Fleet Manager hub kümesine genel bakış

Etkinleştirildiğinde Fleet Manager hub kümesi, kaynak yerleştirmeyi kullanarak üye kümeler arasında Kubernetes kaynağı yayma için merkezi yönetim noktası görevi görür.

Fleet Manager hub kümeleri nedir?

Azure Kubernetes Fleet Manager'da merkez kümeleri birden çok üye kümesini yönetmede önemli bir rol oynar, ancak isteğe bağlıdır.

Hub kümesi , KubeFleet'in yönetilen bir sürümü aracılığıyla kaynak yerleştirmeyi ve Filo Tarafından Yönetilen Ad Alanlarını kolaylaştırır.

Bu yapılandırmada, bir filo aşağıdaki bileşenlerden oluşur:

Merkez kümesi aracısı ve üye küme aracısı dahil olmak üzere bir hub kümesiyle yapılandırıldığında filo kaynağı diyagramı.

  • fleet-hub-agent: Merkez kümesindeki filoyla ilgili tüm özel kaynakları (CR) oluşturan ve uzlaştıran bir Kubernetes denetleyicisi.
  • fleet-member-agent: Üye kümelerindeki filoyla ilgili tüm CR'leri oluşturan ve uzlaştıran bir Kubernetes denetleyicisi. Bu denetleyici, hub kümesinden en son CR'leri çeker ve katılımcı kümelerini istenen durumla uyumlu hale getirir.

Hub kümesi yapılandırması

Fleet Manager hub kümesi, aşağıdaki özelliklere sahip tam olarak yönetilen bir Azure Kubernetes Service (AKS) kümesidir:

  • Küme adı ve konumu: Hub kümesi her zaman adlandırılır hub ve Fleet Manager ile aynı Azure bölgesinde oluşturulur.
  • Hub kümesi için Azure Kaynak Grubu: hub kümesi AKS kaynağı, adlandırma biçimine FL_{fleet_manager_resource_group}_{fleet_manager_name}_{azure_region}sahip yönetilen bir kaynak grubunda oluşturulur.
  • Hub kümesi kaynakları için Azure Kaynak Grubu: Tüm AKS kümeleri gibi, hub kümesinde de adlandırma biçimine MC_FL_{fleet_manager_resource_group}_{fleet_manager_name}_{azure_region}sahip yönetilen bir kaynak grubunda oluşturulan aracı düğümü havuzu sanal makine ölçek kümesi ve sanal ağ gibi Azure kaynakları vardır.
  • Hub kümesi düğümü: Hub kümesinde Azure Linux çalıştıran tek düğümlü bir düğüm havuzu vardır. Düğüm herhangi bir pod çalıştırmaz ve hub kümesi performansını etkilemez. Azure CLI'dan hub kümesi oluştururken parametresini kullanarak --vm-size düğüm Sanal Makinesi (VM) SKU türünü seçebilirsiniz.
  • Ağ yapılandırması: Ortak hub kümeleri, ilişkili bir genel IP adresine sahip bir genel API sunucusuna sahiptir. Özel erişim için yapılandırıldığında API sunucusuna yalnızca Azure sanal ağı üzerinden erişilebilir.

Hub kümesi kısıtlamaları

Hub kümesi, kaynak yayma ve yönetim için gereken şekilde çalıştığından emin olmak için aşağıdaki kısıtlamalara sahiptir:

