Azure Kubernetes Service (AKS)で送信の種類を使用してクラスターエグレスをカスタマイズする

既定では、AKS はエグレスにStandard Load Balancerを使用します。 この構成は、パブリック IP アドレスを禁止したり、追加のエグレス ホップを必要とするシナリオに合わせてカスタマイズできます。

この記事では、AKS クラスターで使用できる送信接続の種類について説明します。

制限事項

• outboundType を設定するには、vm-set-type を VirtualMachineScaleSets、load-balancer-sku を Standard に設定した AKS クラスターが必要です。

AKS の送信の種類

AKS クラスターは、ロード バランサー、NAT ゲートウェイ、ユーザー定義ルート、 none、または blockの送信の種類を使用して構成できます。 送信の種類は、クラスターのエグレス トラフィックにのみ影響します。 詳細については、 イングレス ネットワークの概念を参照してください。

送信の種類: Load Balancer

ロード バランサーは、AKS に割り当てられたパブリック IP を経由したエグレスに使用されます。 loadBalancer の送信の種類は、種類 loadBalancer の Kubernetes サービスをサポートします。このサービスでは、AKS リソース プロバイダーによって作成されたロード バランサーからのエグレスが想定されます。

loadBalancer が設定されている場合、AKS によって次の構成が自動的に完了します。

• クラスターエグレス用にパブリック IP アドレスが作成されます。
• パブリック IP アドレスは、ロード バランサーのリソースに割り当てられます。
• ロード バランサーのバックエンド プールは、クラスター内のエージェント ノードに設定されます。

詳細については、AKS で標準ロード バランサーを使用することに関するページを参照してください。

送信の種類: NAT ゲートウェイ

outboundType managedNATGatewayV2 (プレビュー)、managedNATGateway、またはuserAssignedNATGatewayを選択すると、AKS はクラスターエグレスにAzure NAT Gatewayを使用します。

• AKS で管理される仮想ネットワークの managedNATGatewayV2 または managedNATGateway を選択します。 AKS は、 managedNATGatewayV2 用の StandardV2 NAT ゲートウェイまたは managedNATGateway用の Standard NAT ゲートウェイをプロビジョニングしてアタッチします。 StandardV2 NAT ゲートウェイは既定でゾーン冗長であり、帯域幅とスループットが高いため、推奨されます。 詳細については、「 StandardV2 NAT ゲートウェイ」を参照してください。
• 独自の仮想ネットワークの userAssignedNATGateway を選択します。 クラスターを作成する前に NAT ゲートウェイを作成します。 Standard と StandardV2 の両方の NAT ゲートウェイ SKU がサポートされています。

詳細については、AKS で NAT ゲートウェイを使用することに関するページを参照してください。

送信先の種類: ユーザー定義ルート

userDefinedRouting設定した場合、AKS はエグレス パスを自動的に構成しません。 エグレス パスを構成します。

構成するサブネットを持つ既存の仮想ネットワークに AKS クラスターをデプロイする必要があります。 Standard Load Balancer アーキテクチャを使用していないため、明示的なエグレスを確立する必要があります。 ゲートウェイまたはネットワーク仮想アプライアンスを指す 0.0.0.0/0 ルートを使用してルート テーブルを構成し、ルート テーブルをクラスター サブネットに関連付けます。

詳細については、ユーザー定義ルーティングを使用してクラスター エグレスを構成することに関するページを参照してください。

送信の種類: なし

none設定した場合、AKS はエグレス パスを自動的に構成しません。 このオプションは userDefinedRouting に似ていますが、検証の一環として既定のルートは必要ありません。

none送信の種類では、Bring Your Own (BYO) と AKS で管理される仮想ネットワークの両方がサポートされます。 BYO 仮想ネットワークの場合は、サブネットが構成された既存の仮想ネットワークにクラスターをデプロイします。 AKS ではStandard Load Balancerまたはその他のエグレス インフラストラクチャは作成されないため、ファイアウォール、プロキシ、ゲートウェイ、またはその他のカスタム ネットワーク コンポーネントを介して必要なエグレス パスを構成します。

アウトバウンドタイプ: ブロック (プレビュー)

blockを設定した場合、AKS は、クラスターからのエグレス トラフィックをブロックするようにネットワーク ルールを構成します。 このオプションは、送信接続を制限する必要がある高度にセキュリティで保護された環境に役立ちます。

block を使うとき:

• AKS を使用すると、ネットワーク セキュリティ グループ (NSG) 規則を介して、パブリック インターネット トラフィックがクラスターから出て行けなくなります。 VNet トラフィックは影響を受けません。
• 追加のネットワーク構成を経由して必要なエグレス トラフィックを明示的に許可する必要があります。

block オプションはネットワークの分離を提供しますが、ワークロードや依存関係を中断しないように慎重に計画する必要があります。

クラスターの作成後に outboundType を更新する

クラスターの作成後に送信の種類を変更すると、そのクラスターを新しいエグレス構成に配置するために必要なリソースがデプロイまたは削除されます。

次の表は、マネージド仮想ネットワークと BYO 仮想ネットワークの送信の種類の間でサポートされている移行パスを示したものです。 各行は、送信の種類を上部に表示されている種類に移行できるかどうかを示します。 "サポート対象" とは移行が可能であることを意味し、"サポート対象外" または "N/A" は移行が不可能であることを意味します。

マネージド VNet でサポートされている移行パス

次の表に、AKS マネージド仮想ネットワークを使用する AKS クラスターでサポートされている送信の種類の移行パスを示します。

BYO VNet でサポートされている移行パス

次の表に、BYO 仮想ネットワークを使用する AKS クラスターでサポートされている送信の種類の移行パスを示します。

クラスターの送信の種類を Azure CLI で更新する

az aks update コマンドを使用して、クラスターの送信構成を更新します。

クラスターを loadBalancer から/> に更新する managedNATGatewayV2

次のコマンドは、マネージド StandardV2 NAT ゲートウェイを使用するようにクラスターを更新し、指定された数のマネージド送信 IPv6 アドレスを割り当てます。

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type managedNATGatewayV2 --nat-gateway-managed-outbound-ipv6-count <number of managed outbound ipv6>

クラスターを managedNATGateway から/> に更新する loadBalancer

次のコマンドは、エグレスにロード バランサーを使用するようにクラスターを更新します。 1 つの送信 IP オプションを選択します。AKS で管理されるパブリック IP の --load-balancer-managed-outbound-ip-count 、既存のパブリック IP リソース ID の --load-balancer-outbound-ips 、または既存のパブリック IP プレフィックス リソース ID の --load-balancer-outbound-ip-prefixes 。

az aks update --resource-group <resourceGroup> --name <clusterName> \
--outbound-type loadBalancer \
< --load-balancer-managed-outbound-ip-count <number of managed outbound ip> | --load-balancer-outbound-ips <outbound ip ids> | --load-balancer-outbound-ip-prefixes <outbound ip prefix ids> >

クラスターを managedNATGateway から/> に更新する userDefinedRouting

update コマンドを実行する前に、クラスター サブネットに関連付けられているルート テーブルに 0.0.0.0/0 ルートを追加し、次ホップをゲートウェイまたはネットワーク仮想アプライアンスに設定します。 完全な構成手順については、「Azure Kubernetes Service (AKS)でユーザー定義ルーティング テーブルを使用してクラスターエグレスをカスタマイズする」を参照してください。

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userDefinedRouting

BYO VNet シナリオでクラスターを loadBalancer から userAssignedNATGateway に更新する

update コマンドを実行する前に、既存の NAT ゲートウェイをクラスター サブネットに関連付けます。 完全な構成手順については、「 マネージド NAT ゲートウェイまたはユーザー割り当て NAT ゲートウェイを作成する」を参照してください。

az aks update --resource-group <resourceGroup> --name <clusterName> --outbound-type userAssignedNATGateway

関連するコンテンツ

• AKS クラスターで標準負荷分散を構成する
• AKS クラスターで NAT ゲートウェイを構成する
• AKS クラスターでユーザー定義ルーティングを構成する
• Azure ネットワーク UDR の概要
• ルート テーブルを管理する