Implementatieoverzicht

Wanneer u Azure IoT-bewerkingen implementeert, installeert u een suite met services op een Kubernetes-cluster met Azure Arc ingeschakeld. Dit artikel bevat een overzicht van de verschillende implementatieopties die u kunt overwegen voor uw scenario.

Ondersteunde omgevingen

Ondersteunde Windows omgevingen

Microsoft ondersteunt de volgende Kubernetes-distributies voor Azure IoT-bewerkingen implementaties op Windows. In de onderstaande tabel worden de ondersteuningsniveaus en de versies beschreven die Microsoft gebruikt om implementaties te valideren:

• De minimum gevalideerde versie is de laagste versie van de Kubernetes-distributie die Microsoft gebruikt om Azure IoT-bewerkingen implementaties te valideren.

Ondersteunde Linux-omgevingen

Microsoft ondersteunt de volgende Kubernetes-distributies voor Azure IoT-bewerkingen implementaties in Linux-omgevingen. De onderstaande tabel bevat de ondersteuningsniveaus en de versies die Microsoft gebruikt om implementaties te valideren:

• De minimum gevalideerde versie is de laagste versie van de Kubernetes-distributie die Microsoft gebruikt om Azure IoT-bewerkingen implementaties te valideren.
• Het minimum gevalideerd besturingssysteem is de laagste besturingssysteemversie die Microsoft gebruikt om implementaties te valideren.
• ARM64-ondersteuning voor K3's op Ubuntu 24.04 is beschikbaar vanaf Azure IoT-bewerkingen 2607.
• Momenteel is er ondersteuning beschikbaar voor VKS die in privileged mode zonder WLIF draait.

Voor een productie-implementatie van Azure IoT-bewerkingen moet je de volgende hardwarevereisten beschikbaar hebben. Als u een cluster met meerdere knooppunten gebruikt dat fouttolerantie mogelijk maakt, kunt u omhoog schalen naar de aanbevolen capaciteit voor betere prestaties. Voor meer informatie over hardwarevereisten voor andere implementatiescenario's, zie Baseline resource profiles for Azure IoT-bewerkingen.

Uw functies kiezen

Azure IoT-bewerkingen biedt twee implementatiemodi. U kunt ervoor kiezen om te implementeren met testinstellingen, een basissubset van functies waarmee u eenvoudiger aan de slag kunt voor evaluatiescenario's. U kunt er ook voor kiezen om te implementeren met beveiligde instellingen, de volledige functieset.

Implementatie van testinstellingen

Een implementatie met alleen testinstellingen heeft de volgende kenmerken:

• Er worden geen geheimen of door de gebruiker toegewezen mogelijkheden voor beheerde identiteiten geconfigureerd.
• Het is ontworpen om het end-to-end quickstart-voorbeeld voor evaluatiedoeleinden in te schakelen, zodat deze de OPC PLC-simulator ondersteunt en verbinding maakt met cloudresources met behulp van een door het systeem toegewezen beheerde identiteit.
• U kunt deze upgraden om beveiligde instellingen te gebruiken.

Gebruik voor een quickstart de Quickstart: Voer Azure IoT-bewerkingen uit in GitHub Codespaces met K3s scenario. In dit scenario wordt een lichtgewicht Kubernetes-distributie (K3s) gebruikt en uitgevoerd in GitHub Codespaces, dus u hoeft geen cluster in te stellen of lokaal hulpprogramma's te installeren.

Volg deze artikelen om Azure IoT-bewerkingen met testinstellingen te implementeren:

1. Begin met Prepareer uw Kubernetes-cluster met Azure Arc om uw cluster te configureren en in te schakelen.
2. Volg vervolgens de stappen in Deploy-Azure IoT-bewerkingen naar een testcluster.

Implementatie van beveiligde instellingen

Een implementatie met beveiligde instellingen heeft de volgende kenmerken:

• Het is ontworpen voor scenario's die gereed zijn voor productie.
• Het maakt geheimen en door de gebruiker toegewezen beheerde identiteit mogelijk, beide belangrijke mogelijkheden voor het ontwikkelen van een scenario dat gereed is voor productie. Geheimen worden gebruikt wanneer Azure IoT-bewerkingen onderdelen verbinding maken met een resource buiten het cluster, zoals een OPC UA-server of een gegevensstroomeindpunt.

