Bereitstellen eines AKS-Clusters mit vertraulichen Containern und einer automatisch generierten Richtlinie

In diesem Artikel verwenden Sie die Azure CLI, um einen Azure Kubernetes Service (AKS) Cluster bereitzustellen und vertrauliche Container (Vorschau) mit einer automatisch generierten Sicherheitsrichtlinie zu konfigurieren. Anschließend stellen Sie eine Anwendung als vertraulichen Container bereit. Weitere Informationen finden Sie in der Übersicht über vertrauliche AKS-Container.

Im Allgemeinen umfasst der Einstieg in vertrauliche Container in AKS die folgenden Schritte.

  • Bereitstellen oder Aktualisieren eines AKS-Clusters mithilfe des Azure CLI.
  • Fügen Sie Ihrem Pod-YAML-Manifest eine Annotation hinzu, um zu kennzeichnen, dass der Pod Confidential Containers verwendet.
  • Fügen Sie Ihrem YaML-Manifest eine Sicherheitsrichtlinie hinzu.
  • Stellen Sie Ihre Anwendung in vertraulichen Computern bereit.

Wichtig

Ab dem 30. November 2025 unterstützt Azure Kubernetes Service (AKS) keine Sicherheitsupdates für Azure Linux 2.0 mehr oder stellt diese bereit. Das Azure Linux 2.0-Knoten-Image wurde mit der 202512.06.0-Veröffentlichung eingefroren. Ab dem 31. Oktober 2026 werden Knotenimages entfernt, und Sie können Ihre Knotenpools nicht skalieren. Migrieren Sie zu einer unterstützten Azure Linux-Version, indem Sie Ihre Knotenpools auf eine unterstützte Kubernetes-Version aktualisieren oder zu osSku AzureLinux3 migrieren. Weitere Informationen finden Sie im GitHub-Issue "Retirement" und in der Azure Updates Ankündigung der Einstellung. Um über Ankündigungen und Updates auf dem Laufenden zu bleiben, folgen Sie den AKS-Versionshinweisen.

Voraussetzungen

  • Die aktuelle Version der Azure-Befehlszeilenschnittstelle Führen Sie az version aus, um die Version zu finden, und führen Sie az upgrade aus, um ein Upgrade für die Version durchzuführen. Informationen zum Durchführen einer Installation oder eines Upgrades finden Sie bei Bedarf unter Installieren der Azure CLI.
  • Die neueste Version der aks-preview Azure CLI Erweiterung.
  • Die neueste Version der confcom Azure CLI-Erweiterung für Confidential Container. confcom ist erforderlich, um eine Sicherheitsrichtlinie zu generieren.
  • Eine Workloadidentität und Anmeldeinformationen für die Verbundidentität. Die Anmeldeinformationen für die Workloadidentität ermöglichen Kubernetes-Anwendungen den sicheren Zugriff auf Azure-Ressourcen mit einer Microsoft Entra ID, die auf kommentierten Dienstkonten basiert. Wenn Sie mit der Microsoft Entra Workload ID nicht vertraut sind, lesen Sie die Übersicht über die Microsoft Entra Workload ID und überprüfen Sie, wie die Workload-Identität mit AKS funktioniert.
  • Die Identität, die Sie zum Erstellen Ihres Clusters verwenden, verfügt über die erforderlichen Mindestberechtigungen. Weitere Informationen zu Zugriff und Identität für AKS finden Sie unter Zugriffs- und Identitätsoptionen für Azure Kubernetes Service (AKS).
  • Verwenden Sie zum Verwalten eines Kubernetes-Clusters den Kubernetes-Befehlszeilenclient kubectl. kubectl ist in Azure Cloud Shell enthalten. Sie können kubectl lokal installieren, indem Sie den Befehl az aks install-cli verwenden.
  • Vertrauliche Container in AKS stellen einen Open Source-Sidecar-Container für den Nachweis und die sichere Schlüsselfreigabe bereit. Der Sidecar-Container ist in einen Schlüsselverwaltungsdienst (Key Management Service, KMS) integriert, z. B. Azure Key Vault, um einen Schlüssel für die Containergruppe freizugeben, nachdem die Überprüfung abgeschlossen wurde. Die Bereitstellung eines vom Azure Key Vault verwalteten HSM (Hardware Security Module) ist optional, wird jedoch empfohlen, die Integrität und Bescheinigung auf Containerebene zu unterstützen. Siehe Bereitstellen und Aktivieren eines verwalteten HSM zum Bereitstellen von verwaltetem HSM.

