Azure Chaos Studio 中的虛擬網路插入

Azure 虛擬網路是私人網路在 Azure 中的基本建置組塊。 虛擬網路可讓許多類型的 Azure 資源安全地與彼此、網際網路和內部部署網路通訊。 虛擬網路類似於您在自己的資料中心內運作的傳統網路。 帶來 Azure 基礎結構的其他優點，例如縮放、可用性和隔離。

虛擬網路插入可讓 Azure Chaos Studio 資源提供者將容器化工作負載插入您的虛擬網路，讓沒有公用端點的資源可以透過虛擬網路上的私人 IP 位址存取。 在您為虛擬網路中的資源設定虛擬網路插入並啟用資源作為目標之後，即可在多個實驗中使用。 如果私人資源已根據本文中的指示進行設定，實驗就可以將目標設定為私人和非私人資源的混合。

我們也很高興分享 Chaos Studio 支援使用私人端點執行代理程式型實驗！ Chaos Studio 現在針對服務導向和代理程式型實驗都支援 Private Link。 如果您要針對代理程式型實驗使用 Private-Link，請連絡您的 CSA，或造訪如何：為代理程式型實驗設定私人連結。 如需服務導向錯誤的私人連結，請閱讀下列各節，以取得如何使用它們的指示。

資源類型支援

目前，您只能啟用 Chaos Studio 虛擬網路插入的特定資源類型：

• Azure Kubernetes Service (AKS) 目標可透過 Azure 入口網站和 Azure CLI 利用虛擬網路插入來啟用。 所有 AKS Chaos Mesh 錯誤都可以使用。
• Azure Key Vault 目標可透過 Azure CLI 利用虛擬網路插入來啟用。 可用於虛擬網路插入的錯誤為停用憑證、遞增憑證版本和更新憑證原則。

啟用虛擬網路插入

若要搭配虛擬網路插入使用 Chaos Studio，您必須符合下列需求。

1. 您必須使用您的訂用帳戶註冊 Microsoft.ContainerInstance 和 Microsoft.Relay 資源提供者。
2. 將要插入 Chaos Studio 資源的虛擬網路必須有兩個子網路：容器子網路和轉送子網路。 容器子網路是用於將插入私人網路的 Chaos Studio 容器。 轉送子網路是用來將來自 Chaos Studio 的通訊轉送至私人網路內的容器。
   1. 這兩個子網路需要至少 /28 的位址空間大小 (在此案例中舉例來說，/27 大於 /28)。 範例是 10.0.0.0/28 或 10.0.0.0/24 的位址前置詞。
   2. 必須將容器子網路委派給 Microsoft.ContainerInstance/containerGroups。
   3. 子網路可以任意命名，但我們建議 ChaosStudioContainerSubnet 和 ChaosStudioRelaySubnet。
3. 當您將所需資源啟用為目標，以便在 Chaos Studio 實驗中使用時，必須設定下列屬性：
   1. 將 properties.subnets.containerSubnetId 設定為容器子網路的識別碼。
   2. 將 properties.subnets.relaySubnetId 設定為轉送子網路的識別碼。

如果您使用 Azure 入口網站來啟用私人資源作為 Chaos Studio 目標，Chaos Studio 目前只會辨識名為 ChaosStudioContainerSubnet 和 ChaosStudioRelaySubnet 的子網路。 如果這些子網路不存在，入口網站工作流程可以自動建立。

如果您使用 CLI，容器和轉送子網路可以有任何名稱 (受限於資源命名指導方針)。 當您將資源啟用為目標時，請指定適當的識別碼。

範例：搭配私人 AKS 叢集使用 Chaos Studio

此範例示範如何設定私人 AKS 叢集以搭配使用 Chaos Studio。 假設您在 Azure 訂用帳戶內已經有私人 AKS 叢集。 若要建立叢集，請參閱建立私人 Azure Kubernetes Service 叢集。

Azure 入口網站

1. 在 Azure 入口網站中移至 [訂用帳戶] > [資源提供者]。

2. 註冊 Microsoft.ContainerInstance 和 Microsoft.Relay 資源提供者，如果尚未註冊，請選取提供者，然後選取 [註冊]。 註冊 Microsoft.Chaos 資源提供者。

   

3. 移至 Chaos Studio，然後選取 [目標]。 尋找您想要的 AKS 叢集，然後選取 [啟用目標] > [啟用服務導向目標]。

   

4. 選取叢集的虛擬網路。 如果虛擬網路已經包含名為 ChaosStudioContainerSubnet 和 ChaosStudioRelaySubnet 的子網路，請加以選取。 如果還不存在，系統會自動為您建立。

   

5. 選擇 [檢閱 + 啟用]>[啟用]。

   

現在您可以搭配使用私人 AKS 叢集與 Chaos Studio。 若要了解如何安裝 Chaos Mesh 並執行實驗，請參閱透過 Azure 入口網站建立使用 Chaos Mesh 錯誤的混亂實驗。

Azure CLI

1. 執行下列命令，使用您的訂用帳戶註冊 Microsoft.ContainerInstance 和 Microsoft.Relay 資源提供者。 如果已經註冊，您可以略過此步驟。 如需詳細資訊，請參閱註冊資源提供者指示。

   az provider register --namespace 'Microsoft.ContainerInstance' --wait
   

   az provider register --namespace 'Microsoft.Relay' --wait
   

   執行下列命令來驗證註冊：

   az provider show --namespace 'Microsoft.ContainerInstance' | grep registrationState
   

   az provider show --namespace 'Microsoft.Relay' | grep registrationState
   

   在輸出中，您應該會看到類似下面的項目：

   "registrationState": "Registered",
   

2. 使用您的訂用帳戶重新註冊 Microsoft.Chaos 資源提供者。

   az provider register --namespace 'Microsoft.Chaos' --wait
   

   執行下列命令來驗證註冊：

   az provider show --namespace 'Microsoft.Chaos' | grep registrationState
   

   在輸出中，您應該會看到類似下面的項目：

   "registrationState": "Registered",
   

3. 在您想要將 Chaos Studio 資源插入其中的虛擬網路建立兩個子網路 (在此案例中為私人 AKS 叢集的虛擬網路)：

   • 容器子網路 (範例名稱：ChaosStudioContainerSubnet)
     • 將子網路委派給 Microsoft.ContainerInstance/containerGroups 服務。
     • 此子網路在位址空間中必須至少有 /28。
   • 轉送子網路 (範例名稱：ChaosStudioRelaySubnet)
     • 此子網路在位址空間中必須至少有 /28。

   az network vnet subnet create -g MyResourceGroup --vnet-name MyVnetName --name ChaosStudioContainerSubnet --address-prefixes "10.0.0.0/28" --delegations "Microsoft.ContainerInstance/containerGroups"
   

   az network vnet subnet create -g MyResourceGroup --vnet-name MyVnetName --name ChaosStudioRelaySubnet --address-prefixes "10.0.0.0/28"
   

4. 當您啟用 AKS 叢集的目標，以便在混亂實驗中使用時，請使用您在步驟 3 中建立的新子網路來設定 properties.subnets.containerSubnetId 和 properties.subnets.relaySubnetId 屬性。

   使用您的 Azure 訂用帳戶識別碼來取代 $SUBSCRIPTION_ID 。 將 $RESOURCE_GROUP 和 $AKS_CLUSTER 取代為資源群組名稱和 AKS 叢集資源名稱。 此外，請將 $AKS_INFRA_RESOURCE_GROUP 和 $AKS_VNET 取代為 AKS 基礎結構資源群組名稱和虛擬網路名稱。 將取代 $URL 為用來將目標資源上線的對應URL。 若要尋找此 URL，請參閱 將資源上線為 Chaos Studio 目標。

   CONTAINER_SUBNET_ID=/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$AKS_INFRA_RESOURCE_GROUP/providers/Microsoft.Network/virtualNetworks/$AKS_VNET/subnets/ChaosStudioContainerSubnet
   RELAY_SUBNET_ID=/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$AKS_INFRA_RESOURCE_GROUP/providers/Microsoft.Network/virtualNetworks/$AKS_VNET/subnets/ChaosStudioRelaySubnet
   BODY="{ \"properties\": { \"subnets\": { \"containerSubnetId\": \"$CONTAINER_SUBNET_ID\", \"relaySubnetId\": \"$RELAY_SUBNET_ID\" } } }"
   az rest --method put --url $URL --body "$BODY"
   

現在您可以搭配使用私人 AKS 叢集與 Chaos Studio。 若要了解如何安裝 Chaos Mesh 並執行實驗，請參閱透過 Azure CLI 建立使用 Chaos Mesh 錯誤的混亂實驗。

限制

• 虛擬網路插入目前僅可在訂用帳戶/區域中提供 Azure 容器執行個體和 Azure 轉送時進行。
• 當您建立使用虛擬網路插入啟用的目標資源時，您需要虛擬網路的 Microsoft.Network/virtualNetworks/subnets/write 存取權。 例如，如果 AKS 叢集部署至虛擬網路_A，則您必須有在虛擬網路_A 中建立子網路的權限，才能啟用 AKS 叢集的虛擬網路插入。

下一步

現在您了解如何實現 Chaos Studio 的虛擬網路插入，您已經準備好：

• 建立和執行您的第一個實驗
• 建立並執行您的第一個 Azure Kubernetes Service 實驗