分享方式：

已啟用 Azure Arc 的 Kubernetes 網路需求

  • 文章

本主題描述將 Kubernetes 叢集連線至 Azure Arc 並支援各種已啟用 Arc 的 Kubernetes 案例之網路需求。

詳細資料

一般而言，連線需求包括下列原則：

  • 所有連線皆為 TCP，除非另有指定。
  • 所有 HTTP 連線都會使用具有正式簽署和可驗證憑證的 HTTPS 和 SSL/TLS。
  • 所有連線皆為輸出，除非另有指定。

若要使用 Proxy，請確認執行上線程序的代理程式和機器符合本文中的網路需求。

重要

下列輸出 URL 必須透過 https://:443，Azure Arc 代理程式才能運作。 若是 *.servicebus.windows.net，必須在防火牆和 Proxy 上啟用 websocket 才能進行輸出存取。

端點 (DNS) 描述
https://management.azure.com 代理程式連線到 Azure 並註冊叢集時所需。
https://<region>.dp.kubernetesconfiguration.azure.com 代理程式的資料平面端點，用來推送狀態以及擷取設定資訊。
https://login.microsoftonline.com
https://<region>.login.microsoft.com
login.windows.net		 擷取和更新 Azure Resource Manager 權杖的必要項目。
https://mcr.microsoft.com
https://*.data.mcr.microsoft.com		 提取 Azure Arc 代理程式的容器映像時所需。
https://gbl.his.arc.azure.com 取得區域端點以提取系統指派受控識別憑證的必要項目。
https://*.his.arc.azure.com 提取系統指派受控識別憑證的必要項目。
https://k8connecthelm.azureedge.net az connectedk8s connect 使用 Helm 3 在 Kubernetes 叢集上部署 Azure Arc 代理程式。 Helm 用戶端下載需要此端點來輔助部署代理程式的 Helm 圖表。
guestnotificationservice.azure.com
*.guestnotificationservice.azure.com
sts.windows.net
https://k8sconnectcsp.azureedge.net		 適用於叢集連線和自訂位置類型的案例。
*.servicebus.windows.net 適用於叢集連線和自訂位置類型的案例。
https://graph.microsoft.com/ 設定 Azure RBAC 的必要項目。
*.arc.azure.net 在 Azure 入口網站中管理已連線的叢集時，為必要項目。
https://<region>.obo.arc.azure.com:8084/ 設定叢集連線時，為必要項目。
dl.k8s.io 啟用自動代理程式升級時，為必要項目。
https://linuxgeneva-microsoft.azurecr.io 如果使用 已啟用 Azure Arc 的 Kubernetes 擴充功能，則為必要專案。

若要將 *.servicebus.windows.net 萬用字元轉譯為特定端點，請使用命令：

GET https://guestnotificationservice.azure.com/urls/allowlist?api-version=2020-01-01&location=<region>

若要取得區域端點的區域區段，請移除 Azure 區域名稱中的所有空格。 例如，美國東部 2 區域，區域名稱為 eastus2。

例如：在美國東部 2 區域中，*.<region>.arcdataservices.com 應為 *.eastus2.arcdataservices.com。

若要查看所有區域的清單，請執行此命令：

az account list-locations -o table

Get-AzLocation | Format-Table

額外端點

視您的案例而定，您可能需要其他 URL 的連線能力，例如 Azure 入口網站、管理工具或其他 Azure 服務所使用的 URL。 特別是，請檢閱這些清單，確保您允許連線到任何必要的端點：

如需 Azure Arc 功能和已啟用 Azure Arc 的服務的網路需求完整清單，請參閱 Azure Arc 網路需求 (部分機器翻譯)。

下一步