Übersicht über automatische Cluster mit verwalteten Systemknotenpools in Azure Kubernetes Service (AKS)

In dieser Übersicht wird das Feature für verwaltete Systemknotenpools erläutert, das standardmäßig für neue automatische AKS-Cluster aktiviert ist und nur in AKS Automatic verfügbar ist. Mit verwalteten Systemknotenpools können Sie sich auf Ihre Anwendungen konzentrieren, während AKS die zugrunde liegende Infrastruktur verwaltet, einschließlich Systemknotenpools, um die Leistung und Zuverlässigkeit zu optimieren.

Informationen zum Erstellen eines automatischen AKS-Clusters mit verwalteten Systemknotenpools finden Sie unter Quickstart: Erstellen eines Azure Kubernetes Service (AKS) automatischen Clusters Schnellstart.

Wichtige Features und Vorteile

Mit dem Feature für verwaltete Systemknotenpools können Sie sich auf Ihre Anwendungen konzentrieren, während AKS Automatic sicherstellt, dass die zugrunde liegende Infrastruktur für Leistung und Zuverlässigkeit optimiert ist. Zu den wichtigsten Features und Vorteilen gehören:

  • Kein betriebstechnischer Aufwand: AKS stellt Systemknotenpools bereit, führt Upgrades durch und skaliert automatisch, wodurch manuelle Eingriffe überflüssig werden.
  • Vereinfachte Clustererstellung: Sie müssen keine Computekontingente für Systemknotenpools nachverfolgen oder zuweisen, da AKS Kontingente für Sie verarbeitet.
  • Kosteneffizienz: Virtuelle Computer (VMs), die auf Systemknotenpools ausgeführt werden, werden Kundenabonnements nicht in Rechnung gestellt, sodass Sie die Kosten optimieren und gleichzeitig eine hohe Leistung gewährleisten können.
  • Verbesserte Leistung: Das Isolieren von Systemarbeitslasten aus Kundenanwendungen verbessert die Zuverlässigkeit und gewährleistet eine konsistente Leistung, die von Service Level Agreements (SLAs) unterstützt wird.
  • Verwalteter Systemknotenpool standardmäßig: Standardmäßig aktivieren neue AKS-Automatische Cluster verwaltete Systemknotenpools. Wenn Sie über einen vorhandenen automatischen AKS-Cluster ohne verwaltete Systemknotenpools verfügen, können Sie den Cluster migrieren, um verwaltete Systemknotenpools in der Vorschau zu verwenden.
  • Automatische Skalierung und Knotenreparatur: Die Clusterautoskalierung ist für Systemknoten im verwalteten Systemknotenpool aktiviert. Die automatische Reparatur des Knotens ist für Systemknoten im verwalteten Systemknotenpool aktiviert.

Von Bedeutung

Ab AKS 1.36 werden neue AKS-Automatik-Cluster standardmäßig Kubernetes Gateway API über das Application Routing Add-on anstelle von Verwaltetem NGINX Ingress mit dem Application Routing Add-on aufgrund der Ablösung von Ingress NGINX durch das Upstream aktivieren.

Vorhandene automatische Cluster sind nicht betroffen, sollten aber mit der Migration zur Kubernetes-Gateway-API über das Anwendungsrouting-Add-On beginnen.

Einschränkungen

Die folgenden Einschränkungen gelten für automatische AKS-Cluster:

