Een cluster voorbereiden voor Azure IoT-bewerkingen

Als u een Kubernetes-cluster met Azure Arc wilt voorbereiden, hebt u het volgende nodig:

• Een Azure-abonnement met de rol Owner of een combinatie van Contributor en Gebruiker-toegangsbeheerder. U kunt uw toegangsniveau controleren door naar uw abonnement te navigeren, Access-besturingselement (IAM) aan de linkerkant van de Azure-portal te selecteren en vervolgens Weergave van mijn toegang te selecteren. Als u geen Azure abonnement hebt, gratis een abonnement maken voordat u begint.

• De Azure CLI geïnstalleerd op uw ontwikkelcomputer. Controleer Beschikbare Azure CLI-extensies voor de minimaal vereiste versie voor de connectedk8s-extensie. Gebruik az --version om uw versie te controleren en az upgrade om indien nodig bij te werken. Zie De Azure CLI installeren voor meer informatie.

• De connectedk8s-extensie voor de Azure CLI. Gebruik de volgende opdracht om de extensie toe te voegen of bij te werken naar de nieuwste versie:

  az extension add --upgrade --name connectedk8s
  

• Een Azure resourcegroep. Er wordt slechts één Azure IoT-bewerkingen exemplaar per resourcegroep ondersteund. Gebruik de opdracht az group create om een nieuwe resourcegroep te maken. Zie Supported regions voor de lijst met momenteel ondersteunde Azure regio's.

  az group create --location $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID
  

• Hardware die voldoet aan de systeemvereisten:

  • Azure IoT-bewerkingen ondersteunde omgevingen.
  • Azure Arc-enabled Kubernetes-systeemvereisten.
  • K3s-vereisten.

• Als u Azure IoT-bewerkingen implementeert in een cluster met meerdere knooppunten waarvoor fouttolerantie is ingeschakeld, controleert u de hardware- en opslagvereisten in Prepare Linux for Edge Volumes.

Als u een Kubernetes-cluster met Azure Arc wilt voorbereiden, hebt u het volgende nodig:

• Een Azure-abonnement. Als u geen Azure abonnement hebt, gratis een abonnement maken voordat u begint.

• Hardware die voldoet aan de systeemvereisten:

  • Azure IoT-bewerkingen ondersteunde omgevingen.
  • Azure Arc-enabled Kubernetes-systeemvereisten.
  • AKS Edge Essentials vereisten en ondersteuningsmatrix.
  • AKS Edge Essentials netwerkrichtlijnen.

Als u een Kubernetes-cluster met Azure Arc wilt voorbereiden, hebt u het volgende nodig:

• Een Azure-abonnement. Als u geen Azure abonnement hebt, gratis een abonnement maken voordat u begint.

• Een Azure Lokaal server of cluster.

• Hardware die voldoet aan de systeemvereisten:

  • Azure IoT-bewerkingen ondersteunde omgevingen.
  • Azure Arc-enabled Kubernetes-systeemvereisten.

Om een vSphere Kubernetes Service (VKS) workloadcluster voor te bereiden, heb je het volgende nodig:

• Een Azure-abonnement met de rol Owner of een combinatie van Contributor en Gebruiker-toegangsbeheerder. U kunt uw toegangsniveau controleren door naar uw abonnement te navigeren, Access-besturingselement (IAM) aan de linkerkant van de Azure-portal te selecteren en vervolgens Weergave van mijn toegang te selecteren. Als u geen Azure abonnement hebt, gratis een abonnement maken voordat u begint.

• De Azure CLI geïnstalleerd op uw ontwikkelcomputer. Controleer Beschikbare Azure CLI-extensies voor de minimaal vereiste versie voor de connectedk8s-extensie. Gebruik az --version om uw versie te controleren en az upgrade om indien nodig bij te werken. Zie De Azure CLI installeren voor meer informatie.