Installieren Sie die aks-preview Azure CLI-Erweiterung

Wichtig

AKS-Previewfunktionen stehen gemäß dem Self-Service- und Aktivierungsprinzip zur Verfügung. Vorschauversionen werden in der vorliegenden Form und je nach Verfügbarkeit bereitgestellt und sind von Service Level Agreements (SLAs) sowie der eingeschränkten Garantie ausgeschlossen. AKS-Vorschauversionen werden teilweise vom Kundensupport auf Grundlage der bestmöglichen Leistung abgedeckt. Daher sind diese Funktionen nicht für die Verwendung in der Produktion vorgesehen. Weitere Informationen finden Sie in den folgenden Supportartikeln:

  1. Führen Sie den folgenden Befehl aus, um die aks-preview Erweiterung zu installieren:

    az extension add --name aks-preview

  2. Führen Sie den folgenden Befehl aus, um ein Update auf die aktuelle Version der Erweiterung durchzuführen:

    az extension update --name aks-preview

Installieren Sie die confcom Azure CLI-Erweiterung

  1. Führen Sie den folgenden Befehl aus, um die confcom Erweiterung zu installieren:

    az extension add --name confcom

  2. Führen Sie den folgenden Befehl aus, um ein Update auf die aktuelle Version der Erweiterung durchzuführen:

    az extension update --name confcom

Registriere die KataCcIsolationPreview-Feature-Flag

  1. Führen Sie den az feature register Befehl aus, um die KataCcIsolationPreview Featurekennzeichnung zu registrieren, wie im folgenden Beispiel gezeigt:

    az feature register --namespace "Microsoft.ContainerService" --name "KataCcIsolationPreview"

  2. Warten Sie einige Minuten, bis der Status "Registriert" angezeigt wird. Führen Sie den az feature show Befehl aus, um den Registrierungsstatus zu überprüfen:

    az feature show --namespace "Microsoft.ContainerService" --name "KataCcIsolationPreview"

  3. Wenn der Status Registriert angezeigt wird, führen Sie den Befehl az provider register aus, um die Registrierung des Ressourcenanbieters Microsoft.ContainerService zu aktualisieren:

    az provider register --namespace "Microsoft.ContainerService"

Erstellen eines Clusters mit aktivierten vertraulichen Containern

  1. Erstellen Sie einen AKS-Cluster mithilfe des az aks create Befehls. Geben Sie die folgenden Parameter an:

    • --os-sku: AzureLinux. Nur die Azure Linux os-sku unterstützt diese Funktion in dieser Vorschauversion.
    • --node-vm-size: Jede Azure VM-Größe, die geschachtelte Virtualisierung für AMD SEV-SNP geschützte untergeordnete VMs unterstützt, funktioniert. Beispiel: Standard_DC8as_cc_v5 VMs.
    • --enable-workload-identity: Ermöglicht das Erstellen einer Microsoft Entra Workload ID, sodass Pods eine Kubernetes-Identität verwenden können.
    • --enable-oidc-issuer: Aktiviert den OpenID Connect (OIDC)-Issuer. Sie ermöglicht es einer Microsoft Entra ID oder einer anderen Cloudanbieter-Identitäts- und Zugriffsverwaltungsplattform, die öffentlichen Signaturschlüssel des API-Servers zu ermitteln.
    • --workload-runtime: Geben Sie KataCcIsolation an, um das Feature "Vertrauliche Container" im Knotenpool zu aktivieren.
    az aks create --resource-group myResourceGroup --name myAKSCluster --os-sku AzureLinux --node-vm-size Standard_DC8as_cc_v5 --workload-runtime KataCcIsolation --node-count 1 --enable-oidc-issuer --enable-workload-identity --generate-ssh-keys

    Nach ein paar Minuten endet der Befehl und gibt JSON-formatierte Informationen zum Cluster zurück.

  2. Wenn der Cluster bereit ist, rufen Sie die Clusteranmeldeinformationen mithilfe des az aks get-credentials Befehls ab.

    az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

Aktivieren vertraulicher Container in einem vorhandenen Cluster

Um dieses Feature mit einem vorhandenen AKS-Cluster verwenden zu können, müssen die folgenden Anforderungen erfüllt sein:

Hinzufügen eines Knotenpools mit aktivierten vertraulichen Containern

Verwenden Sie den folgenden Befehl, um vertrauliche Container (Vorschau) zu aktivieren, indem Sie einen Knotenpool zum Hosten erstellen.

