クラスター拡張機能は、AKS クラスター上の Azure Machine Learning や Kubernetes アプリケーションなどのサービスのインストールとライフサイクル管理のためのAzure Resource Manager駆動型エクスペリエンスを提供します。 この機能により以下が可能になります。
- Azure Resource Managerベースの拡張機能のデプロイ (AKS クラスター間の大規模なデプロイを含む)。
- Azure Resource Managerからの拡張機能のライフサイクル管理 (更新、削除)。
クラスター拡張機能のカテゴリ
クラスター拡張機能には、AKS クラスターにデプロイできる Core と Standard の 2 つのカテゴリがあります。
コア拡張機能
コア Kubernetes 拡張機能には、より広範なリージョンの可用性、より統合された AKS エクスペリエンス、および AKS バージョン リリースへのリリースアラインメントがあります。 Azure BackupとAzureコンテナーの監視は、コア拡張機能です。
AKS ネイティブ エクスペリエンス
コア拡張機能は、CLI コマンド az aks 使用して管理できます。
az aks extension create \
--name <core extension name> \
--extension-type <type> \
--cluster-name <name> \
--resource-group <group>
コマンドの詳細については、 az aksを参照してください。
リリース ポリシー
コア拡張機能のマイナー アップグレードとメジャー アップグレードは、AKS のマイナー バージョンとメジャー バージョンの更新プログラムと共に行われ、破壊的変更の導入を回避し、信頼性を向上させます。
コア拡張機能へのアドオンの移行
Azure Monitor サービス (Container Insights、Managed Prometheus、Application Insights など) は、クラスター拡張機能ベースのバックエンド モデルに移行しています。 この変更により、AKS 監視 アドオン が拡張機能ベースの管理モデルに更新され、機能やユーザー エクスペリエンスは変更されません。
このバックエンドの移行は中断せず、ユーザー エクスペリエンスを変更したり、顧客の操作を必要としたりすることはありません。
ワークロード、データ収集、監視機能に影響はありません。
Azure CLI、Azure ポータル、およびすべてのクライアント エクスペリエンスは引き続き期待どおりに動作します。
注釈
- Azureポリシーの制限:クラスター拡張機能リソースの種類の作成または更新をブロックするカスタム Azure ポリシーは、更新または除外する必要があります。
- Azureリソース ロック: Azureリソース ロックによって、クラスター拡張機能のリソースの種類の管理がブロックされる可能性があります。
軽減策の詳細については、 トラブルシューティング のドキュメントを参照してください。
標準拡張機能
その他のクラスター拡張機能の詳細については、「現在使用可能な拡張機能」の表を参照してください。また、Azure Marketplaceを通じてデプロイされるKubernetesアプリは、標準拡張機能のタイプに分類されます。
標準拡張機能は、 az k8s-extension CLI コマンドを使用して管理できます。 詳細については、「
az k8s-extension create \
--name <standard extension name> \
--extension-type <extension-type> \
--scope cluster \
--cluster-name <clusterName> \
--resource-group <resourceGroupName> \
--cluster-type managedClusters
クラスター拡張機能の要件
クラスター拡張機能プラットフォームは、AKS がデプロイされているすべてのリージョンでサポートされています。 プラットフォームはすべてのリージョンで利用できますが、個々の拡張機能のリージョンの可用性を確認してください。
重要
クラスター拡張機能がサービス プリンシパル ベースのクラスターでは機能しないため、AKS クラスターがマネージド ID で作成されていることを確認します。
az aks create で作成される新しいクラスターの場合、マネージド ID が既定で構成されます。 マネージド ID に切り替える必要がある既存のサービス プリンシパル ベースのクラスターの場合は、az aks update フラグを指定して --enable-managed-identity を実行することで有効にすることができます。 詳細については、マネージド ID の使用に関するページを参照してください。
注釈
AKS クラスターでMicrosoft Entraポッドマネージド ID を有効にした場合、または実装を検討している場合は、最初に Workload ID の概要を確認して、Microsoft Entra ワークロード ID (プレビュー) を使用するようにクラスターを設定するための推奨事項とオプションを理解することをお勧めします。 この認証方法により、ポッドマネージド ID (プレビュー) が置き換えられます。これにより、Kubernetes のネイティブ機能と統合され、任意の外部 ID プロバイダーとフェデレーションされます。 Azure Kubernetes Serviceのオープンソース Microsoft Entra ポッドマネージド ID (プレビュー) は、2022 年 10 月 24 日の時点で非推奨となりました。
現在使用可能な拡張機能
セキュリティ、ID、ネットワーク、展開の準備機能の拡張機能のサポートは、拡張機能によって異なります。 次の表に、各機能の現在のサポート状態を示します。 これを使用して、拡張機能が組織の運用要件とガバナンス要件を満たしているかどうかを判断します。
- Federal Information Processing Standard (FIPS) 140-3 は、情報技術製品およびシステムの暗号化モジュールの最小セキュリティ要件を定義する米国政府の標準です。
- ワークロード ID は、資格情報の 盗難から保護するために、セキュリティで保護された ID 管理と IMDS 制限に不可欠です。
- Private Linkは、ネットワークの分離、承認されていないアクセスの防止、および Network Isolated AKS クラスターでの拡張機能の機能の許可に不可欠です。
- 展開セーフガードは、Azure Kubernetes Service (AKS) クラスターにベスト プラクティスを適用します。
- ポッド セキュリティ標準 (PSS) では、 セキュリティの範囲を広くカバーする 3 つの異なるポリシーが定義されています。 PSS-Baseline は、既知の特権エスカレーションを防止する最小限の制限付きポリシーを提供します。
伝説
| Symbol | Meaning |
|---|---|
| ✅ | サポートされている |
| ❌ | サポートされていません |
| N/R | 必要なし |
拡張機能のマトリックス
| 拡張機能 | 説明 | PSS - ベースライン | 連邦情報処理規格（FIPS） | 展開セーフガード | ワークロードアイデンティティ | Private Link |
|---|---|---|---|---|---|---|
| Azure App Configuration | アプリケーション設定と機能フラグの一元管理。 | ✅ | ❌ | ✅ | ✅ | ✅ |
| Azure Machine Learning | AKS で機械学習ワークロードをトレーニング、デプロイ、管理します。 | ❌ | ❌ | ❌ | ❌ | ✅ |
| Dapr | クラウドおよびエッジ ワークロード用のイベント ドリブン アプリケーション ランタイム。 | ✅ | ❌ | ❌ | ✅ | ✅ |
| AKS 用 Azure Backup | 永続ボリュームのバックアップと復元の保護。 (コア拡張機能) | ✅ | ❌ | ✅ | ✅ | ✅ |
| Flux (GitOps) | GitOps ベースの構成とアプリケーションのデプロイ管理。 | ✅ | ❌ | ✅ | ❌ | ✅ |
| Azure Container Storage | AKS ワークロード向けの永続ストレージ。 | ✅ | ❌ | ✅ | N/R | ❌ |
| サービスコネクタ | AKS ワークロードとAzure サービス間のセキュリティで保護された接続を簡略化します。 | ✅ | ❌ | ✅ | ✅ | N/R |
| Azure Monitor - Container Insights | AKS クラスターとコンテナーのログ収集と監視。 (コア拡張機能) | ❌ | ❌ | ❌ | ❌ | ✅ |
| Azure Monitor - Prometheus | AKS の Prometheus と互換性のあるメトリックの収集。 (コア拡張機能) | ✅ | ❌ | ✅ | N/R | ✅ |
| Azure Monitor - アプリの監視 | アプリケーション パフォーマンスの監視とテレメトリの収集。 (コア拡張機能) | ❌ | ❌ | ❌ | ❌ | ❌ |
| Argo CD | Kubernetes アプリケーション用の GitOps ベースの継続的デリバリー。 | ✅ | ❌ | ✅ | ✅ | ❌ |
Marketplace から Kubernetes アプリケーションを選んでデプロイすることもできます。
注釈
クラスター拡張機能は、さまざまな拡張機能を AKS クラスターにインストールして管理するためのプラットフォームを提供します。 これらの拡張機能のいずれかを使用しているときに問題が発生した場合は、それぞれのサービスでサポート チケットを開きます。
注釈
すべての機能がすべての拡張機能に関連するわけではありません。 必須ではないとしてマークされた拡張機能は、引き続き該当する AKS セキュリティ要件に従います。 状態は、拡張機能の目的の機能に機能が必要ないことを示すだけです。
次の手順
- Azure CLIを使用してクラスター拡張機能><デプロイする方法について説明します。
- クラスター拡張機能について説明します。