• De connectedk8s-extensie voor de Azure CLI. Gebruik de volgende opdracht om de extensie toe te voegen of bij te werken naar de nieuwste versie:

  az extension add --upgrade --name connectedk8s
  

• Een Azure resourcegroep. Er wordt slechts één Azure IoT-bewerkingen exemplaar per resourcegroep ondersteund. Gebruik de opdracht az group create om een nieuwe resourcegroep te maken. Zie Supported regions voor de lijst met momenteel ondersteunde Azure regio's.

  az group create --location $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID
  

• Ik gebruik de vSphere Kubernetes Service.

• Hardware die voldoet aan de systeemvereisten:

  • Azure IoT-bewerkingen ondersteunde omgevingen.
  • Azure Arc-enabled Kubernetes-systeemvereisten.

SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
AIO_INSTANCE_NAME=<instance-name>
CLUSTER_NAME=<cluster-name>
LOCATION=<region>

$SUBSCRIPTION_ID = "<subscription-id>"
$RESOURCE_GROUP = "<resource-group-name>"
$AIO_INSTANCE_NAME = "<instance-name>"
$CLUSTER_NAME = "<cluster-name>"
$LOCATION = "<region>"

Een K3s Kubernetes-cluster voorbereiden op Ubuntu:

1. Maak een K3s-cluster met één knooppunt of meerdere knooppunten. Zie de K3s-snelstartgids of K3s-gerelateerde projecten voor voorbeelden.

2. Controleer of K3s kubectl is geïnstalleerd. Zo niet, volg dan de instructies voor het installeren van kubectl in Linux.

   kubectl version --client
   

3. Volg de instructies om Helm te installeren.

4. Maak een K3s-configuratie YAML-bestand aan in .kube/config:

   mkdir ~/.kube
   sudo KUBECONFIG=~/.kube/config:/etc/rancher/k3s/k3s.yaml kubectl config view --flatten > ~/.kube/merged
   mv ~/.kube/merged ~/.kube/config
   chmod  0600 ~/.kube/config
   export KUBECONFIG=~/.kube/config
   #switch to k3s context
   kubectl config use-context default
   sudo chmod 644 /etc/rancher/k3s/k3s.yaml
   

5. Voer de volgende opdracht uit om de limieten voor gebruikerstoezicht of instanties te verhogen.

   echo fs.inotify.max_user_instances=8192 | sudo tee -a /etc/sysctl.conf
   echo fs.inotify.max_user_watches=524288 | sudo tee -a /etc/sysctl.conf
   
   sudo sysctl -p
   

6. Voor betere prestaties verhoogt u de limiet voor bestandsdescriptor:

   echo fs.file-max = 100000 | sudo tee -a /etc/sysctl.conf
   
   sudo sysctl -p
   

Schakel je K3s-cluster in voor Arc

Verbind je cluster met Azure Arc zodat je het op afstand kunt beheren.

1. Vanaf een machine die toegang heeft kubectl tot je cluster, log je in op Azure CLI met je Microsoft Entra-gebruikersaccount dat de vereiste rollen voor het Azure-abonnement heeft:

   az login
   

   Als je op enig moment een foutmelding krijgt dat je apparaat beheerd moet worden om toegang te krijgen tot je bron, start az login dan opnieuw en zorg ervoor dat je interactief inlogt via een browser.

2. Nadat je bent ingelogd, toont de Azure CLI al je abonnementen en geeft je standaardabonnement aan met een asterisk*. Als u wilt doorgaan met uw standaardabonnement, selecteert u Enter. Typ anders het nummer van het Azure-abonnement dat u wilt gebruiken.