  1. Fügen Sie ihrem AKS-Cluster mithilfe des az aks nodepool add Befehls einen Knotenpool hinzu. Geben Sie die folgenden Parameter an:

    • --resource-group: Geben Sie den Namen einer vorhandenen Ressourcengruppe ein, in der der AKS-Cluster erstellt werden soll.
    • --cluster-name: Geben Sie einen eindeutigen Namen für den AKS-Cluster ein, z. B. myAKSCluster.
    • --name: Geben Sie einen eindeutigen Namen für den Knotenpool Ihres Clusters ein, z. B. nodepool2.
    • --workload-runtime: Geben Sie KataCcIsolation an, um das Feature im Knotenpool zu aktivieren. Zusammen mit dem --workload-runtime Parameter erfüllen diese anderen Parameter die folgenden Anforderungen. Andernfalls schlägt der Befehl fehl und meldet ein Problem mit den entsprechenden Parametern.
    • --os-sku: AzureLinux. Nur die Azure Linux os-sku unterstützt diese Funktion in dieser Vorschauversion.
    • --node-vm-size: Jede Azure VM-Größe, die geschachtelte Virtualisierung für AMD SEV-SNP geschützte untergeordnete VMs unterstützt, funktioniert. Beispiel: Standard_DC8as_cc_v5 VMs.

    Im folgenden Beispiel wird dem Cluster myAKSCluster ein Benutzerknotenpool mit zwei Knoten in nodepool2 in der Ressourcengruppe myResourceGroup hinzugefügt:

    az aks nodepool add --resource-group myResourceGroup --name nodepool2 --cluster-name myAKSCluster --node-count 2 --os-sku AzureLinux --node-vm-size Standard_DC8as_cc_v5 --workload-runtime KataCcIsolation

    Nach wenigen Minuten ist die Ausführung des Befehls abgeschlossen, und es werden Informationen zum Cluster im JSON-Format zurückgegeben.

  2. Führen Sie den az aks update Befehl aus, um die Clusterkonfiguration nach dem Hinzufügen des Knotenpools "Vertrauliche Container" abzugleichen.

    az aks update --name myAKSCluster --resource-group myResourceGroup

    Nach wenigen Minuten ist die Ausführung des Befehls abgeschlossen, und es werden Informationen zum Cluster im JSON-Format zurückgegeben.

  3. Wenn der Cluster bereit ist, rufen Sie die Clusteranmeldeinformationen mithilfe des az aks get-credentials Befehls ab.

    az aks get-credentials --resource-group myResourceGroup --name myAKSCluster

Bereitstellen und Konfigurieren der Workload-Identität

Bevor Sie den Zugriff auf den Azure Key Vault und den geheimen Schlüssel konfigurieren und eine Anwendung als „Vertraulicher Container“ bereitstellen, müssen Sie die Konfiguration der Workloadidentität abschließen.

Führen Sie zum Konfigurieren der Workload-Identität die folgenden Schritte aus, die m Artikel Bereitstellen und Konfigurieren der Workload-Identität beschrieben sind:

  • Rufen Sie die OIDC-Issuer-URL ab
  • Erstellen einer verwalteten Identität
  • Erstellen eines Kubernetes-Dienstkontos
  • Einrichten von Anmeldeinformationen für eine Verbundidentität

Wichtig

Um dieses Lernprogramm fortzusetzen, legen Sie die Umgebungsvariablen im Abschnitt " Umgebungsvariablen exportieren " im Artikel "Bereitstellen und Konfigurieren der Workloadidentität" fest. Legen Sie die Variable SERVICE_ACCOUNT_NAMESPACE auf kafka, und führen Sie den Befehl kubectl create namespace kafka vor dem Konfigurieren der Workload-Identität aus.

Bereitstellen einer vertrauenswürdigen Anwendung mit kata-cc und Nachweiscontainer

Die folgenden Schritte konfigurieren die End-to-End-Verschlüsselung für Kafka-Nachrichten mithilfe von Verschlüsselungsschlüsseln, die von Azure Managed Hardware Security Modules (Managed HSM) verwaltet werden. Der Schlüssel wird nur freigegeben, wenn der Kafka-Consumer in einem Confidential Container ausgeführt wird und ein Azure Attestation Secret Provisioning-Container in den Pod injiziert wurde.

