Azure Kubernetes Service (AKS) kümesinde Gizli Sanal Makineler (CVM) kullanma

Konfidential Sanal Makineler (CVMs) kiracılar için güçlü güvenlik ve gizlilik sunar. CVM'ler, SEV-SNP güvenlik özelliklerinden yararlanarak hiper yöneticinin ve diğer ana makine yönetim kodlarının VM belleğine ve durumuna erişimini engelleyen, böylece operatör erişimine karşı çok katmanlı koruma sağlayan VM tabanlı donanım güvenilir yürütme ortamı (TEE) sunar. Bu özellikler, CVM'leri olan düğüm havuzlarının AKS'nin özelliklerinden yararlanırken kod yeniden düzenlemesi olmadan yüksek oranda hassas kapsayıcı iş yüklerinin AKS'ye geçişini hedeflemesini sağlar. Örneğin, aşağıdakilere sahipseniz CVM'lere ihtiyacınız olabilir:

  • Güvenlik açısından kritik verileri ve/veya hassas müşteri verilerini işleyen iş yükleri
  • Özellikle kamu sözleşmeleri için çeşitli uyumluluk gereksinimlerini karşılamak için gereken hizmetler. Verilerin güvenliğini sağlamak için ölçeklenebilir bir çözüm olmadan bu durum akreditasyon ve sözleşme kaybına yol açabilir.

Bu makalede, Gizli VM boyutlarını kullanarak AKS düğüm havuzları oluşturmayı öğreneceksiniz.

AKS tarafından desteklenen gizli VM boyutları

Azure, hem AMD hem de Intel'den güvenilir yürütme ortamı (TEE) seçenekleri sunar. Bu TEE'ler, kod değişikliği gerektirmeden mükemmel fiyat-performans oranlarına sahip Gizli VM ortamları oluşturmanıza olanak tanır.

  • AMD tabanlı Gizli VM'ler, üçüncü Nesil AMD EPYC™ işlemcilerle sunulan AMD SEV-SNP teknolojisini kullanır.
  • Intel tabanlı Gizli VM'ler dördüncü Nesil Intel Xeon® işlemcilerle Intel® TDX kullanır.

Uyarı

Intel TDX tabanlı Gizli VM'ler şu anda AKS'de desteklenmemektedir.

Daha fazla bilgi için bkz. CVM VM boyutları.

Güvenlik özellikleri

CVM'ler, diğer sanal makine (VM) boyutlarıyla karşılaştırıldığında aşağıdaki güvenlik iyileştirmelerini sunar:

  • Sanal makineler, hipervizör ve ana makine yönetim kodu arasında sağlam donanım tabanlı yalıtım.
  • Dağıtımdan önce sunucunun uyumluluğunu sağlamak için özelleştirilebilir doğrulama ilkeleri.
  • Platformun veya müşterinin (isteğe bağlı olarak) sahip olduğu ve yönettiği VM şifreleme anahtarları.
  • Platformun başarılı kanıtlamasının ve VM'nin şifreleme anahtarları arasında kriptografik bağ kullanarak güvenli anahtar çıkışı.
  • Sanal makinede anahtarların ve gizli bilgilerin doğrulanması ve korunması için ayrılmış sanal Güvenilir Platform Modülü (TPM) örneği.
  • Azure sanal makineleri için Trusted launch benzeri güvenli önyükleme özelliği

Nasıl çalışır?

Gelişmiş gizlilik ve bütünlük gerektiren bir iş yükü çalıştırıyorsanız, uygulamanızda kod değişikliği olmadan bellek şifrelemesi ve gelişmiş güvenlikten yararlanabilirsiniz. CVM düğümünüzün tüm podları aynı güven sınırının bir parçasıdır. CVM'lerle oluşturulan bir düğüm havuzundaki düğümler, CVM'ler için özel olarak yapılandırılmış özelleştirilmiş bir düğüm görüntüsü kullanır.

Desteklenen işletim sistemi sürümleri

Linux işletim sistemi türlerinde (Ubuntu ve Azure Linux) CVM düğüm havuzları oluşturabilirsiniz. Ancak, tüm işletim sistemi sürümleri CVM düğüm havuzlarını desteklemez.