3. Registreer de vereiste resourceproviders in uw abonnement.

   Opmerking

   Je hoeft deze stap maar één keer per abonnement uit te voeren. Om resource providers te registreren, heb je toestemming nodig om de bewerking /register/action uit te voeren. Deze toestemming is opgenomen in de abonnementsrollen Contributor en Owner. Zie Azure resourceproviders en -typen voor meer informatie.

   az provider register -n "Microsoft.ExtendedLocation"
   az provider register -n "Microsoft.Kubernetes"
   az provider register -n "Microsoft.KubernetesConfiguration"
   az provider register -n "Microsoft.IoTOperations"
   az provider register -n "Microsoft.DeviceRegistry"
   az provider register -n "Microsoft.SecretSyncController"
   

4. Gebruik de opdracht az connectedk8s connect om uw Kubernetes-cluster in te schakelen en te beheren als onderdeel van uw Azure resourcegroep.

   az connectedk8s connect --name $CLUSTER_NAME -l $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --enable-oidc-issuer --enable-workload-identity --disable-auto-upgrade
   

   Als u niet-geplande updates wilt voorkomen voor Azure Arc en de systeem-Arc-extensies die Azure IoT-bewerkingen als afhankelijkheden gebruikt, wordt met deze opdracht automatischupgrade uitgeschakeld. In plaats daarvan moet u agents handmatig bijwerken als dat nodig is.

   Belangrijk

   Als uw omgeving gebruikmaakt van een proxyserver of Azure Arc Gateway, wijzigt u de opdracht az connectedk8s connect met uw proxygegevens:

   1. Volg de instructies in Connect using een uitgaande proxyserver of Inschepen van Kubernetes-clusters naar Azure Arc met Azure Arc Gateway.
   2. Toevoegen 169.254.169.254 aan de --proxy-skip-range parameter van de az connectedk8s connect opdracht. Azure Device Registry gebruikt dit lokale eindpunt om toegangstokens voor autorisatie op te halen.

   Azure IoT-bewerkingen biedt geen ondersteuning voor proxyservers waarvoor een vertrouwd certificaat is vereist.

5. Haal de URL van de uitgever van het cluster op.

   az connectedk8s show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query oidcIssuerProfile.issuerUrl --output tsv
   

   Sla de uitvoer van deze opdracht op voor gebruik in de volgende stappen.

6. Maak een K3s-configuratiebestand aan.

   sudo nano /etc/rancher/k3s/config.yaml
   

7. Voeg de volgende inhoud toe aan het config.yaml bestand, waarbij u de tijdelijke aanduiding vervangt door de <SERVICE_ACCOUNT_ISSUER> URL van de verlener van uw cluster.

   kube-apiserver-arg:
    - service-account-issuer=<SERVICE_ACCOUNT_ISSUER>
    - service-account-max-token-expiration=24h
   

8. Sla het bestand op en sluit de nano-editor af.

9. Bereid u voor op het inschakelen van de Azure Arc-service, aangepaste locatie, op uw Arc-cluster door de id van het aangepaste locatieobject op te halen en op te slaan als de omgevingsvariabele, OBJECT_ID. Je moet inloggen bij Azure CLI met een Microsoft Entra-gebruikersaccount, niet met een serviceprincipal, om het commando succesvol uit te voeren. Voer de volgende opdracht precies uit zoals geschreven, zonder de GUID-waarde te wijzigen.

   export OBJECT_ID=$(az ad sp show --id bc313c14-388c-4e7d-a58e-70017303ee3b --query id -o tsv)
   

   Opmerking

   Als u de foutmelding krijgt: 'Kan de OID van de app "custom-locations" niet ophalen.' Doorgaan zonder de functie in te schakelen. Er zijn onvoldoende bevoegdheden om de bewerking te voltooien. Uw service-principal beschikt mogelijk niet over de benodigde machtigingen om de object-id van de aangepaste locatie op te halen. Log in bij Azure CLI met een Microsoft Entra-gebruikersaccount dat aan de voorwaarden voldoet. Zie Aangepaste locaties maken en beheren voor meer informatie.

10. Gebruik de opdracht az connectedk8s enable-features om de functie voor aangepaste locatie in uw Arc-cluster in te schakelen. Dit commando gebruikt de OBJECT_ID omgevingsvariabele die je in de vorige stap hebt opgeslagen om de waarde voor de custom-locations-oid parameter in te stellen. Voer deze opdracht uit op de computer waarop u het Kubernetes-cluster hebt geïmplementeerd:

    az connectedk8s enable-features -n $CLUSTER_NAME -g $RESOURCE_GROUP --custom-locations-oid $OBJECT_ID --features cluster-connect custom-locations
    

11. Start K3s opnieuw op.

    systemctl restart k3s
    

Azure Kubernetes Service Edge Essentials is een on-premises Kubernetes-implementatie van Azure Kubernetes Service (AKS) die het uitvoeren van toepassingen in containers op schaal automatiseert. AKS Edge Essentials bevat een Microsoft ondersteund Kubernetes-platform met een lichtgewicht Kubernetes-distributie met een kleine footprint en een eenvoudige installatie-ervaring die ondersteuning biedt voor pc-klasse- of 'light'-randhardware.

Het AksEdgeQuickStartForAio.ps1-script automatiseert het aanmaken en verbinden van een cluster en is het aanbevolen pad voor het uitrollen van Azure IoT-bewerkingen op AKS Edge Essentials.

Zie Configure an AKS Edge Essentials cluster for Azure IoT-bewerkingen voor instructies voor het uitvoeren van het script.

• Zie Kubernetes-clusters maken met behulp van Azure CLI voor instructies voor het maken en inschakelen van een AKS-cluster op Azure Lokaal.
• Zie de instructies voor het implementeren van een AKS-cluster op Azure lokaal met ingeschakelde workload identiteit (preview) voor verbeterde beveiliging in Implementeren en workload identiteit configureren op een AKS-cluster. Je kunt de workload-identiteitsfunctie alleen inschakelen tijdens het aanmaken van clusters. Voor het uitvoeren van Azure IoT-bewerkingen met beveiligde instellingen is de workloadidentiteit vereist.

Standaard bevat een Kubernetes-cluster een nodepool die Linux-containers kan draaien. Als je na het aanmaken meer nodepools toevoegt, zorg er dan voor dat je het besturingssysteem op Linux zet. Azure IoT-bewerkingen biedt geen ondersteuning voor implementatie naar Windows knooppunten.

Nadat je een Kubernetes-cluster met Azure Arc hebt ingesteld, kun je Azure IoT-bewerkingen implementeren.

Om een VKS-werklastcluster voor te bereiden, heb je een VKS-werklastcluster met één knoop of meerdere knooppunten nodig.

Pod veiligheids toegangsinstellingen bijwerken

Voordat je Azure IoT-bewerkingen uitrolt, werk je de Pod Security Admite-instellingen op je VKS-cluster bij. Door dit bestand toe te passen, wordt vooraf namespace-labels aangemaakt en de pod-beveiliging ingesteld op privileged.

kubectl apply -f https://raw.githubusercontent.com/Azure-Samples/explore-iot-operations/main/samples/tanzu-config/psa.yaml

Schakel Arc in voor je VKS-cluster

Verbind je cluster met Azure Arc zodat je het op afstand kunt beheren.

1. Op de machine waar je de Kubernetes-cluster hebt uitgerold, log je in bij de Azure CLI met je Microsoft Entra-gebruikersaccount dat de benodigde rollen voor het Azure-abonnement heeft:

   az login
   

2. Nadat je bent ingelogd, toont de Azure CLI al je abonnementen en geeft je standaardabonnement aan met een asterisk*. Als u wilt doorgaan met uw standaardabonnement, selecteert u Enter. Typ anders het nummer van het Azure-abonnement dat u wilt gebruiken.

3. Registreer de vereiste resourceproviders in uw abonnement.

   Opmerking

   Je hoeft deze stap maar één keer per abonnement uit te voeren. Om resource providers te registreren, heb je toestemming nodig om de bewerking /register/action uit te voeren. Deze toestemming is opgenomen in de abonnementsrollen Contributor en Owner. Zie Azure resourceproviders en -typen voor meer informatie.

   az provider register -n "Microsoft.ExtendedLocation"
   az provider register -n "Microsoft.Kubernetes"
   az provider register -n "Microsoft.KubernetesConfiguration"
   az provider register -n "Microsoft.IoTOperations"
   az provider register -n "Microsoft.DeviceRegistry"
   az provider register -n "Microsoft.SecretSyncController"
   

4. Gebruik de opdracht az connectedk8s connect om uw Kubernetes-cluster in te schakelen en te beheren als onderdeel van uw Azure resourcegroep.

   az connectedk8s connect --name $CLUSTER_NAME -l $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --enable-oidc-issuer --enable-workload-identity --disable-auto-upgrade
   

   Als u niet-geplande updates wilt voorkomen voor Azure Arc en de systeem-Arc-extensies die Azure IoT-bewerkingen als afhankelijkheden gebruikt, wordt met deze opdracht automatischupgrade uitgeschakeld. In plaats daarvan moet u agents handmatig bijwerken als dat nodig is.

   Belangrijk

   Als uw omgeving gebruikmaakt van een proxyserver of Azure Arc Gateway, wijzigt u de opdracht az connectedk8s connect met uw proxygegevens:

   1. Volg de instructies in Connect using een uitgaande proxyserver of Inschepen van Kubernetes-clusters naar Azure Arc met Azure Arc Gateway.
   2. Toevoegen 169.254.169.254 aan de --proxy-skip-range parameter van de az connectedk8s connect opdracht. Azure Device Registry gebruikt dit lokale eindpunt om toegangstokens voor autorisatie op te halen.

   Azure IoT-bewerkingen biedt geen ondersteuning voor proxyservers waarvoor een vertrouwd certificaat is vereist.

5. Configureer de workload-identiteit op je VKS-cluster. Voor instructies, zie Deploy en configureer workload identity op een AKS-cluster. Voor het uitvoeren van Azure IoT-bewerkingen met beveiligde instellingen is de workloadidentiteit vereist.

6. Bereid u voor op het inschakelen van de Azure Arc-service, aangepaste locatie, op uw Arc-cluster door de id van het aangepaste locatieobject op te halen en op te slaan als de omgevingsvariabele, OBJECT_ID. Je moet inloggen bij Azure CLI met een Microsoft Entra-gebruikersaccount, niet met een serviceprincipal, om het commando succesvol uit te voeren. Voer de volgende opdracht precies uit zoals geschreven, zonder de GUID-waarde te wijzigen.

   export OBJECT_ID=$(az ad sp show --id bc313c14-388c-4e7d-a58e-70017303ee3b --query id -o tsv)
   

   Opmerking

   Als u de foutmelding krijgt: 'Kan de OID van de app "custom-locations" niet ophalen.' Doorgaan zonder de functie in te schakelen. Er zijn onvoldoende bevoegdheden om de bewerking te voltooien. Uw service-principal beschikt mogelijk niet over de benodigde machtigingen om de object-id van de aangepaste locatie op te halen. Log in bij Azure CLI met een Microsoft Entra-gebruikersaccount dat aan de voorwaarden voldoet. Zie Aangepaste locaties maken en beheren voor meer informatie.

7. Gebruik de opdracht az connectedk8s enable-features om de functie voor aangepaste locatie in uw Arc-cluster in te schakelen. Deze opdracht maakt gebruik van de omgevingsvariabele OBJECT_ID die is opgeslagen in de vorige stap om de waarde voor de parameter custom-locations-oid in te stellen. Voer deze opdracht uit op de computer waarop u het Kubernetes-cluster hebt geïmplementeerd:

   az connectedk8s enable-features -n $CLUSTER_NAME -g $RESOURCE_GROUP --custom-locations-oid $OBJECT_ID --features cluster-connect custom-locations