.

Azure-prenumerationsroll och åtkomstnivå

Om du vill kontrollera din åtkomstnivå går du till din prenumeration, väljer Åtkomstkontroll (IAM) till vänster i Azure Portal och väljer sedan Visa min åtkomst.

  • Om du använder Windows Admin Center för att distribuera en AKS-värd eller ett AKS-arbetsbelastningskluster måste du ha en Azure-prenumeration där du är ägare.
  • Om du använder PowerShell för att distribuera en AKS-värd eller ett AKS-arbetsbelastningskluster måste användaren som registrerar klustret ha minst en av följande:
    • Ett användarkonto med den inbyggda ägarrollen .
    • Ett huvudnamn för tjänsten med någon av följande åtkomstnivåer:

Om din Azure-prenumeration sker via ett EA eller csp är det enklaste sättet att distribuera AKS att be din Azure-administratör att skapa ett huvudnamn för tjänsten med rätt behörigheter. Administratörer kan kontrollera följande avsnitt om hur du skapar ett huvudnamn för tjänsten.

Valfritt: Skapa ett nytt huvudnamn för tjänsten

Kör följande steg för att skapa ett nytt huvudnamn för tjänsten med den inbyggda ägarrollen . Endast prenumerationsägare kan skapa tjänsthuvudnamn med rätt rolltilldelning. Du kan kontrollera din åtkomstnivå genom att gå till din prenumeration, välja Åtkomstkontroll (IAM) till vänster i Azure Portal och sedan välja Visa min åtkomst.

Ange följande PowerShell-variabler i ett PowerShell-administratörsfönster. Kontrollera att prenumerationen och klientorganisationen är det du vill använda för att registrera AKS-värden för fakturering:

$subscriptionID = "<Your Azure subscrption ID>"
$tenantID = "<Your Azure tenant ID>"

Installera och importera AKS PowerShell-modulen:

Install-Module -Name AksHci

Logga in på Azure med powershell-kommandot Connect-AzAccount :

Connect-AzAccount -tenant $tenantID

Ange den prenumeration som du vill använda för att registrera AKS-värden för fakturering som standardprenumeration genom att köra kommandot Set-AzContext :

Set-AzContext -Subscription $subscriptionID

Kontrollera att inloggningskontexten är korrekt genom att köra PowerShell-kommandot Get-AzContext . Kontrollera att prenumerationen, klientorganisationen och kontot är det du vill använda för att registrera AKS-värden för fakturering:

Get-AzContext

Name                                     Account                      SubscriptionName             Environment                  TenantId
----                                     -------                      ----------------             -----------                  --------
myAzureSubscription (92391anf-...        user@contoso.com             myAzureSubscription          AzureCloud                   xxxxxx-xxxx-xxxx-xxxxxx

Skapa ett huvudnamn för tjänsten genom att köra PowerShell-kommandot New-AzADServicePrincipal . Det här kommandot skapar ett huvudnamn för tjänsten med rollen Ägare och anger omfånget på prenumerationsnivå. Mer information om hur du skapar tjänstens huvudnamn finns i Skapa ett Huvudnamn för Azure-tjänsten med Azure PowerShell.

$sp = New-AzADServicePrincipal -role "Owner" -scope /subscriptions/$subscriptionID

Hämta lösenordet för tjänstens huvudnamn genom att köra följande kommando. Observera att det här kommandot endast fungerar för Az.Accounts 2.6.0 eller lägre. Vi laddar automatiskt ned Modulen Az.Accounts 2.6.0 när du installerar AksHci PowerShell-modulen:

$secret = $sp.PasswordCredentials[0].SecretText
Write-Host "Application ID: $($sp.ApplicationId)"
Write-Host "App Secret: $secret"

Från föregående utdata har du nu program-ID :t och hemligheten som är tillgängliga när du distribuerar AKS. Anteckna dessa objekt och lagra dem på ett säkert sätt. När det har skapats i Azure Portal, under Prenumerationer, Access Control och sedan Rolltilldelningar, bör du se ditt nya huvudnamn för tjänsten.

Azure-resursgrupp

Du måste ha en Azure-resursgrupp i Azure-regionen Australien, östra, USA, östra, Asien, sydöstra eller Europa, västra som är tillgänglig innan du registrerar dig.

Azure-regioner

Varning

AKS Arc har för närvarande stöd för att skapa kluster exklusivt inom följande angivna Azure-regioner. Om du försöker distribuera i en region utanför den här listan uppstår ett distributionsfel.

AKS Arc-tjänsten används för registrering, fakturering och hantering. Det stöds för närvarande i följande regioner:

  • East US
  • USA, södra centrala
  • Europa, västra

Active Directory-krav

För att ett AKS-redundanskluster med 2 eller fler fysiska noder ska fungera optimalt i en Active Directory-miljö kontrollerar du att följande krav är uppfyllda:

Anteckning

Active Directory krävs inte för Azure Stack HCI- eller Windows Server-distributioner med en nod.

  • Konfigurera tidssynkronisering så att skillnaden inte är större än 2 minuter för alla klusternoder och domänkontrollanten. Information om hur du ställer in tidssynkronisering finns i Windows tidstjänst.
  • Kontrollera att de användarkonton som används för att lägga till uppdateringar och hantera AKS- eller Windows Server Datacenter-kluster har rätt behörigheter i Active Directory. Om du använder organisationsenheter för att hantera grupprinciper för servrar och tjänster kräver användarkontona lista, läsa, ändra och ta bort behörigheter för alla objekt i organisationsenheten.
  • Använd en separat organisationsenhet (OU) för servrar och tjänster från dina AKS- eller Windows Server Datacenter-kluster. Med hjälp av en separat organisationsenhet kan du styra åtkomst och behörigheter med större kornighet.
  • Om du använder grupprincipobjektmallar på containrar i Active Directory kontrollerar du att distributionen av AKS på Azure Stack HCI och Windows Server är undantagen från principen.

Nästa steg

När du har uppfyllt alla krav ovan kan du konfigurera en AKS-värd på Azure Stack HCI med hjälp av: