Protección del acceso al servidor de API con intervalos de direcciones IP autorizadas en Azure Kubernetes Service (AKS)

Use el az aks create comando con el --api-server-authorized-ip-ranges parámetro para crear un clúster de AKS con intervalos IP autorizados del servidor de API habilitados. En el ejemplo siguiente se crea un clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup y se permite que el intervalo 73.140.245.0/24 de direcciones IP acceda al servidor de API:

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --generate-ssh-keys

Use el New-AzAksCluster cmdlet con el -ApiServerAccessAuthorizedIpRange parámetro para crear un clúster de AKS con intervalos IP autorizados del servidor de API habilitados. En el ejemplo siguiente se crea un clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup y se permite que el intervalo 73.140.245.0/24 de direcciones IP acceda al servidor de API:

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '73.140.245.0/24' -GenerateSshKey

1. En la página principal de Azure Portal, seleccione Crear un recurso>Containers>Azure Kubernetes Service (AKS).
2. Configure los valores del clúster según sea necesario.
3. En la sección Redes en Acceso público, seleccione Establecer intervalos IP autorizados.
4. Para Especificar intervalos IP, escriba los intervalos de direcciones IP que quiera autorizar para acceder al servidor de API.
5. Configure el resto de valores del clúster según sea necesario.
6. Cuando haya terminado, seleccione Revisar y crear>Crear para crear el clúster.

Especificar direcciones IP de salida para un equilibrador de carga de SKU estándar mediante CLI de Azure

Al crear un clúster con intervalos IP autorizados del servidor de API habilitados, también puede especificar sus direcciones IP de salida o prefijos mediante los --load-balancer-outbound-ips parámetros o --load-balancer-outbound-ip-prefixes . AKS permite estas direcciones IP además de las direcciones IP del --api-server-authorized-ip-ranges parámetro .

Use el --load-balancer-outbound-ips parámetro para crear un clúster de AKS con intervalos IP autorizados del servidor de API habilitados y especifique las direcciones IP salientes para el equilibrador de carga de SKU estándar. En el ejemplo siguiente se crea un clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup, se permite 73.140.245.0/24 acceder al servidor de API y se especifican dos direcciones IP salientes para el equilibrador de carga de SKU estándar. Reemplace <public-ip-id-1> y <public-ip-id-2> por los identificadores de recursos de las direcciones IP públicas.

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --load-balancer-outbound-ips <public-ip-id-1>,<public-ip-id-2> --generate-ssh-keys

Use el --api-server-authorized-ip-ranges parámetro para crear un clúster de AKS que permita que solo la dirección IP pública saliente del equilibrador de carga de SKU estándar acceda al servidor de API. En el ejemplo siguiente se crea un clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 0.0.0.0/32 --generate-ssh-keys

Use el -ApiServerAccessAuthorizedIpRange parámetro para crear un clúster de AKS que permita que solo la dirección IP pública saliente del equilibrador de carga de SKU estándar acceda al servidor de API. En el ejemplo siguiente se crea un clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '0.0.0.0/32' -GenerateSshKey

1. En la página principal de Azure Portal, seleccione Crear un recurso>Containers>Azure Kubernetes Service (AKS).
2. Configure los valores del clúster según sea necesario.
3. En la sección Redes en Acceso público, seleccione Establecer intervalos IP autorizados.
4. En Especificar intervalos IP, escriba 0.0.0.0/32. Esta configuración solo permite la dirección IP pública saliente del equilibrador de carga de SKU estándar.
5. Configure el resto de valores del clúster según sea necesario.
6. Cuando haya terminado, seleccione Revisar y crear>Crear para crear el clúster.

Use el az aks update comando con el --api-server-authorized-ip-ranges parámetro para actualizar los intervalos IP autorizados del servidor de API de un clúster. En el ejemplo siguiente se establece el intervalo 73.140.245.0/24 autorizado en para el clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24

Permitir varios intervalos de direcciones IP mediante CLI de Azure

Para permitir varios intervalos de direcciones IP, separe con comas.