Volg deze artikelen om Azure IoT-bewerkingen te implementeren met beveiligde instellingen:

1. Begin met de implementatieplanning om architectuur, grootte en brokerconfiguratiebeslissingen te bekijken. Veel MQTT-brokerinstellingen kunnen na de implementatie niet worden gewijzigd.
2. Prepareer vervolgens uw Kubernetes-cluster met Azure Arc om uw cluster te configureren en in te schakelen.
3. Volg vervolgens de stappen in Deploy-Azure IoT-bewerkingen naar een productiecluster.

Wanneer u Azure IoT-bewerkingen implementeert met beveiligde instellingen in AKS, raadt Microsoft u aan de toegang tot pods te blokkeren voor het eindpunt van de Azure Instance Metadata Service. Zie Blokkering van podtoegang tot het Azure IMDS-eindpunt (Instance Metadata Service) voor meer informatie over het inschakelen van deze functie.

Vereiste toestemmingen

In de volgende tabel worden Azure IoT-bewerkingen implementatie- en beheertaken beschreven waarvoor verhoogde machtigingen zijn vereist. Zie Steps voor informatie over het Azure toewijzen van rollen aan gebruikers.

Als u de Azure CLI gebruikt om rollen toe te wijzen, gebruikt u de opdracht az-roltoewijzing maken om machtigingen te verlenen. Voorbeeld:

az role assignment create --assignee sp_name --role "Role Based Access Control Administrator" --scope subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/MyResourceGroup

Als u de Azure-portal gebruikt om bevoorrechte beheerdersrollen toe te wijzen aan een gebruiker of principal, wordt u gevraagd om de toegang te beperken met behulp van voorwaarden. Voor dit scenario selecteert u de voorwaarde 'Gebruiker toestaan om alle rollen toe te wijzen' op de pagina 'Roltoewijzing toevoegen'.

Ingebouwde RBAC-rollen

Azure IoT-bewerkingen biedt twee ingebouwde rollen die zijn ontworpen voor het vereenvoudigen en beveiligen van toegangsbeheer voor Azure IoT-bewerkingen resources. Als uw scenario gedetailleerdere toegang vereist, kunt u een aangepaste RBAC-rol maken.

Azure IoT-bewerkingen Administrator-rol

De rol Azure IoT-bewerkingen Administrator biedt volledige machtigingen voor het beheren en bedienen van alle Azure IoT-bewerkingen-onderdelen. Wijs deze rol toe aan gebruikers die volledige toegang nodig hebben om Azure IoT-bewerkingen resources te gebruiken. Gebruikers hebben aanvullende machtigingen nodig om de implementatie en het doorlopende beheer van Azure IoT-bewerkingen te ondersteunen. Als een gebruiker alleen Azure IoT-bewerkingen hoeft te gebruiken, kunt u de rol Beheerder alleen toewijzen.

Wanneer u deze ingebouwde rol toewijst, moet u ervoor zorgen dat de volgende rollen ook worden toegewezen aan de gebruiker:

• Azure Edge Hardware Center-beheerdersrol: deze rol verleent toegang tot het beheren en ondernemen van actie als beheerder van de edge-order. Het wordt gebruikt voor het ordenen en beheren van Azure Stack Edge-apparaten.
• Gebruikersrol Kubernetes-cluster met Azure Arc: Deze rol wordt gebruikt voor het beheren van Kubernetes-clusters met Azure Arc door toestemming te verlenen voor het schrijven van implementaties, het beheren van abonnementen en het verwerken van verbonden clusters en extensies.
• Key Vault-beheerdersrol: Met deze rol kan de gebruiker alle aspecten van Azure Key Vaults beheren, waaronder het maken, onderhouden, weergeven en verwijderen van sleutels, certificaten en geheimen.
• Rol Inzender voor Kubernetes-extensies: Met deze rol kunnen gebruikers Kubernetes-extensies beheren, waaronder het maken, bijwerken en verwijderen van extensies.
• Rol Inzender voor beheerde identiteit: Met deze rol kan de gebruiker beheerde identiteiten beheren, waaronder het maken, bijwerken en verwijderen van door de gebruiker toegewezen beheerde identiteiten.
• Rol Inzender voor bewaking: Met deze rol kan de gebruiker alle bewakingsgegevens lezen en bewakingsinstellingen bijwerken.
• Rol Inzender voor resourcegroepen: deze rol verleent machtigingen voor het beheren van resources binnen een resourcegroep, waaronder het maken, bijwerken en verwijderen van resources.
• Eigenaar van geheimenarchief-extensie: met deze rol kan de gebruiker de extensie Secrets Store beheren, waarmee geheimen van Azure Key Vault worden gesynchroniseerd met Kubernetes-clusters.
• Rol Inzender voor opslagaccount: Met deze rol kan de gebruiker opslagaccounts beheren, waaronder het maken, bijwerken en verwijderen van opslagaccounts, evenals het beheren van toegangssleutels en andere instellingen.

