Déployer et gérer des extensions de cluster pour Azure Kubernetes Service (AKS)

Les extensions de cluster fournissent une expérience Azure Resource Manager pilotée par l’installation et la gestion du cycle de vie des services comme les applications Azure Machine Learning ou Kubernetes sur un cluster AKS. Cette fonctionnalité permet :

  • Déploiement des extensions basé sur Azure Resource Manager, y compris des déploiements à grande échelle sur des clusters AKS.
  • Gestion du cycle de vie de l’extension (Mise à jour, Suppression) de Azure Resource Manager.

Catégories d’extensions de cluster

Il existe deux catégories d’extensions de cluster, Core et Standard qui peuvent être déployées sur des clusters AKS.

Extensions principales

Les extensions de base de Kubernetes offrent une disponibilité régionale plus étendue, une expérience AKS mieux intégrée et un alignement des versions avec les sorties d'AKS. Sauvegarde Azure et Azure Surveillance des conteneurs sont des extensions principales.

Expérience native d'AKS

Les extensions principales peuvent être gérées à l’aide de az aks la commande CLI.

az aks extension create \
  --name <core extension name> \
  --extension-type <type> \
  --cluster-name <name> \
  --resource-group <group>

Pour plus d’informations sur les commandes, consultez az aks.

Politique de publication

Les mises à niveau mineures et majeures des extensions principales se produisent en même temps que les mises à jour mineures et principales d’AKS pour éviter d’introduire des modifications cassants et fournir une meilleure fiabilité.

Migration des modules complémentaires vers l’extension principale

Azure Monitor services, notamment Container Insights, Managed Prometheus et Application Insights passent à un modèle principal basé sur une extension de cluster. Cette modification met à jour les modules complémentaires de surveillance AKS vers un modèle de gestion basé sur l’extension, sans modification des fonctionnalités ou de l’expérience utilisateur.

  • Cette migration back-end n’est pasdisruptive et ne modifie pas l’expérience utilisateur ni nécessite une action du client.

  • Il n’y a aucun impact sur les charges de travail, la collecte de données ou la fonctionnalité de supervision.

  • Azure CLI, Azure portail et toutes les expériences clientes continuent de fonctionner comme prévu.

Remarque

  • Restrictions de stratégie Azure : Les stratégies Azure personnalisées qui bloquent la création ou les mises à jour du type de ressource d’extensions de cluster doivent être mises à jour ou faire l’objet d’une exemption.
  • Verrous de ressources Azure : Les verrous de ressources Azure peuvent empêcher la gestion du type de ressource extensions de cluster.

Reportez-vous à la documentation de résolution des problèmes pour plus d’informations sur l’atténuation.

Extensions standard

Pour plus d’informations sur les autres extensions de cluster, consultez le tableau dans Extensions disponibles et les applications Kubernetes déployées via Place de marché Azure sont du type d’extension Standard.

Les extensions standard peuvent être gérées à l’aide de la az k8s-extension commande CLI. Pour plus d’informations, consultez Deploy and manage cluster extensions by using Azure CLI.

az k8s-extension create \
  --name <standard extension name> \
  --extension-type <extension-type> \
  --scope cluster \
  --cluster-name <clusterName> \
  --resource-group <resourceGroupName> \
  --cluster-type managedClusters

Configuration requise pour l’extension de cluster

La plateforme d’extensions de cluster est prise en charge dans toutes les régions où AKS est déployé. Bien que la plateforme soit disponible dans toutes les régions, vérifiez la disponibilité de la région pour les extensions individuelles.

Important

Vérifiez que votre cluster AKS est créé avec une identité managée, car les extensions de cluster ne fonctionnent pas avec les clusters basés sur le principal de service.

Pour les nouveaux clusters créés avec az aks create, l’identité managée est configurée par défaut. Pour les clusters existants basés sur un principal de service qui doivent être basculés vers une identité managée, elle peut être activée en exécutant az aks update avec l’indicateur --enable-managed-identity. Pour plus d’informations, consultez Utiliser une identité managée.

Remarque

Si vous avez activé Microsoft Entra identité gérée par pod sur votre cluster AKS ou envisagez de l’implémenter, nous vous recommandons de commencer par passer en revue Vue d'ensemble de l'identité Workload pour comprendre nos recommandations et options pour configurer votre cluster pour utiliser un ID de charge de travail Microsoft Entra (aperçu). Cette méthode d’authentification remplace l’identité managée par pod (préversion), qui s’intègre aux fonctionnalités natives de Kubernetes pour opérer une fédération avec tout fournisseur d’identité externe. L’identité managée par pod Microsoft Entra open source (préversion) dans Azure Kubernetes Service a été déconseillée à compter du 24 octobre 2022.

