Wat is Azure ACL (Container Linux) voor Azure Kubernetes Service (AKS)?

In dit artikel geven we een overzicht van Azure Container Linux (ACL), een onveranderbaar, containergeoptimeerd besturingssysteem (OS) voor Azure Kubernetes Service (AKS). ACL is afgeleid van het Flatcar Container Linux-project en bouwt voort op het beproefde, containergerichte immutabele ontwerp van Flatcar, met toevoeging van Azure Linux-pakketten, service en platformintegratie. Hierdoor kan ACL nauw worden afgestemd op upstream Flatcar-innovatie, terwijl aan de productie-, beveiligings- en nalevingsvereisten van Azure wordt voldaan. Zie de Flatcar-documentatie voor meer informatie over Flatcar Container Linux.

ACL is algemeen beschikbaar (GA) als besturingssysteemoptie voor AKS vanaf AKS v1.34. U kunt ACL-knooppuntgroepen implementeren in een nieuw AKS-cluster, ACL-knooppuntgroepen toevoegen aan uw bestaande clusters en bestaande Linux-knooppuntgroepen migreren naar ACL.

Voordelen van het gebruik van ACL op AKS

Het gebruik van ACL als het besturingssysteem voor uw AKS-knooppuntgroepen biedt verschillende voordelen die de beveiliging, betrouwbaarheid en operationele efficiëntie verbeteren:

• Ingebouwde onveranderbaarheid voor sterkere beveiliging: door kernel afgedwongen onveranderbaarheid van de /usr map controleert de integriteit van de installatiekopie van het besturingssysteem tijdens opstarten en runtime. Dit ontwerp helpt onbevoegde wijzigingen te blokkeren voordat ze van invloed kunnen zijn op uw cluster en vermindert het risico op manipulatie op besturingssysteemniveau.
• Minimale kwetsbaarheid voor aanvallen: ACL verzendt alleen de onderdelen die nodig zijn om containers uit te voeren. Door de grootte en complexiteit van het besturingssysteem te verminderen, minimaliseert ACL het aantal pakketten, services en mogelijke toegangspunten die beschikbaar zijn voor aanvallers en vereenvoudigt het beveiligingsbeheer.
• Automatische updates voor knooppuntinstallatiekopieën: ACL levert wekelijkse updates op basis van installatiekopieën die de meest recente beveiligingspatches en bugfixes bevatten. Deze aanpak zorgt ervoor dat versies van knooppuntbesturingssystemen consistent en actueel zijn in het cluster en helpt de blootstelling aan bekende beveiligingsproblemen te verminderen.
• Supply-chain trust: bouwt voort op Azure ondertekende pakketten en supply chain-processen van Linux, met duidelijke herkomst voor systeemonderdelen.
• Integratie met Azure-beveiligingsfuncties: Systeemeigen ondersteuning voor Trusted Launch en Secure Boot biedt gemeten opstartbeveiligingen en attestation.
• Opensource transparantie: Flatcar en veel onderliggende technologieën (dm-verity en SELinux) zijn upstream of open source, en Microsoft heeft hulpprogramma's en bijdragen om deze functies te ondersteunen.

Belangrijkste functies van ACL

De volgende belangrijke functies onderscheiden ACL als een beveiligd, containergeoptimeerd besturingssysteem voor AKS:

• Onveranderbaarheid: de map '/usr' wordt gekoppeld als een alleen-lezen volume dat wordt beveiligd door dm-verity. Tijdens runtime valideert de kernel een ondertekende root-hash om manipulatie te detecteren en te blokkeren
• Verplicht toegangsbeheer met SELinux: ACL omvat SELinux om verplicht toegangsbeheerbeleid af te dwingen waarmee wordt beperkt welke processen toegang hebben tot gevoelige systeembronnen. SELinux werkt standaard in de afdwingingsmodus. SELinux-beleid kan zich na verloop van tijd ontwikkelen.
• Vertrouwd opstarten en beveiligd opstarten: ACL vereist vertrouwde start met beveiligd opstarten en vTPM, om de integriteit van de opstartketen te garanderen voordat het besturingssysteem wordt geladen. Dit wordt bereikt met behulp van een Unified Kernel Image (UKI), die de kernel, initramfs en kernel-opdrachtregel bundelt in één ondertekend artefact. Tijdens het opstarten wordt de UKI gemeten en vastgelegd in de vTPM, waardoor de integriteit vanaf het allereerste begin wordt gegarandeerd.
• Ondersteuning voor NVIDIA GPU-knooppunten: ACL ondersteunt knooppuntgroepen met NVIDIA GPU-functionaliteit op AMD64-architecturen, zodat u high-performance computing (HPC) en AI/ML-workloads op AKS kunt uitvoeren met een beveiligd, containergeoptimeerd besturingssysteem. ACL biedt geen ondersteuning voor ARM64-architecturen voor knooppuntgroepen met GPU-functionaliteit.
• Ondersteuning voor AMD64- en ARM64-architectuur: ACL is beschikbaar voor zowel AMD64- als ARM64-architecturen op AKS.
• Sovereign Supply Chain Security: ACL neemt Azure beveiligde build-pijplijnen en ondertekende Unified Kernel Images (UKIs) over.
• Automatische inrichting van knooppunten: ACL biedt ondersteuning voor automatisch inrichten van knooppunten (NAP).

Functieoverzicht

Zie de Azure Roadmap voor Linux-functies voor meer informatie.

Migraties en upgrades van het besturingssysteem met ACL

AKS ondersteunt het migreren van bestaande knooppuntgroepen naar ACL met behulp van in-place SKU-migratie van het besturingssysteem of door nieuwe ACL-knooppuntgroepen te maken. Zie Bestaande knooppunten migreren naar ACL voor gedetailleerde migratiestappen, overwegingen en terugdraaiinstructies.

ACL voor AKS-versiebeheer

ACL voor AKS brengt wekelijks AKS-knooppuntimages uit. Het versiebeheer volgt het datumbased formaat van AKS (bijvoorbeeld: 202506.13.0). ACL ondersteunt momenteel alleen volledige updates van node-images. Zie Azure Container Linux-knooppuntinstallatiekopieën (ACL) voor meer informatie.

U kunt beschikbare node-images bekijken in de releaseopmerkingen en de nodeImageVersion voor een draaiend cluster weergeven met de opdracht az aks nodepool list. Voorbeeld:

az aks nodepool list --resource-group <resource-group-name> --cluster-name <aks-cluster-name> --query '[].{name: name, nodeImageVersion: nodeImageVersion}'

Voorbeelduitvoer:

[
{
    "name": "nodes",
    "nodeImageVersion": "AKSAzureContainerLinux-202606.01.0"
}
]

Verwante inhoud

Zie de volgende bronnen om aan de slag te gaan met ACL voor AKS:

• Een ACL-cluster implementeren met behulp van de Azure CLI
• Een ACL-cluster implementeren met behulp van een ARM-sjabloon
• Een ACL-knooppuntgroep toevoegen aan een bestaand cluster
• Bestaande knooppunten migreren naar ACL