  • Komut Çağırma Devre Dışı: Azure CLI (az aks command invoke) aracılığıyla komut çağırmanın kullanılması hub kümeleri için devre dışı bırakılır.
  • Yerel Kimlik Doğrulaması Devre Dışı: Yönetici kubeconfig aracılığıyla erişim devre dışı bırakılarak kimlik doğrulamasının yalnızca Microsoft Entra ID aracılığıyla işlenmesi sağlanır ve erişim denetimi merkezileştirilerek güvenlik artırılır. az fleet get-credentials komutunu kullanarak merkez kümesi için kimlik bilgilerini alın.
  • Atamaları Reddet: Hub kümesinin Ve ilişkili kaynakların Azure yapılandırmasındaki değişiklikler Azure Reddetme Atamaları aracılığıyla engellenir. Aşağıdaki Reddetme Atamaları kullanılır:
    • FLRG-DenyAssignments-{guid}: Kullanıcıların hub kümesini değiştirmesini engelleyerek merkez kümesi kaynak grubuna uygulanır.
    • kubernetes.azure.com/{guid} (isteğe bağlı): Bu reddetme ataması, aks düğümü kaynak grubu kilitleme bölümünde açıklandığı gibi kullanıcıların hub kümesi AKS kaynaklarını (Sanal Makine Ölçek Kümeleri, ağlar) değiştirmesini engeller.
  • Uygulanan Kaynaklar örneklendirilmedi: Hub kümesi, Kubernetes kaynaklarını hub düğümüne zamanlamaz. Hub kümesinde yan etkileri önlemek için bazı Kubernetes kaynaklarının zarf nesnesi kullanılarak uygulanması gerekir. Zarf nesneleri hakkında daha fazla bilgi için Zarf Nesneleri belgelerine bakın.

Korumalı kaynak erişim kısıtlamaları

Important

31 Ocak 2027'den itibaren, Fleet Manager hub kümeleri korumalı hizmet tarafından yönetilen kaynaklara ve ayrıcalıklı arabirimlere erişimi reddeder. Bu kısıtlamalar Azure rol tabanlı erişim denetimine (RBAC Azure) ek olarak geçerlidir. Daha önce bir isteğe izin veren Azure rol ataması bu kısıtlamaları geçersiz kılmaz.

Aşağıdaki Kubernetes API istekleri reddediliyor:

  • Tüm kimliğe bürünme istekleri.
  • Adları watch veya get ile başlayan ad alanlarında, kube-, fleet- ve list dışındaki tüm işlemler.
  • get, list ve watch istekleri; adları fleet- veya kube- ile başlayan ad alanlarındaki podlar, secret'lar, hizmet hesapları, roller ve rol bağları için.
  • Podlar, secret'lar, hizmet hesapları, roller ve rol bağlamaları için çapraz ad alanı list ve watch istekleri.
  • Küme rolleri ve küme rolü bağlamaları için oluşturma istekleri yazın.
  • nodes/proxy alt kaynağına okuma ve yazma istekleri.
  • Kabul ilkelerini doğrulama, kabul ilkesi bağlamalarını doğrulama ve adları fleet-builtin- ile başlayan web kancası yapılandırmalarını doğrulama istekleri yazın.
  • Kabul ilkelerini doğrulama, kabul ilkesi bağlamalarını doğrulama ve web kancası yapılandırmalarını doğrulamaya yönelik koleksiyon silme istekleri.

Müşteri tarafından yönetilen ad alanında desteklenen diğer işlemler kullanılabilir durumda kalır.

Etkilenen Fleet Manager kaynaklarını ve otomasyonu belirleme

Bir hub kümesi etkinleştirilmişse Fleet Manager kaynağı potansiyel olarak etkilenir. Bu kaynakları bulmak için Azure Kaynak Grafı Gezgini'ni kullanın:

Resources
| where type =~ "microsoft.containerservice/fleets"
| where isnotnull(properties.hubProfile)
| project id, name, subscriptionId, resourceGroup, location

Hub kümesine sahip olmak, harekete geçmeniz gerektiği anlamına gelmez. Yalnızca kullanıcılarınız, betikleriniz, denetleyicileriniz veya CI/CD işlem hatlarınız kısıtlanmış isteklerden birini merkez kümesine gönderirse etkilenirsiniz.