Rol voor onboarding van Azure IoT-bewerkingen

Azure IoT-bewerkingen Onboarding is een gespecialiseerde rol die de benodigde machtigingen biedt voor het implementeren van Azure IoT-bewerkingen onderdelen.

Wanneer u deze ingebouwde rol toewijst, moet u ervoor zorgen dat de volgende rollen ook worden toegewezen aan de gebruiker:

• Azure Resource Bridge-implementatierol: Deze rol wordt gebruikt voor het beheren van de implementatie van de Azure Resource Bridge. Het bevat machtigingen voor het lezen, schrijven en verwijderen van verschillende resources met betrekking tot de Resource Bridge, zoals apparaten, locaties en telemetrieconfiguraties.
• Kubernetes-cluster: Azure Arc onboardingrol: Deze rol wordt gebruikt voor het onboarden van Kubernetes-clusters voor Azure Arc.
• Rol Inzender voor opslagaccount: Met deze rol kan de gebruiker opslagaccounts beheren, waaronder het maken, bijwerken en verwijderen van opslagaccounts, evenals het beheren van toegangssleutels en andere instellingen.
• Rol Inzender voor resourcegroepen: deze rol verleent machtigingen voor het beheren van resources binnen een resourcegroep, waaronder het maken, bijwerken en verwijderen van resources.
• Gebruikersrol Kubernetes-cluster met Azure Arc: Deze rol wordt gebruikt voor het beheren van Kubernetes-clusters met Azure Arc door toestemming te verlenen voor het schrijven van implementaties, het beheren van abonnementen en het verwerken van verbonden clusters en extensies.

Exemplaren organiseren met behulp van sites

Azure IoT-bewerkingen biedt ondersteuning voor Azure Arc-sites voor het organiseren van instances. Een site is een clusterresource in Azure zoals een resourcegroep, maar sites groeperen meestal exemplaren op fysieke locatie en maken het gemakkelijker voor OT-gebruikers om assets te vinden en te beheren. Een IT-beheerder maakt sites en beperkt deze tot een abonnement of resourcegroep. Vervolgens worden alle Azure IoT-bewerkingen die zijn geïmplementeerd in een cluster met Arc automatisch verzameld op de site die is gekoppeld aan het bijbehorende abonnement of de resourcegroep.

Zie Wat is Azure Arc-sitebeheerder (preview)?

Azure IoT-bewerkingen-eindpunten

Als u bedrijfsfirewalls of proxy's gebruikt om uitgaand verkeer te beheren, configureert u de volgende eindpunten voordat u Azure IoT-bewerkingen implementeert.

• Eindpunten in de Azure Arc-ingeschakelde Kubernetes-eindpunten.

  Notitie

  Als u Azure Arc Gateway gebruikt om uw cluster te verbinden met Arc, kunt u een kleinere set eindpunten configureren op basis van de richtlijnen voor Arc-gateway.

• Eindpunten in Azure CLI-eindpunten.

  U hebt graph.windows.net, *.azurecr.io, *.blob.core.windows.net en *.vault.azure.net nodig uit deze lijst met eindpunten.

• Als u gegevens naar de cloud wilt pushen, schakelt u de volgende eindpunten in op basis van uw keuze van het gegevensplatform.

  • Microsoft Fabric OneLake: Fabric-URL's aan uw acceptatielijst toevoegen.
  • Event Hubs: Verbindingsproblemen oplossen- Azure Event Hubs.
  • Event Grid: Verbindingsproblemen oplossen- Azure Event Grid.
  • Azure Data Lake Storage Gen 2: Standaard eindpunten van opslagaccounts.

