Clusterextensies implementeren en beheren voor Azure Kubernetes Service (AKS)

Clusterextensies bieden een Azure Resource Manager gestuurde ervaring voor het installeren en levenscyclusbeheer van services zoals Azure Machine Learning- of Kubernetes-toepassingen op een AKS-cluster. Met deze functie schakelt u het volgende in:

  • Azure Resource Manager-gebaseerde implementatie van extensies, inclusief grootschalige implementaties binnen AKS-clusters.
  • Levenscyclusbeheer van de extensie (bijwerken, verwijderen) uit Azure Resource Manager.

Categorieën van clusterextensies

Er zijn twee categorieën clusterextensies, Core en Standard die kunnen worden geïmplementeerd op AKS-clusters.

Kernextensies

Core Kubernetes-extensies hebben een bredere beschikbaarheid van regio's, een meer geïntegreerde AKS-ervaring en release-afstemming op AKS-versiereleases. Azure Backup en Azure Monitoring for Containers zijn kernuitbreidingen.

Systeemeigen AKS-ervaring

Kernextensies kunnen worden beheerd met behulp van az aks de CLI-opdracht.

az aks extension create \
  --name <core extension name> \
  --extension-type <type> \
  --cluster-name <name> \
  --resource-group <group>

Zie az aks voor meer informatie over de opdrachten.

Releasebeleid

Kleine en grote upgrades van kernextensies vinden plaats naast AKS-updates voor kleine en grote versies om storende wijzigingen te vermijden en een betere betrouwbaarheid te bieden.

Migratie van add-on naar kernextensie

Azure Monitor services, waaronder Container Insights, Managed Prometheus en Application Insights worden overgestapt op een back-endmodel op basis van een clusterextensie. Met deze wijziging worden AKS-bewakingsinvoegtoepassingen bijgewerkt naar een beheermodel op basis van extensies, zonder dat de functionaliteit of gebruikerservaring wordt gewijzigd.

  • Deze back-endmigratie is niet-onderbreekbaar en wijzigt de gebruikerservaring niet of vereist actie van de klant.

  • Er is geen invloed op workloads, gegevensverzameling of bewakingsfunctionaliteit.

  • Azure CLI, Azure portal en alle clientervaringen blijven werken zoals verwacht.

Notitie

  • Azure beleidsbeperkingen: aangepaste Azure beleidsregels die het maken of bijwerken van het resourcetype clusterextensies blokkeren, moeten worden bijgewerkt of uitgesloten.
  • Azure-resourcevergrendelingen: Azure-resourcevergrendelingen kunnen het beheer van het resourcetype clusterextensies blokkeren.

Raadpleeg de documentatie voor probleemoplossing voor meer informatie over risicobeperking.

Standaardextensies

Zie de tabel in Currently available extensions en de Kubernetes-apps die via Azure Marketplace zijn geïmplementeerd, behoren tot het type Standaardextensie voor meer informatie over de andere clusterextensies.

Standaardextensies kunnen worden beheerd met behulp van de az k8s-extension CLI-opdracht. Zie Clusterextensies implementeren en beheren met behulp van Azure CLI voor meer informatie.

az k8s-extension create \
  --name <standard extension name> \
  --extension-type <extension-type> \
  --scope cluster \
  --cluster-name <clusterName> \
  --resource-group <resourceGroupName> \
  --cluster-type managedClusters

Vereisten voor clusteruitbreidingen

Het platform voor clusterextensies wordt ondersteund in alle regio's waar AKS wordt geïmplementeerd. Hoewel het platform beschikbaar is in alle regio's, controleert u de beschikbaarheid van de regio voor afzonderlijke extensies.

Belangrijk

Zorg ervoor dat uw AKS-cluster wordt gemaakt met een beheerde identiteit, omdat clusterextensies niet werken met op service-principal gebaseerde clusters.

Voor nieuwe clusters die zijn gemaakt met az aks create, wordt beheerde identiteit standaard geconfigureerd. Voor bestaande clusters die op service-principals zijn gebaseerd en moeten worden overgeschakeld naar beheerde identiteit, kan dit worden ingeschakeld door az aks update uit te voeren met de --enable-managed-identity vlag. Zie Beheerde identiteit gebruiken voor meer informatie.

Notitie

Als u Microsoft Entra pod-beheerde identiteit op uw AKS-cluster hebt ingeschakeld of overweegt om dit te implementeren, raden we u aan eerst het Overzicht van de workload-identiteit te bekijken om inzicht te krijgen in onze aanbevelingen en opties om uw cluster in te stellen voor het gebruik van een Microsoft Entra Workload-id (preview). Deze verificatiemethode vervangt de pod-beheerde identiteit (preview), die kan worden geïntegreerd met de native Kubernetes-mogelijkheden om te federeren met externe identiteitsproviders. De open source Microsoft Entra door een pod beheerde identiteit (preview) in Azure Kubernetes Service is sinds 24 oktober 2022 verouderd verklaard.