Bu tablo desteklenen işletim sistemi sürümlerini içerir:

İşletim sistemi türü İşletim Sistemi SKU'su CVM desteği CVM varsayılan
Linux işletim sistemi Ubuntu Destekleniyor Ubuntu 20.04, Kubernetes sürüm 1.24-1.33 için varsayılandır. Ubuntu 24.04, Kubernetes sürüm 1.34-1.38 için varsayılandır.
Linux işletim sistemi Ubuntu2204 Desteklenmez AKS, Ubuntu 22.04 için CVM'yi desteklemez.
Linux işletim sistemi Ubuntu2404 Destekleniyor CVM, Kubernetes 1.32-1.38'de desteklenir Ubuntu2404 .
Linux işletim sistemi AzureLinux Azure Linux 3.0'da desteklenir Kubernetes 1.28-1.36 sürümleri için CVM etkinleştirildiğinde varsayılan olarak Azure Linux 3 kullanılır.
Linux işletim sistemi flatcar Desteklenmez AKS için Flatcar Container Linux CVM'yi desteklemez.
Linux işletim sistemi AzureLinuxOSGuard Desteklenmez AKS için OS Guard ile Azure Linux CVM'yi desteklemez.
Linux işletim sistemi AzureContainerLinux Desteklenmez Azure Container Linux (ACL) CVM'i desteklemez.
Windows Tüm Windows işletim sistemi SKU'ları Desteklenmez N/A

Ubuntu veya AzureLinux kullanılırkenosSKU, varsayılan işletim sistemi sürümü CVM'leri desteklemiyorsa, AKS varsayılan olarak işletim sisteminin CVM tarafından desteklenen en son sürümünü kullanır. Örneğin, Linux düğüm havuzları için Ubuntu 22.04 varsayılandır. 22.04 şu anda CVM'leri desteklemediğinden AKS, Linux CVM özellikli düğüm havuzları için varsayılan olarak Ubuntu 20.04 olarak ayarlanmıştır.

Sınırlamalar

AKS'ye CVM ile bir düğüm havuzu eklerken aşağıdaki sınırlamalar geçerlidir:

  • FIPS, ARM64, Güvenilir Başlatma veya Pod Yalıtımı'nı kullanamazsınız.
  • Mevcut düğüm havuzunu CVM boyutuna geçirecek şekilde güncelleştiremezsiniz. Geçiş yapmak için düğüm havuzunuzu yeniden boyutlandırmanız gerekir.
  • CVM'leri Windows düğüm havuzlarıyla kullanamazsınız.
  • Azure Container Linux (ACL) şu anda AKS'deki CVM düğüm havuzlarını desteklemez.

Önkoşullar

Başlamadan önce aşağıdakilere sahip olduğunuzdan emin olun:

  • Var olan bir AKS kümesi.
  • CVM boyutları, kümenin oluşturulduğu bölgede aboneliğiniz için kullanılabilir olmalıdır. CVM boyutuna sahip bir düğüm havuzu oluşturmak için yeterli kotanız olmalıdır.

AKS kümenize CVM içeren bir düğüm havuzu ekleme

az aks nodepool add komutunu kullanarak AKS kümenize CVM içeren bir düğüm havuzu ekleyin ve node-vm-size öğesini desteklenen bir VM boyutu olarak ayarlayın.

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5

osSKU veya osType belirtmezseniz, AKS varsayılan olarak --os-type Linux ve --os-sku Ubuntu kullanır.

Azure Linux kullanan bir CVM düğüm havuzu oluşturmak için ayarlayın--os-sku AzureLinux.

az aks nodepool add \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --node-count 3 \
    --node-vm-size Standard_DC4as_v5 \
    --os-sku AzureLinux

CVM ile mevcut düğüm havuzunu Ubuntu 24.04'e yükseltme

komutunu kullanarak CVM ile mevcut düğüm havuzunu Ubuntu 20.04'ten Ubuntu 24.04'e yükseltin az aks nodepool update . olarak os-skuUbuntu2404ayarlayın.

az aks nodepool update \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --os-sku Ubuntu2404

Düğüm havuzunun CVM'leri kullandığını doğrulayın

  1. az aks nodepool show komutunu kullanarak bir düğüm havuzunun CVM kullandığını doğrulayın ve vmSize öğesinin Standard_DCa4_v5 olduğunu doğrulayın.

    az aks nodepool show \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --query 'vmSize'

    Aşağıdaki örnek komut ve çıkış, düğüm havuzunun CVM'leri kullandığını gösterir:

    az aks nodepool show \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --query 'vmSize'

"Standard_DC4as_v5"

  2. Komutunu kullanarak bir düğüm havuzunun az aks nodepool list CVM görüntüsü kullandığını doğrulayın.

    az aks nodepool list \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --query 'nodeImageVersion'

    Aşağıdaki örnek komut ve çıkış, düğüm havuzunun bir Ubuntu 20.04 CVM görüntüsü kullandığını gösterir:

    az aks nodepool show \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool \
    --query 'nodeImageVersion'

"AKSUbuntu-2004cvmcontainerd-202507.02.0"

AKS kümesinden CVM'ler içeren bir düğüm havuzunu kaldırma

komutunu kullanarak az aks nodepool delete AKS kümesinden CVM'leri olan bir düğüm havuzunu kaldırın.

az aks nodepool delete \
    --resource-group myResourceGroup \
    --cluster-name myAKSCluster \
    --name cvmnodepool

İlgili içerik

Bu makalede, AKS kümesine CVM'ler içeren bir düğüm havuzu eklemeyi öğrendiniz.

  • Last updated on