Kavramlar: Azure Kubernetes Service'te (AKS) çok kiracılık

"Kubernetes'i çoklu kiracı için nasıl yapılandıracağım?" sorusunu yanıtlarken mimarların önce kavramsal sınırları ve kullanılabilir yalıtım modellerini anlaması gerekir. AKS'de çoklu kiracılık, farklı ekiplere, uygulamalara veya müşterilere ait birden fazla yalıtılmış iş yükünü paylaşılan bir Kubernetes kümesinde çalıştırma uygulamasıdır. Bu makalede, Azure Kubernetes Service (AKS) üzerinde çok kiracılılık için temel kavramlar ve mimari modeller ayrıntılı olarak açıklanır.

Tip

AKS'deki üç çoklu kiracı modeli nelerdir? AKS çok kiracılı, üç yaygın model içeren bir yalıtım spektrumu kullanır: ad alanı yalıtımı, düğüm havuzu yalıtımı ve kiracı başına küme. Ad alanı yalıtımı, güvenilir iç ekipler için ve maliyet verimliliğini en üst düzeye çıkarmak gerektiğinde en uygun seçenektir; düğüm havuzu yalıtımı, orta düzeyde ek yükle daha güçlü iş yükü ayrımı sağlar ve her kiracı için ayrı küme, güvenilmeyen veya yüksek düzeyde düzenlemeye tabi senaryolar için en güçlü yalıtımı sunar.

Adım adım uygulama yönergeleri ve YAML bildirimleri için yardımcı kılavuza bakın: AKS'de çok kiracılılık için en iyi yöntemler.

AKS'de neden çok kiracılı yapı kullanılır?

Çoklu kiracılık, birden fazla ekibin, uygulamanın veya müşterinin tek bir Kubernetes kümesini paylaşabilmesini sağlar. AKS'de çoklu kiracılık için birincil rasyonalizm , maliyet verimliliği ve operasyonel ölçektir.

Her uygulama veya ekip için ayrılmış bir kümenin çalıştırılması önemli kaynak parçalanması, boşta işlem kapasitesi ve çarpılmış denetim düzlemi yüküyle sonuçlanır. Kuruluşlar, iş yüklerini çok kiracılı kümelerde birleştirerek kaynak kullanımını en üst düzeye çıkarır ve bulut harcamalarını azaltır. Operasyonel olarak, çok kiracılılık filo boyutunu azaltır; bu da platform ekiplerinin düzeltme eki uygulamak, yükseltmek, izlemek ve güvenli hale getirmek için daha az kümeye sahip olduğu ve böylece yaşam döngüsü yönetimini kolaylaştıracakları anlamına gelir.

Soft ve hard çoklu kiracılık arasındaki fark nedir?

Kubernetes doğası gereği çok kiracılı bir sistem değildir. Çok kiracılılık elde etmek için kiracılar arasındaki güven düzeyine göre "yumuşak" veya "sabit" yalıtım modeli tasarlamanız gerekir.

Kubernetes'te esnek ve katı çok kiracılı yapı arasındaki fark, temelde güven modeli ve bundan kaynaklanan yalıtım gereksinimleridir. Yumuşak çoklu kiracılık, güvenilir iç kiracıları varsayar ve ad alanları, RBAC ve kotalar gibi mantıksal denetimler aracılığıyla kazara oluşabilecek etkileşimleri önlemeye odaklanır. Katı çok kiracılı yapı, kiracılar arasında düşük düzeyde veya hiç güven olmadığını varsayar ve kötü amaçlı erişim, yanal hareket ve veri açığa çıkması riskini azaltmak için daha güçlü yalıtım kontrolleri gerektirir.

Model	Güven düzeyi	Amaç	Kullanım örneği	Örnek senaryolar
Esnek çoklu kiracılık	İç kiracılar arasında yüksek güven	Yanlışlıkla müdahaleyi, kaynak açlığı ve yapılandırma çakışmalarını önleme	Ekiplerin altyapıyı paylaştığı iç platform ortamları	Geliştirme/test ve iç hizmetler için aks kümesini paylaşan bir kuruluştaki birden çok ürün ekibi
Katı çoklu kiracılık	Kiracılar arasında düşük veya sıfır güven	Kötü amaçlı saldırıları, yanal hareketi ve veri sızdırmayı önleme	Dış müşteri barındırma ve düzenlenmiş iş yükleri	Kiracı yalıtımının bir güvenlik ve uyumluluk gereksinimi olduğu müşteriye özgü iş yüklerini barındıran SaaS sağlayıcısı

Yalıtım spektrumu

AKS’de çok kiracılı yapı ikili bir seçenek değildir; bir yelpaze üzerinde yer alır. Siz spektrumda ilerledikçe yalıtım artar, ancak operasyonel karmaşıklık ve maliyet de artar. Bu spektrum, çok kiracılı küme tasarımı için düzenleme omurgasını oluşturur:

• Ad alanı yalıtımı (Mantıksal):Kiracılar aynı düğüm havuzlarını ve denetim düzlemini paylaşır, ancak Kubernetes ad alanlarıyla mantıksal olarak ayrılır. Bu, yumuşak çoklu kiracılığın temelini oluşturur.
• Düğüm havuzu yalıtımı (Fiziksel hesaplama): Kiracılar denetim düzlemini paylaşır, ancak kendilerine özel çalışan düğümler atanır. Bu, iş yükü ayrımını ve gürültülü komşu etkisini azaltmayı iyileştirir, ancak denetim düzlemi ve küme düzeyi bileşenler hâlâ paylaşıldığı için tam bir kiracı yalıtımı değildir.
• Kiracı başına küme (Tam fiziksel): Kiracılar kendi AKS denetim düzlemi ve veri düzlemi ile tamamen yalıtılır. Bu, Kubernetes düzeyindeki paylaşımı fiilen devre dışı bırakarak bunun yerine Azure düzeyinde yalıtımı tercih eden katı çoklu kiracılığın nihai biçimidir.

Çoklu kiracılık için AKS temel bileşenleri

AKS, yalıtım spektrumunu zorlamak için yerel ve Azure tümleşik temel öğelerden oluşan bir paket sağlar.

• Microsoft Entra ID: Kubernetes API'sinde kullanıcıların ve otomatik sistemlerin kimliğini doğrulamak için merkezi kimlik ve erişim yönetimi sağlar.
• RBAC Azure: Kiracıların yalnızca yetkili kaynaklarına erişebilmesini sağlayarak Microsoft Entra ID kimlikleri Kubernetes izinlerine eşler.
• Yönetilen ad alanları: Kiracı kaynaklarını gruplandırmak, kotaları uygulamak ve kapsam erişimi sağlamak için küme içinde mantıksal sınırlar sağlar.
• Azure İlkesi / Ağ Geçidi Denetleyicisi: Kiracıların güvenli olmayan veya yetkisiz yapılandırmalar dağıtmasını önlemek için küme genelinde merkezi uyumluluk ve idare kuralları uygular.
• Azure CNI: AKS ağı için yerel sanal ağ tümleştirmesi sağlar ve ağ ilkesi denetimleriyle kiracı trafiği segmentasyonu destekler. Pod IP davranışı seçilen CNI moduna bağlıdır (örneğin, Katman veya Pod Alt Ağı).
• Azure Container Networking Services (ACNS) Cilium L7: Kiracı ağ trafiğini kesin olarak yalıtmak için yüksek performanslı, eBPF tabanlı ağ ilkeleri ve Katman 7 trafik filtrelemesi sağlar.
• İş yükü kimliği: Tek tek podların federasyon kimliği kullanarak dış Azure hizmetlerinde güvenli bir şekilde kimlik doğrulaması yapmasına olanak tanır ve kiracılar arasındaki paylaşılan gizli dizileri ortadan kaldırır.

Düzlemler arasında yalıtım katmanlarını eşleme

Güvenli bir çok kiracılı mimari oluşturmak için AKS temel öğelerini küme ortamının üç ayrı düzlemine uygulamanız gerekir.