  • AKS Automatic ist in den folgenden Regionen allgemein verfügbar: australiacentral, australiaeast, australiasoutheast, austriaeast, belgiumcentral, brazilsouth, canadaeast, norwayeast, canadacentral, southindia, southeastasia, southcentralus, southafricanorth, polandcentral, northeurope, swedencentral, eastus2, eastus, eastasia, denmarkeast, francecentral, chilecentral, centralindia, newzealandnorth, mexicocentral, northcentralus, spaincentral, koreasouth, westus, koreacentral, israelcentral, indonesiacentral, italynorth, germanywestcentral, japaneast, centralus, japanwest, malaysiawest, westcentralus, ukwest, westeurope, uaenorth, uksouth, switzerlandnorth, westus2, westus3.
  • Neue automatische AKS-Cluster aktivieren standardmäßig verwaltete Systemknotenpools und LocalDNS. Sie können keine automatischen AKS-Cluster ohne verwaltete Systemknotenpools in einer beliebigen Region erstellen.
  • AKS Automatic ist mit node resource group lockdown vorkonfiguriert, wodurch keine Änderungen an der Ressourcengruppe MC_ zulässig sind und virtuelle Netzwerkverknüpfungen in der standardmäßigen privaten DNS-Zone verhindert werden. Für VNet-übergreifende oder benutzerdefinierte DNS-Szenarien verwenden Sie ein benutzerdefiniertes Netzwerk und einen privaten DNS gemäß den Anweisungen unter Erstellen eines privaten Azure Kubernetes Service (AKS) automatischen Clusters in einem benutzerdefinierten virtuellen Netzwerk.
  • Azure CLI Version 2.86.0 oder höher ist erforderlich. Um die Version zu finden, führen Sie den Befehl aus az --version . Wenn Sie eine Installation oder ein Upgrade durchführen müssen, finden Sie weitere Informationen unter Azure CLI installieren.
  • Die folgenden Erweiterungen werden nicht unterstützt:
  • Windows-Knoten werden nicht unterstützt.
  • Die Migration von AKS-Basis-SKU zu automatischer SKU wird nicht unterstützt.
  • Die Migration von einem vorhandenen automatischen AKS-Cluster ohne verwaltete Systemknotenpools zu AKS Automatic mit verwalteten Systemknotenpools wird in der Vorschau in Regionen unterstützt, in denen verwaltete Systemknotenpools allgemein verfügbar sind. Die Migration von AKS Automatic mit verwalteten Systemknotenpools zurück zu AKS Automatic ohne verwaltete Systemknotenpools wird nicht unterstützt.

Komponenten von verwalteten Systemknotenpools

In der folgenden Tabelle werden die von AKS verwalteten Komponenten in verwalteten Systemknotenpools beschrieben. AKS behandelt die Erstellung, Aktualisierung und Skalierung der Systemknoten, auf denen diese Komponenten ausgeführt werden.

Komponente Namespace Einsatz
Workload-Identität kube-system azure-wi-webhook-controller-manager
CoreDNS kube-system coredns, coredns-autoscaler
Radiergummi kube-system eraser-controller-manager
Kubernetes Ereignisgesteuerte Automatische Skalierung (KEDA) kube-system keda-admission-webhooks, keda-operatorkeda-operator-metrics-apiserver
Konnectivität kube-system konnectivity-agent, konnectivity-agent-autoscaler
Metrikserver kube-system metrics-server
Vertikale Pod-Autoskalierung (VPA) kube-system vpa-admission-controller, vpa-recommendervpa-updater

Andere Erweiterungen werden auf einem aks-system-surge Knoten ausgeführt, wobei die Skalierung durch Node Auto-Provisioning (NAP) behandelt wird. DaemonSets sowohl auf verwalteten Systemknotenpools als auch auf Knoten in Ihrem Abonnement ausgeführen, einschließlich der aks-system-surge Knoten.

Vorhandenen AKS Automatic-Cluster zu verwalteten Systemknotenpools migrieren (Vorschau)

AKS Automatic unterstützt die Vorschaumigration von nicht verwalteten Systemknotenpools zu verwalteten Systemknotenpools in Regionen, in denen verwaltete Systemknotenpools allgemein verfügbar sind. Um dieses Vorschaufeature zu verwenden, registrieren Sie die Microsoft.ContainerService/NonHoboToHoboConversionPreview Featurekennzeichnung in Ihrem Abonnement, und aktualisieren Sie dann den Cluster mit dem --enable-hosted-system Parameter.

az feature register \
    --namespace Microsoft.ContainerService \
    --name NonHoboToHoboConversionPreview

Überprüfen Sie den Registrierungsstatus mithilfe des az feature show Befehls:

az feature show \
    --namespace Microsoft.ContainerService \
    --name NonHoboToHoboConversionPreview \
    --query properties.state \
    --output tsv

Warten Sie, bis der Befehl zurückgegeben wird Registered , bevor Sie fortfahren. Aktualisieren Sie dann die Registrierung des Microsoft.ContainerService Ressourcenanbieters.

az provider register --namespace Microsoft.ContainerService

Um einen vorhandenen AKS Automatic Cluster zu migrieren, der AKS-verwaltetes Netzwerk verwendet, führen Sie den az aks update Befehl mit dem --enable-hosted-system Parameter aus:

az aks update \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --enable-hosted-system