Extensions actuellement disponibles

La prise en charge de l’extension pour les fonctionnalités de sécurité, d’identité, de mise en réseau et de préparation du déploiement varie en fonction de l’extension. Le tableau suivant fournit l’état de prise en charge actuel pour chaque fonctionnalité. Utilisez-la pour déterminer si une extension répond aux exigences opérationnelles et de gouvernance de votre organisation.

  • Federal Information Processing Standard (FIPS) 140-3 est une norme gouvernementale américaine qui définit les exigences de sécurité minimales pour les modules de chiffrement dans les produits et systèmes informatiques.
  • L’identité de charge de travail est essentielle pour sécuriser la gestion des identités et la restriction IMDS, afin de vous protéger contre le vol d’informations d’identification.
  • Private Link est essentiel pour l’isolation du réseau, empêchant l’accès non autorisé et autorisant les extensions à fonctionner dans les clusters AKS isolés réseau.
  • Les protections de déploiement appliquent les meilleures pratiques sur un cluster Azure Kubernetes Service (AKS).
  • Les normes de sécurité des pods (PSS) définissent trois stratégies différentes pour couvrir largement le spectre de sécurité. PSS-Baseline fournit une stratégie minimalement restrictive qui empêche les escalades de privilèges connues.

Légende

Symbol Meaning
✅ Supported
❌ Non prise en charge
N/R Facultatif

Matrice de capacité d’extension

Extension Description PSS - Base de référence Normes fédérales de traitement de l'information (FIPS) Protections de déploiement Identité de charge de travail Private Link
Configuration d'application Azure Gestion centralisée des paramètres d’application et des indicateurs de fonctionnalité. ✅ ❌ ✅ ✅ ✅
Kueue Mise en file d’attente des travaux gérée, hiérarchisation et admission des charges de travail tenant compte des ressources pour les charges de travail par lot et d’IA sur AKS. ✅ ❌ ❌ ✅ ✅
Azure Machine Learning Entraîner, déployer et gérer des charges de travail Machine Learning sur AKS. ❌ ❌ ❌ ❌ ✅
Managed KubeRay (version préliminaire) Installez et gérez l’opérateur KubeRay pour les charges de travail Ray sur AKS. ✅ ❌ ✅ N/R ❌
Dapr Environnement d’exécution d’applications orienté événements pour les charges de travail cloud et en périphérie. ✅ ❌ ❌ ✅ ✅
Sauvegarde Azure pour AKS Protection de sauvegarde et de restauration pour les volumes persistants. (Extension principale) ✅ ❌ ✅ ✅ ✅
Flux (GitOps) Gestion de la configuration et du déploiement d’applications basées sur GitOps. ✅ ❌ ✅ ❌ ✅
Azure Stockage de conteneurs Stockage persistant pour les charges de travail AKS. ✅ ❌ ✅ N/R ❌
Connecteur de service Simplifie la connectivité sécurisée entre les charges de travail AKS et les services Azure. ✅ ❌ ✅ ✅ N/R
Nœuds virtuels v2 sur Azure Container Instances (préversion) Utilisez les nœuds virtuels v2 pour étendre ponctuellement des charges de travail AKS afin d’effectuer de l’informatique sans serveur sur Azure Container Instances (ACI). N/R ❌ ❌ ✅ ✅
Azure Monitor - Container Insights Collecte et supervision des journaux des clusters et conteneurs AKS. (Extension principale) N/R ❌ ❌ N/R ✅
Azure Monitor - Prometheus Collection de métriques compatibles Prometheus pour AKS. (Extension principale) ✅ ❌ ✅ N/R ✅
Azure Monitor - Surveillance des applications Analyse des performances des applications et collecte de données de télémétrie. (Extension principale) N/R ❌ ❌ N/R ✅
Argo CD Livraison continue basée sur GitOps pour les applications Kubernetes. ✅ ❌ ✅ ✅ ❌

Vous pouvez également sélectionner et déployer des applications Kubernetes disponibles via la Place de marché.

Remarque

Les extensions de cluster fournissent une plateforme pour que différentes extensions soient installées et gérées sur un cluster AKS. Si vous rencontrez des problèmes lors de l’utilisation de l’une de ces extensions, ouvrez un ticket de support avec le service respectif.

Remarque

Toutes les fonctionnalités ne sont pas pertinentes pour chaque extension. Les extensions marquées comme non requises continuent de respecter les exigences de sécurité AKS applicables. L’état indique simplement que la fonctionnalité n’est pas nécessaire pour la fonctionnalité prévue de l’extension.

Étapes suivantes

  • Dernière mise à jour :