Use el az aks update comando con el --api-server-authorized-ip-ranges parámetro para autorizar varios intervalos de direcciones IP. En el ejemplo siguiente se actualiza el clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24,193.168.1.0/24,194.168.1.0/24

Use el Set-AzAksCluster cmdlet con el -ApiServerAccessAuthorizedIpRange parámetro para actualizar los intervalos IP autorizados del servidor de API de un clúster. En el ejemplo siguiente se establece el intervalo 73.140.245.0/24 autorizado en para el clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange '73.140.245.0/24'

1. Vaya a Azure Portal y seleccione el clúster de AKS que quiera actualizar.
2. En el menú servicio, en Configuración, seleccione Redes.
3. En Configuración de recursos, seleccione Administrar.
4. En la página Intervalos IP autorizados, actualice los Intervalos IP autorizados según sea necesario.
5. Cuando finalice, seleccione Guardar.

Para deshabilitar los intervalos IP autorizados del servidor de API, use el az aks update comando y especifique un intervalo "" vacío para el --api-server-authorized-ip-ranges parámetro .

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges ""

Para deshabilitar los intervalos IP autorizados del servidor de API, use el Set-AzAksCluster cmdlet y especifique un intervalo '' vacío para el -ApiServerAccessAuthorizedIpRange parámetro .

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange ''

1. Vaya a Azure Portal y seleccione el clúster de AKS que quiera actualizar.
2. En el menú servicio, en Configuración, seleccione Redes.
3. En Configuración de recursos, seleccione Administrar.
4. En la página Intervalos IP autorizados, desactive la casilla Establecer intervalos IP autorizados.
5. Seleccione Guardar.

Para buscar intervalos IP autorizados del servidor de API existentes, use el az aks show comando con el --query parámetro establecido en apiServerAccessProfile.authorizedIpRanges.

az aks show --resource-group myResourceGroup --name myAKSCluster --query apiServerAccessProfile.authorizedIpRanges

Ejemplo de resultado:

[
    "73.140.245.0/24"
]

Para buscar intervalos IP autorizados del servidor de API existentes, use el Get-AzAksCluster cmdlet .

Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster | Select-Object -ExpandProperty ApiServerAccessProfile

Ejemplo de resultado:

AuthorizedIPRanges: {73.140.245.0/24}
...

1. Vaya a Azure Portal y seleccione su clúster de AKS.

2. En el menú servicio, en Configuración, seleccione Redes.

   En la sección Configuración de recursos de la página Redes se muestran los intervalos IP autorizados configurados actualmente.

   

1. Ejecute el siguiente comando para recuperar la dirección IP y establecerla como una variable de entorno:

   # Retrieve your IP address
   CURRENT_IP=$(dig +short "myip.opendns.com" "@resolver1.opendns.com")
   

2. Use el az aks update comando con el --api-server-authorized-ip-ranges parámetro para agregar la dirección IP a los intervalos autorizados. En el ejemplo siguiente se agrega la dirección IP actual a los intervalos existentes del clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

   az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges $CURRENT_IP/32,73.140.245.0/24
   

1. Ejecute el siguiente comando para recuperar la dirección IP y establecerla como una variable de entorno:

   # Retrieve your IP address
   $CURRENT_IP = (Invoke-RestMethod -Uri 'https://ipinfo.io/json').ip
   

2. Use el Set-AzAksCluster cmdlet con el -ApiServerAccessAuthorizedIpRange parámetro para agregar la dirección IP a los intervalos autorizados. En el ejemplo siguiente se agrega la dirección IP actual a los intervalos existentes del clúster denominado myAKSCluster en el grupo de recursos denominado myResourceGroup:

   Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange "$CURRENT_IP/32", '73.140.245.0/24'