Uçak	Description	Uygulanan AKS ilkelleri
Kontrol düzlemi	Kubernetes API sunucusuna ve mantıksal sınırlara erişimin güvenliğini sağlama.	Microsoft Entra ID, Azure RBAC, Yönetilen ad alanları
Veri düzlemi	Ağ trafiğinin, işlem yürütmenin ve düğüm düzeyinde sınırların güvenliğini sağlama.	Azure CNI, ACNS Cilium L7, Node havuzları
Kaynak düzlemi	İşlem tüketimini, dış erişimi ve yapılandırma uyumluluğunu idare etme.	Azure İlkesi, İş yükü kimliği

Hangi yalıtım modelini seçmelisiniz?

Yalıtım spektrumu üzerindeki hangi noktanın kuruluş gereksinimlerinize en uygun olduğunu belirlemek için aşağıdaki matrisi kullanın.

Yalıtım modeli	Güvenlik düzeyi	Maliyet verimliliği	operasyonel karmaşıklık	için en uygun
Kiracı başına ad alanı	Düşük-Orta (Mantıksal)	Yüksek (En fazla paylaşım)	Düşük (Yönetilebilir tek küme)	İç ekipler, geliştirme/test ortamları, esnek çoklu kiracılık.
Kiracı başına düğüm havuzu	Yüksek (İşlemden yalıtılmış)	Orta (Paylaşılan kontrol düzlemi)	Orta (taint'leri/toleration'ları yönetme)	Kontrol düzlemini paylaşırken daha güçlü hesaplama yalıtımı gerektiren iç ve dış iş yükleri; düşmanca sıfır güven kiracılığı ortamları için ideal değildir.
Kiracı başına küme	En Yüksek (Fiziksel)	Düşük (Yüksek ek yük)	Yüksek (Filo yönetimi gereklidir)	Güvenilmeyen çok kiracılı ortamlar, harici kurumsal müşteriler, sıfır güven.

Her modelin ne zaman kullanılacağı

• Kiracılar kurum içi veya güvenilir olduğunda, maliyet verimliliği öncelikli olduğunda ve mantıksal yalıtım kontrolleri yeterli olduğunda her kiracı için ayrı ad alanı kullanın.
• Daha güçlü işlem ayrımına ve düşük gürültülü komşu etkisine ihtiyaç duyduğunuzda kiracı başına düğüm havuzu kullanın ve bir AKS denetim düzlemini paylaşmaya devam edin.
• Kiracıların güvenilir olmadığı, düzenleyici sınırların katı olduğu veya risk modelinizin asgari düzeyde paylaşılan altyapı gerektirdiği durumlarda kiracı başına küme kullanın.

Sonraki Adımlar

Artık çok kiracılılık için kavramsal modelleri ve temel kavramları anladığınıza göre, bu kavramları kümenize uygulamak için uygulama kılavuzuna geçin.

• AKS’de çoklu kiracılık için en iyi uygulamalar

Sözün özü

• Azure Kubernetes Service (AKS)'da çok kiracılılık, maliyetleri azaltmak ve işlemleri basitleştirmek için paylaşılan Kubernetes altyapısında birden çok yalıtılmış kiracı iş yükü çalıştırma uygulamasıdır.
• Kiracı başına ad alanı, mantıksal sınırlar uygularken altyapı paylaşımını en üst düzeye çıkardığından güvenilen iç iş yükleri için en uygun maliyetli modeldir.
• Kiracı başına düğüm havuzu işlem ayrımını ve gürültülü komşu denetimini geliştirir, ancak AKS denetim düzlemini ve diğer küme düzeyindeki bileşenleri paylaşmaya devam eder.
• Kiracı başına küme, sıfır güven ve yüksek oranda düzenlenmiş senaryolar için en güçlü kiracı yalıtımını sağlar, ancak daha yüksek maliyet ve daha fazla işlem yükü gerektirir.