Diese Konfiguration basiert auf den folgenden drei Komponenten:

  • Kafka Cluster: Ein einfacher Kafka-Cluster, der im Kafka-Namespace auf dem Cluster bereitgestellt wird.
  • Kafka Producer: Ein Kafka-Produzent, der als einfacher Kubernetes-Pod läuft und verschlüsselte, vom Benutzer konfigurierte Nachrichten mit einem öffentlichen Schlüssel an ein Kafka-Topic sendet.
  • Kafka Consumer: Ein Kafka-Consumer-Pod, der mit der Kata-cc-Laufzeit ausgeführt wird, ruft den privaten Schlüssel aus einem Container für sichere Schlüsselfreigabe ab, um Kafka-Nachrichten zu entschlüsseln und die Nachrichten in einer Webbenutzeroberfläche zu rendern.

Für diese Vorschauversion empfehlen wir Test- und Evaluierungszwecke, um entweder eine vorhandene Azure Key Vault-Ressource der Premiumebene zu erstellen oder zu verwenden, um das Speichern von Schlüsseln in einem Hardwaresicherheitsmodul (Hardware Security Module, HSM) zu unterstützen. Es wird nicht empfohlen, Ihren Schlüsseltresor für die Produktion zu verwenden. Wenn Sie keinen Azure Key Vault haben, finden Sie weitere Informationen unter Erstellen eines Schlüsseltresors mithilfe der Azure CLI.

  1. Gewähren Sie der verwalteten Identität, die Sie zuvor erstellt haben, und Ihrem Konto Zugriff auf den Schlüsseltresor. Weisen Sie beiden Identitäten die Azure RBAC-Rollen Key Vault-Kryptografiebeauftragter und Key Vault-Kryptografiebenutzer zu.

    Hinweis

    • Die verwaltete Identität ist der Wert, den Sie der Variable USER_ASSIGNED_IDENTITY_NAME zugewiesen haben.

    • Um Rollenzuweisungen hinzuzufügen, müssen Sie über die Berechtigungen Microsoft.Authorization/roleAssignments/write und Microsoft.Authorization/roleAssignments/delete verfügen, z. B. Key Vault Datenzugriffsadministrator*in, Benutzerzugriffsadministrator*in oder Besitzer*in.

    • Sie müssen die Azure Key Vault-SKU „Premium“ zur Unterstützung von HSM-geschützten Schlüsseln verwenden.

    Führen Sie den folgenden Befehl aus, um den Umfang auszuwählen:

    AKV_SCOPE=$(az keyvault show --name <AZURE_AKV_RESOURCE_NAME> --query id --output tsv)

    Führen Sie den folgenden Befehl aus, um die Rolle Key Vault Crypto Officer zuzuweisen.

    az role assignment create --role "Key Vault Crypto Officer" --assignee "${USER_ASSIGNED_IDENTITY_NAME}" --scope $AKV_SCOPE

    Führen Sie den folgenden Befehl aus, um die Rolle Key Vault Crypto User zuzuweisen.

    az role assignment create --role "Key Vault Crypto User" --assignee "${USER_ASSIGNED_IDENTITY_NAME}" --scope $AKV_SCOPE

  2. Installieren Sie den Kafka-Cluster im Kafka-Namespace, indem Sie den folgenden Befehl ausführen:

    kubectl create -f 'https://strimzi.io/install/latest?namespace=kafka' -n kafka

  3. Führen Sie den folgenden Befehl aus, um die Cluster-CR-Datei kafka anzuwenden.

    kubectl apply -f https://strimzi.io/examples/latest/kafka/kafka-persistent-single.yaml -n kafka

  4. Bereiten Sie den RSA-Schlüssel für die Verschlüsselung/Entschlüsselung vor, indem Sie das Bash-Skript für die Workload von GitHub verwenden. Speichern Sie die Datei unter dem Namen setup-key.sh.

  5. Legen Sie die Umgebungsvariable MAA_ENDPOINT mit dem FQDN des Attest-URI fest, indem Sie den folgenden Befehl ausführen.

    export MAA_ENDPOINT="$(az attestation show --name "myattestationprovider" --resource-group "MyResourceGroup" --query 'attestUri' -o tsv | cut -c 9-)"

    Überprüfen Sie, ob der FQDN des Attest-URI im richtigen Format vorliegt (MAA_ENDPOINT sollte nicht das Präfix „https://“ enthalten):

    echo $MAA_ENDPOINT

    Hinweis

    Informationen zum Einrichten von Microsoft Azure Attestation finden Sie unter Schnellstart: Einrichten von Azure Attestation mit Azure CLI.