• Azure IoT-bewerkingen maakt gebruik van een cloudschemaregister dat toegang nodig heeft tot een door de klant geleverde Azure Blob Storage container. Om toegang te krijgen tot het schemaregister moet de container een openbare eindpunt blootstellen of het Azure Device Registry schemaregister (Microsoft.DeviceRegistry/schemaRegistries) aanduiden als een vertrouwde Azure-service. Dit heeft geen invloed op firewalls of proxyconfiguraties van klanten aan de rand. Zie Schema-register en -opslag voor meer informatie.

  Eindpunten (DNS)	Beschrijving
  <customer-specific>.blob.core.windows.net	Opslag voor schemaregister. Raadpleeg eindpunten van het opslagaccount voor het identificeren van het klantspecifieke subdomein van uw eindpunt.
  global.prod.microsoftmetrics.com	Vereist voor metrische gegevens over gebruikstelemetrie en foutrapportage die vanuit het cluster worden verzonden naar Microsoft (metrische gegevens van Genève). Dit is het primaire MetricsExtension-eindpunt. Als dit eindpunt is geblokkeerd, verliest Microsoft de zichtbaarheid van de servicestatus en het gebruik van het cluster.
  *.prod.microsoftmetrics.com	Jokerteken voor alle Genève Metrics stempel-specifieke eindpunten. Klanten die de voorkeur geven aan een smallere acceptatielijst kunnen global.prod.microsoftmetrics.com in plaats daarvan gebruiken.

Opslaglocatie van gegevens

Azure Resource Manager maakt het mogelijk om uw Azure IoT-bewerkingen instantie in uw Kubernetes-cluster vanuit de cloud te beheren en controleren met behulp van de Azure-portal of Azure CLI. Hoewel u de Azure Resource Manager resources voor Azure IoT-bewerkingen moet implementeren in een currently ondersteunde regio, kiest u waar uw operationele workloads en gegevens zich fysiek bevinden. De Azure IoT-bewerkingen runtime en berekening blijven on-premises en onder uw controle.

Deze architectuur zorgt voor de volgende kenmerken van de implementatie:

• Alle operationele processen en workloads worden uitgevoerd op uw eigen lokale infrastructuur.
• Als u wilt voldoen aan uw vereisten voor gegevenslocatie, kiest u de Azure regio voor alle gegevensopslag- of gegevensverwerkingsbronnen die door uw oplossing worden gebruikt.
• Gegevensoverdrachten rechtstreeks tussen uw lokale infrastructuur en uw Azure opslag- en verwerkingsbronnen. Uw gegevens gaan niet langs de Azure IoT-bewerkingen-resources in de cloud.
• De locatie van de Azure Resource Manager voor uw Azure IoT-bewerkingen-exemplaar is een logische verwijzing voor beheer en indeling.
• Er worden geen productiegegevens van klanten verplaatst. Sommige systeemtelemetrie, zoals metrische gegevens en logboeken, die worden gebruikt voor serviceverbetering en proactieve identificatie van infrastructuurproblemen, kunnen stromen naar de Azure regio waar uw Azure IoT-bewerkingen resources zich bevinden.

In het volgende diagram ziet u een voorbeeldimplementatie die laat zien hoe u de gegevenssoevereine voor uw lokale infrastructuur kunt behouden, terwijl u eventueel een andere Azure regio gebruikt voor gegevensopslag en -verwerking. In dit voorbeeld:

• Azure IoT-bewerkingen beheerbronnen worden geïmplementeerd in de regio US - west. Deze regio is een van de ondersteunde regio's voor Azure IoT-bewerkingen.
• Operationele workloads en gegevens blijven on-premises aan de edge onder uw volledige controle om gegevenslocatie en gegevenssoevereiniteit te garanderen.
• Resources voor gegevensopslag en -verwerking worden geïmplementeerd in de Canada Central regio om te voldoen aan specifieke regionale vereisten voor dataverblijf.

Volgende stappen

Plan uw implementatie om beslissingen over architectuur, grootte en brokerconfiguratie te controleren voordat u implementeert.