Für einen automatischen AKS-Cluster, der ein benutzerdefiniertes virtuelles Netzwerk verwendet, stellen Sie auch das Subnetz für den verwalteten Systemknotenpool bereit. Das Subnetz des Systemknotens muss sich im selben virtuellen Netzwerk und in derselben Region wie der Cluster befinden, mindestens /26 groß sein und darf nicht an einen anderen Dienst delegiert werden. Der --node-subnet-id Parameter ist optional. Wenn Sie sie nicht bereitstellen, verwendet AKS das vorhandene Subnetz des Systemknotenpools.

az aks update \
    --resource-group <resource-group> \
    --name <cluster-name> \
    --enable-hosted-system \
    --system-node-subnet-id <system-node-subnet-resource-id> \
    --node-subnet-id <node-subnet-resource-id>

Weitere Informationen finden Sie unter Migrieren zwischen AKS Automatic- und AKS-Basisclustern.

Sicherheitseinschränkungen für verwaltete Systemknotenpools

Da AKS den Systemknotenpool in Ihrem Auftrag verwaltet, wendet AKS mehrere Ebenen von Sicherheitseinschränkungen durch integrierte Richtlinien, grundlegende Pod-Sicherheitsstandards und Richtlinien für die Einlasszeit an. Diese Einschränkungen helfen dabei, verwaltete Systemkomponenten zu schützen und die Grenze zwischen Kundenworkloads und AKS-verwalteter Infrastruktur beizubehalten.

Einschränkung Was AKS verhindert Warum dies wichtig ist
Änderungen der verwalteten Systemressourcen Erstellen, Aktualisieren oder Löschen von Ressourcen in AKS-verwalteten Systemnamespaces. Schützt AKS-verwaltete Komponenten vor vom Kunden initiierten Änderungen.
Interaktiver Zugriff auf System-Pods Verwenden von Pods exec, attachoder port-forward gegen AKS-verwaltete System-Pods. Verhindert den direkten Zugriff auf Systemarbeitslasten, die auf verwalteten Systemknotenpools ausgeführt werden.
Änderungen des verwalteten Systemknotens Ändern von verwalteten Systemknoten oder Bezeichnen regulärer Knoten als verwaltete Systemknoten. Unterstützt die Verwaltung der Grenze zwischen vom Kunden verwalteten Knoten und AKS-verwalteten Systemknoten.
Workloadplatzierung auf verwalteten Systemknoten Planung und Ausführung von Kundenworkloads auf AKS-verwalteten Systemknoten, einschließlich Workloads mit reservierten Toleranzen, breiten Wildcard-Toleranzen oder benutzerdefinierten Schedulern. Verhindert, dass Kundenarbeitslasten auf dedizierten Systemknoten ausgeführt werden.
Privilegierte Clusterzugriffspfade Gewähren des Zugriffs auf vertrauliche Knotenproxyberechtigungen. Reduziert Pfade, die normale Steuerelemente umgehen oder den Zugriff auf Clusterressourcen eskalieren können.
Nachahmung einer geschützten Identität Die Nachahmung geschützter AKS-, Kubernetes- oder Systemdienstkontoidentitäten. Verhindert, dass Anrufer Identitäten annehmen, die von vertrauenswürdigen Systemkomponenten verwendet werden.
Änderungen der AKS-verwalteten Sicherheitssteuerung Ändern von AKS-verwalteten Sicherheitsrichtlinien und Zulassungskriterien. Verhindert, dass die Steuerelemente, die verwaltete Systemknotenpools schützen, geschwächt oder deaktiviert werden.

Nicht unterstützte AKS-API-Vorgänge

Die folgenden AKS-API-Vorgänge werden nicht unterstützt:

  • Aktualisieren eines verwalteten Systemknotenpools.
  • Löschen eines verwalteten Systemknotenpools.
  • Beenden eines Clusters mit einem verwalteten Systemknotenpool.
  • Das Auflisten von Agentpools in einem Cluster umfasst keine verwalteten Systemknotenpools.

Nächste Schritte

Erstellen eines Azure Kubernetes Service (AKS)-Clusters vom Typ „Automatisch“

  • Zuletzt aktualisiert um