Momenteel beschikbare extensies

Uitbreidingsondersteuning voor mogelijkheden voor beveiliging, identiteit, netwerken en implementatiegereedheid varieert per extensie. De volgende tabel bevat de huidige ondersteuningsstatus voor elke mogelijkheid. Gebruik deze om te bepalen of een extensie voldoet aan de operationele en governancevereisten van uw organisatie.

  • Federal Information Processing Standard (FIPS) 140-3 is een Amerikaanse overheidsstandaard die minimale beveiligingsvereisten definieert voor cryptografische modules in producten en systemen van informatietechnologie.
  • Workloadidentiteit is essentieel voor veilig identiteitsbeheer en IMDS-beperking, ter bescherming tegen diefstal van referenties.
  • Private Link is essentieel voor netwerkisolatie, waardoor onbevoegde toegang wordt voorkomen en extensies kunnen functioneren in AKS-clusters met netwerkisolatie.
  • Implementatiebeveiligingen dwingen aanbevolen procedures af voor een Azure Kubernetes Service (AKS)-cluster.
  • PSS (Pod Security Standards) definieert drie verschillende beleidsregels om het beveiligingsspectrum breed te behandelen. PSS-Baseline biedt een minimaal beperkend beleid waarmee escalatie van bekende bevoegdheden wordt voorkomen.

Legende

Symbool Meaning
✅ Supported
❌ Niet ondersteund
N/R Niet vereist

Matrix voor extensiemogelijkheden

Extensie Beschrijving PSS - Basislijn FIPS Implementatiebeveiligingen Workload-identiteit Private Link
Azure App Configuration Gecentraliseerd beheer van toepassingsinstellingen en functievlagmen. ✅ ❌ ✅ ✅ ✅
Azure Machine Learning Machine Learning-workloads trainen, implementeren en beheren op AKS. ❌ ❌ ❌ ❌ ✅
Dapr Gebeurtenisgestuurde toepassingsruntime voor cloud- en edge-workloads. ✅ ❌ ❌ ✅ ✅
Azure Backup voor AKS Back-up- en herstelbeveiliging voor permanente volumes. (Kernextensie) ✅ ❌ ✅ ✅ ✅
Flux (GitOps) Configuratie- en toepassingsimplementatiebeheer op basis van GitOps. ✅ ❌ ✅ ❌ ✅
Azure Container Storage Permanente opslag voor AKS-workloads. ✅ ❌ ✅ N/R ❌
ServiceConnector Vereenvoudigt beveiligde connectiviteit tussen AKS-workloads en Azure services. ✅ ❌ ✅ ✅ N/R
Virtuele knooppunten v2 op Azure Container Instances (preview) Gebruik Virtual Nodes v2 om AKS-workloads te bursten naar serverloze rekenkracht op Azure Container Instances (ACI). N/R ✅ ❌ ✅ ✅
Azure Monitor - Container Insights Logboekverzameling en -bewaking voor AKS-clusters en -containers. (Kernextensie) ❌ ❌ ❌ ❌ ✅
Azure Monitor - Prometheus Verzameling met metrische gegevens die compatibel zijn met Prometheus voor AKS. (Kernextensie) ✅ ❌ ✅ N/R ✅
Azure Monitor - Toepassingsbewaking Bewaking van toepassingsprestaties en telemetrieverzameling. (Kernextensie) ❌ ❌ ❌ ❌ ❌
Argo CD Continue levering op basis van GitOps voor Kubernetes-toepassingen. ✅ ❌ ✅ ✅ ❌

U kunt ook Kubernetes-toepassingen selecteren en implementeren die beschikbaar zijn via Marketplace.

Notitie

Clusterextensies bieden een platform voor verschillende extensies die moeten worden geïnstalleerd en beheerd op een AKS-cluster. Als u problemen ondervindt bij het gebruik van een van deze extensies, opent u een ondersteuningsticket met de betreffende service.

Notitie

Niet elke mogelijkheid is relevant voor elke extensie. Extensies die zijn gemarkeerd als Niet vereist, blijven voldoen aan de toepasselijke AKS-beveiligingsvereisten. De status geeft aan dat de mogelijkheid niet nodig is voor de beoogde functionaliteit van de extensie.

Volgende stappen

  • Laatst bijgewerkt om