  6. Kopieren Sie das folgende YAML-Manifest, und speichern Sie es unter consumer.yaml.

    apiVersion: v1
kind: Pod
metadata:
  name: kafka-golang-consumer
  namespace: kafka
  labels:
    azure.workload.identity/use: "true"
    app.kubernetes.io/name: kafka-golang-consumer
spec:
  serviceAccountName: workload-identity-sa
  runtimeClassName: kata-cc-isolation
  containers:
    - image: "mcr.microsoft.com/aci/skr:2.7"
      imagePullPolicy: Always
      name: skr
      env:
        - name: SkrSideCarArgs
          value: ewogICAgImNlcnRjYWNoZSI6IHsKCQkiZW5kcG9pbnRfdHlwZSI6ICJMb2NhbFRISU0iLAoJCSJlbmRwb2ludCI6ICIxNjkuMjU0LjE2OS4yNTQvbWV0YWRhdGEvVEhJTS9hbWQvY2VydGlmaWNhdGlvbiIKCX0gIAp9
      command:
        - /bin/skr
      volumeMounts:
        - mountPath: /opt/confidential-containers/share/kata-containers/reference-info-base64
          name: endor-loc
    - image: "mcr.microsoft.com/acc/samples/kafka/consumer:1.0"
      imagePullPolicy: Always
      name: kafka-golang-consumer
      env:
        - name: SkrClientKID
          value: kafka-encryption-demo
        - name: SkrClientMAAEndpoint
          value: sharedeus2.eus2.test.attest.azure.net
        - name: SkrClientAKVEndpoint
          value: "myKeyVault.vault.azure.net"
        - name: TOPIC
          value: kafka-demo-topic
      command:
        - /consume
      ports:
        - containerPort: 3333
          name: kafka-consumer
      resources:
        limits:
          memory: 1Gi
          cpu: 200m
  volumes:
    - name: endor-loc
      hostPath:
        path: /opt/confidential-containers/share/kata-containers/reference-info-base64
---
apiVersion: v1
kind: Service
metadata:
  name: consumer
  namespace: kafka
spec:
  type: LoadBalancer
  selector:
    app.kubernetes.io/name: kafka-golang-consumer
  ports:
    - protocol: TCP
      port: 80
      targetPort: kafka-consumer

    Hinweis

    Aktualisieren Sie den Wert für die Pod-Umgebungsvariable SkrClientAKVEndpoint so, dass er mit der URL Ihres Azure Key Vault ohne den Protokollwert https:// übereinstimmt. Der aktuelle Wertplatzhalterwert ist myKeyVault.vault.azure.net. Aktualisieren Sie den Wert für die Pod-Umgebungsvariable SkrClientMAAEndpoint mit dem Wert MAA_ENDPOINT. Sie können den Wert von MAA_ENDPOINT finden, indem Sie den Befehl echo $MAA_ENDPOINT oder den Befehl az attestation show --name "myattestationprovider" --resource-group "MyResourceGroup" --query 'attestUri' -o tsv | cut -c 9- ausführen.

  7. Generieren Sie die Sicherheitsrichtlinie für das YAML-Manifest des Kafka-Verbrauchers, und rufen Sie den Hash der in der Variable WORKLOAD_MEASUREMENT gespeicherten Sicherheitsrichtlinie ab, indem Sie den folgenden Befehl ausführen:

    export WORKLOAD_MEASUREMENT=$(az confcom katapolicygen -y consumer.yaml --print-policy | base64 -d | sha256sum | cut -d' ' -f1)

  8. Um ein RSA-asymmetrisches Schlüsselpaar (öffentliche und private Schlüssel) zu generieren, führen Sie das Skript setup-key.sh mit dem folgenden Befehl aus. Der <Azure Key Vault URL>-Wert sollte <your-unique-keyvault-name>.vault.azure.net lauten

    export MANAGED_IDENTITY=${USER_ASSIGNED_CLIENT_ID}
bash setup-key.sh "kafka-encryption-demo" <Azure Key Vault URL>

    Hinweis

    • Für das Bash-Skript setup-key.sh ist die Umgebungsvariable MANAGED_IDENTITYerforderlich.

    • Der öffentliche Schlüssel wird nach der Ausführung des bash-Skripts unter dem Namen kafka-encryption-demo-pub.pem gespeichert.

    Wichtig

    Wenn die Fehlermeldung angezeigt ForbiddenByRbacwird, warten Sie bis zu 24 Stunden. Back-End-Dienste für den Cache verwalteter Identitäten pro Ressourcen-URI für bis zu 24 Stunden. Weitere Informationen finden Sie unter Problembehandlung von Azure RBAC.

  9. Führen Sie die folgenden Befehle aus, um zu überprüfen, ob die Schlüssel erfolgreich in den Schlüsseltresor hochgeladen wurden:

    az account set --subscription <Subscription ID>
az keyvault key list --vault-name <KeyVault Name> -o table

  10. Kopieren Sie das folgende YAML-Manifest, und speichern Sie es unter producer.yaml.

    apiVersion: v1
kind: Pod
metadata:
  name: kafka-producer
  namespace: kafka
spec:
  containers:
    - image: "mcr.microsoft.com/acc/samples/kafka/producer:1.0"
      name: kafka-producer
      command:
        - /produce
      env:
        - name: TOPIC
          value: kafka-demo-topic
        - name: MSG
          value: "Azure Confidential Computing"
        - name: PUBKEY
          value: |-
            -----BEGIN PUBLIC KEY-----
            MIIBojAN***AE=
            -----END PUBLIC KEY-----
      resources:
        limits:
          memory: 1Gi
          cpu: 200m

    Hinweis

    Aktualisieren Sie den Wert, der mit der Zeichenfolge -----BEGIN PUBLIC KEY----- beginnt und mit der Zeichenfolge -----END PUBLIC KEY----- endet, mit dem Inhalt aus der Dateikafka-encryption-demo-pub.pem, die im vorherigen Schritt erstellt wurde.

  11. Verteilen Sie die YAML-Manifeste consumer und producer unter Verwendung der zuvor gespeicherten Dateien.

    kubectl apply -f consumer.yaml

    kubectl apply -f producer.yaml

  12. Rufen Sie die IP-Adresse des Webdiensts mithilfe des folgenden Befehls ab:

    kubectl get svc consumer -n kafka

  13. Kopieren Sie die externe IP-Adresse des Verbraucherdiensts in Ihren Browser, und beobachten Sie die entschlüsselte Nachricht.

    Die Ausgabe des Befehls ähnelt dem folgenden Beispiel:

    Welcome to Confidential containers on AKS!
Encrypted Kafka Message:
Msg 1: Azure Confidential Computing

  14. Sie sollten auch versuchen, den Consumer als regulären Kubernetes-Pod auszuführen, indem Sie die Spezifikationen skr container und kata-cc runtime class entfernen. Da Sie den Consumer nicht mit der Kata-cc-Runtimeklasse ausführen, benötigen Sie die Richtlinie nicht mehr.

  15. Entfernen Sie die gesamte Richtlinie, und beobachten Sie die Nachrichten wieder im Browser, nachdem Sie die Workload erneut bereitgestellt haben. Nachrichten werden als base64-codierter Verschlüsselungstext angezeigt, da der private Verschlüsselungsschlüssel nicht abgerufen werden kann. Der Schlüssel kann nicht abgerufen werden, da der Consumer nicht mehr in einer vertraulichen Umgebung ausgeführt wird und skr container fehlt, wodurch die Entschlüsselung von Nachrichten verhindert wird.

Bereinigen von Ressourcen

Wenn Sie mit der Auswertung dieses Features fertig sind, bereinigen Sie unnötige Ressourcen, um Azure Gebühren zu vermeiden. Wenn Sie einen neuen Cluster als Teil Ihrer Auswertung oder Tests bereitgestellt haben, können Sie den Cluster mithilfe des az aks delete Befehls löschen.

az aks delete --resource-group myResourceGroup --name myAKSCluster

Wenn Sie vertrauliche Container (Vorschau) für einen vorhandenen Cluster aktiviert haben, können Sie die Pods mithilfe des kubectl delete pod Befehls entfernen.

kubectl delete pod <pod-name>

Nächste Schritte

Erfahren Sie mehr über Azure Dedicated Hosts für Knoten mit Ihrem AKS-Cluster, um Hardwareisolation und Kontrolle über Wartungsereignisse der Azure-Plattform zu verwenden.

  • Zuletzt aktualisiert um