Aşağıdakiler için hub kümesine erişen otomasyonu gözden geçirin:

  • --as-group ve --as dahil olmak üzere kimliğe bürünme seçenekleri veya üst bilgiler.
  • nodes/proxy adresine yönelik istekler.
  • kube- veya fleet- ile başlayan ad alanlarına erişim.
  • Küme genelinde veya --all-namespaces korumalı kaynaklara yönelik listeleme ve izleme istekleri.
  • Küme rollerinde veya küme rolü bağlamalarında yapılan değişiklikler.
  • fleet-builtin- ile başlayan adlara sahip doğrulama kaynaklarında yapılan değişiklikler.
  • Doğrulama kaynakları koleksiyonunun silinmesi.

Etkilenen otomasyonu güncelleyin

31 Ocak 2027'ye kadar:

  • Adı fleet- veya kube- ile başlayan ad alanlarından müşteriye ait kaynakları ve otomasyonu taşıyın.
  • Podlar, gizli anahtarlar, hizmet hesapları, roller ve rol bağlamaları için listeleme ve izleme isteklerini müşteri tarafından yönetilen ad alanlarıyla sınırlandırın.
  • Kaynak yerleştirme için, küme rollerini ve küme rolü bağlamalarını ClusterResourceEnvelope içine sarın. Daha fazla bilgi için bkz. Kaynakları güvenli bir şekilde yerleştirmek için zarf nesnelerini kullanma.
  • Hub kümesine programlı erişim için ayrılmış bir Microsoft Entra kimliği kullanın, gerekli en az ayrıcalıklı Fleet Manager RBAC rolünü atayın ve kimliğe bürünme özelliğini kullanmayın.
  • Alt kaynağı nodes/proxy kullanmayı durdurun.
  • fleet-builtin- ile başlayan adlara sahip doğrulama kaynaklarını değiştirmeyin.
  • Doğrulama kaynakları koleksiyonunun silinmesini müşteri tarafından yönetilen kaynaklar kapsamındaki isteklerle değiştirin.
  • Güncelleştirme otomasyonunu yürürlük tarihinden önce test edin.

Etkilenen otomasyonu 31 Ocak 2027'den önce güncelleştirmezseniz, kısıtlı istekler yetkilendirme reddedildi yanıtları alır. Bu isteklere bağlı betikler, denetleyiciler, dağıtımlar veya operasyonel iş akışları başarısız olabilir ya da sürekli yeniden denemeye çalışabilir. Kısıtlanmış işlemler kullanmıyorsanız herhangi bir eylem gerekmez.

Müşteri gereksinimleri

Fleet Manager'ın hub kümelerini oluşturup en son düzeltme ekleriyle güncel tutabilmesi için şunlardan emin olun:

  • Azure ilkesi küme oluşturmayı engellemez. Hub kümesi yönetilen bir AKS kümesidir. AKS kümeleri oluşturamıyorsanız Fleet Manager hub kümesi oluşturamazsınız.

  • Aboneliğin kotası yeterli. Küme yükseltme işlemi sırasında hub kümesinin düğümünün fazladan bir VM örneği gereklidir. Daha fazla bilgi için kotayı artırma hakkında bkz. kota belgeleri üzerine.

  • Hub kümesinin İnternet erişimi vardır. Güncelleştirmeleri yüklemek için giden bağlantı gereklidir. Kullanıcı tanımlı yönlendirme (UDR) veya güvenlik duvarı kuralları olan ağlardaki özel hub'lar giden bağlantıyı engelleyebilir. Giden bağlantı hakkında daha fazla bilgi için AKS giden ağı belgelerine bakın.

  • Fleet Manager hub kümesi güncelleştirmelerini yönetmenize gerek yoktur. Microsoft, AKS'den kullanılabilir hale geldikçe hub kümesini otomatik olarak Kubernetes'in veya düğüm görüntüsünün en son sürümüne güncelleştirir. Güncelleştirme sürümleri AKS Release Tracker'da izlenebilir.

İlgili içerik

  • Son güncelleştirme: