Übersicht über pod sandboxing in Azure Kubernetes Service (AKS)

Wenn AKS-Cluster wachsen und Workloads mehrerer Teams oder Mandanten hosten, kann die gemeinsame Infrastruktur die Isolierung erschweren. Möglicherweise benötigen Sie eine stärkere Isolierung, um zu verhindern, dass ressourcenintensive oder überlastende Workloads vorhersagbare Workloads stören. Möglicherweise müssen Sie auch vertrauliche Workloads isolieren, um die Sicherheitsanforderungen zu erfüllen.

Um diese Anforderungen zu erfüllen, können Sie Ihre Workloads durch logische oder physische Isolationsstrategien isolieren. Verwenden Sie für die logische Isolierung Kubernetes-Namespaces , um Ressourcen und Bereitstellungen zu trennen. Namespaces teilen die zugrunde liegende Clusterinfrastruktur, sodass sie nicht dieselbe physische Isolationsgrenze wie separate Cluster bereitstellen. Während separate Cluster eine physische Grenze bieten, kann diese Strategie die Kosten erhöhen, wenn die Cluster ihre volle Kapazität nicht nutzen.

Pod-Sandboxing auf AKS ermöglicht es, Ihre Workloads in separaten leichtgewichtigen Pod-VMs auszuführen. Jede Pod-VM bietet eine Isolationsgrenze für Rechenressourcen: Die Workload läuft mit ihrem eigenen Gast-Kernel und ist vom Host-Kernel sowie von Workloads in anderen Pod-VMs isoliert.

Pod Sandboxing basiert auf dem Open-Source-Kata-Container-Projekt .

Von Bedeutung

Die Pod-VM-Grenze bietet nur Rechenisolierung. Die AKS-Steuerungsebene, Speicher- oder Datenpfade oder Aktionen, die von Benutzern mit Clusteradministratorzugriff ausgeführt werden, werden nicht isoliert. Pod-Sandboxing allein bietet keine vollständige harte Mandantentrennung. Überprüfen Sie für eine mehrinstanzenfähige Bereitstellung die AKS-Richtlinien für multitenantische Lösungen und wenden Sie die erforderlichen Identitäts-, Netzwerk-, Speicher- und Governancesteuerelemente an.

Architektur und Komponenten

Pod Sandboxing verwendet die Kata-Container-Laufzeit, um eine einfache Pod-VM für jeden Sandkasten-Pod zu erstellen. Das folgende Diagramm zeigt, wie die hostseitigen Komponenten die isolierte Pod-VM erstellen und verwalten und wie die gastseitigen Komponenten die Workload ausführen.

  • Legen Sie im Pod-Manifest runtimeClassName: kata-vm-isolation fest, um die Kata-Containers-Laufzeit auszuwählen.
  • Containerd verwendet den Kata-Shim (containerd-shim-kata-v2) anstelle des standardmäßigen Runtime-Shims.
  • Die Kata shim startet den virtuellen Computermonitor (VMM) des Cloud-Hypervisors, der einen Pod-VM mit einem separaten Gastkernkern und dem Kata-Agent erstellt.
  • Der Kata-Agent erstellt und verwaltet die Container und Workloadprozesse innerhalb des virtuellen Pods.
  • Wenn die Pod-VM gelöscht wird, fährt der Kata-Shim die Pod-VM herunter und gibt ihre Ressourcen an den Container-Host zurück.

Vorteile und Anwendungsfälle

Pod-Sandboxing isoliert jeden Sandkasten-Pod in einer einfachen Pod-VM mit seinem eigenen Gastkernkern. Diese Berechnungsgrenze trennt die Workload vom Hostkernel und Workloads in anderen Pod-VMs. Kombinieren Sie Pod-Sandboxing mit Kontrollen wie Netzwerkrichtlinien und Azure Policy, um Netzwerk- und Governance-Risiken zu begegnen, die durch die Grenze der Pod-VM nicht abgedeckt werden. Anleitungen zum Auswählen von Steuerelementen für mehrinstanzenfähige Bereitstellungen finden Sie unter AKS-Anleitungen für Multitenant-Lösungen.

Häufige Anwendungsfälle

Pod Sandboxing kann Ihnen helfen:

  • Hosten Sie Workloads aus verschiedenen Mandanten auf demselben AKS-Cluster, während Sie für jeden Sandbox-Pod eine separate Grenze für isoliertes Compute bereitstellen.
  • Isolieren Sie nicht vertrauenswürdige Workloads vom Hostkernel und workloads in anderen Pod-VMs, während Sie weiterhin die freigegebene Clusterkapazität verwenden.
  • Schützen Sie vertrauliche oder hochwertige Workloads vor Workloads, die in anderen Pod-VMs ausgeführt werden.
  • Verringern Sie die Auswirkungen von ressourcenintensiven oder Workloads mit Lastspitzen auf andere isolierte Pods, indem Sie für jede Pod-VM CPU- und Speicheranforderungen sowie -grenzwerte festlegen.
  • Begrenzen Sie den Auswirkungsbereich eines Workload-Ausfalls auf seine Pod-VM.

Workloadisolation

Screenshot eines Architekturdiagramms zur Veranschaulichung der Isolierung von Workloads im Sandboxing von AKS-Pods.

Pod-Sandboxing ermöglicht es Ihnen, Workloads gemeinsam auf gemeinsam genutzten Clusterknoten auszuführen und dabei für jeden isolierten Pod eine separate Isolationsgrenze für Rechenressourcen aufrechtzuerhalten.

Sie können Ressourcenanforderungen und Grenzwerte für Ihre Workloads deklarieren. AKS wendet Standardwerte an, wenn Sie sie weglassen. Die Pod-VM beschränkt eine ressourcenintensive Workload auf die CPU und den Arbeitsspeicher, der dieser VM zugeordnet ist. Wenn eine Workload den Ausfall ihrer Pod-VM verursacht, schützt die Grenze der Rechenisolierung Workloads in anderen Pod-VMs vor den Auswirkungen dieses Ausfalls.

Flexibilität

Sie können Sandkasten- und Standard-Pods im selben Cluster ausführen. Mit dieser Flexibilität können Sie die Pod-VM-Isolation nur auf Workloads anwenden, die sie erfordern.

Open-Source-Komponenten

Pod-Sandboxing verwendet Open-Source-Komponenten, darunter die Cloud Hypervisor-VMM und die Kata Containers-Laufzeit. Offene Entwicklung schafft Transparenz über die Isolationskomponenten und ermöglicht die Prüfung durch die Community. Die Architektur trennt auch den Gastkernkern in jeder Pod-VM vom Azure Linux-Hostkernel.

Migrieren vorhandener Workloads

Fügen Sie für eine einfache Bereitstellung die Kata-Laufzeitklasse zu einer vorhandenen Podspezifikation hinzu, um die Workload auf einem virtuellen Pod auszuführen. Diese Manifeständerung gewährleistet nicht dasselbe Verhalten wie bei einem Pod, der die Standard-runc-Laufzeit verwendet. Überprüfen Sie vor der Migration das Betriebsverhalten und die Kubernetes-Featurekompatibilität, und berücksichtigen Sie die Ressourcengröße und den Aufwand der Pod-VM. Weitere Informationen finden Sie unter Überlegungen zur Pod-Sandboxing.

Nächste Schritte

  • Zuletzt aktualisiert um