Omówienie klastra koncentratora usługi Fleet Manager

Po włączeniu klaster centralny Fleet Manager służy jako centralny punkt zarządzania dla propagacji zasobów Kubernetes w klastrach członkowskich, wykorzystując umieszczanie zasobów.

Co to są klastry koncentratora usługi Fleet Manager?

W usłudze Azure Kubernetes Fleet Manager klastry koncentratorów odgrywają kluczową rolę w zarządzaniu wieloma klastrami członkowskimi, ale są opcjonalne.

Klaster centralny ułatwia umieszczanie zasobów i zarządzane przez Flotę przestrzenie nazw poprzez zarządzaną wersję KubeFleet.

W tej konfiguracji flota składa się z następujących składników:

• fleet-hub-agent: kontroler Kubernetes, który tworzy i uzgadnia wszystkie zasoby niestandardowe związane z flotą w klastrze koncentratora.
• fleet-member-agent: kontroler Kubernetes, który tworzy i uzgadnia wszystkie klastry członkowskie związane z flotą. Ten kontroler ściąga najnowsze CR z klastra centralnego i konsekwentnie synchronizuje klastry członkowskie, aby dopasować je do docelowego stanu.

Konfiguracja klastra hub

Klaster centrum Fleet Manager to w pełni zarządzany klaster usługi Azure Kubernetes Service (AKS), który ma następujące właściwości:

• Nazwa i lokalizacja klastra: klaster nadrzędny jest zawsze nazwany hub i jest tworzony w tym samym regionie Azure co Menedżer Floty.
• Grupa zasobów Azure dla klastra głównego: zasób AKS dla klastra głównego tworzony jest w zarządzanej grupie zasobów z formatem nazewnictwa FL_{fleet_manager_resource_group}_{fleet_manager_name}_{azure_region}.
• Grupa zasobów platformy Azure dla zasobów klastra centralnego: podobnie jak w przypadku każdego klastra AKS, klaster centralny ma zasoby platformy Azure, takie jak zestaw skalowania maszyn wirtualnych dla puli węzłów agenta i sieć wirtualną, które są tworzone w zarządzanej grupie zasobów zgodnie z formatem nazewnictwa MC_FL_{fleet_manager_resource_group}_{fleet_manager_name}_{azure_region}.
• Węzeł klastra koncentratora: Klaster koncentratora ma pulę węzłów z jednym węzłem z systemem Azure Linux. Węzeł nie uruchamia żadnych podów i nie ma wpływu na wydajność klastra nadrzędnego. Podczas tworzenia klastra centrum za pomocą Azure CLI możesz wybrać typ jednostki SKU dla maszyny wirtualnej węzła przy użyciu parametru --vm-size.
• Konfiguracja sieci: klastry centrum publicznego mają publiczny serwer interfejsu API ze skojarzonym publicznym adresem IP. Po skonfigurowaniu dostępu prywatnego serwer interfejsu API jest dostępny tylko za pośrednictwem sieci wirtualnej platformy Azure.

Ograniczenia klastra głównego

Klaster koncentratora ma następujące ograniczenia, które zapewniają, że działa zgodnie z wymaganiami dotyczącymi propagacji zasobów i zarządzania nimi:

• Wywołanie polecenia wyłączone: Wywoływanie poleceń za pośrednictwem interfejsu wiersza polecenia platformy Azure (az aks command invoke) jest wyłączone dla klastrów centralnych.
• Uwierzytelnianie lokalne jest wyłączone: Dostęp za pośrednictwem administratora kubeconfig jest wyłączony, zapewniając, że uwierzytelnianie jest obsługiwane wyłącznie za pośrednictwem identyfikatora Entra firmy Microsoft, zwiększając bezpieczeństwo przez scentralizowanie kontroli dostępu. Użyj az fleet get-credentials, aby uzyskać kubeconfig dla klastra koncentratora.
• Odmowy przypisań: Zmiany w konfiguracji klastra centralnego Azure i związanych zasobów są blokowane za pośrednictwem odmów przypisań Azure. Używane są następujące przypisania odmowy:
  • FLRG-DenyAssignments-{guid}: Nałożono na grupę zasobów klastra koncentratora, uniemożliwiając użytkownikom modyfikację klastra koncentratora.
  • kubernetes.azure.com/{guid} (opcjonalnie): To przypisanie odmowy dostępu uniemożliwia użytkownikom modyfikowanie zasobów klastra koncentratora AKS (skalowania zestawów maszyn wirtualnych, sieci), zgodnie z opisem w sekcji blokady grupy zasobów węzła AKS.
• Nie są tworzone wystąpienia zastosowanych zasobów: Klaster koncentratora nie planuje przydzielania zastosowanych zasobów Kubernetes na węzły klastra koncentratora. Niektóre zasoby Kubernetes muszą być stosowane przy użyciu obiektu osłonowego, aby uniknąć skutków ubocznych w klastrze centralnym. Aby uzyskać więcej informacji na temat obiektów koperty, zobacz dokumentację obiektów koperty.

Ograniczenia dostępu do chronionych zasobów

Następujące żądania interfejsu API Kubernetes zostały odrzucone:

• Wszystkie żądania podszywania się pod tożsamość.
• Wszystkie operacje inne niż get, listi watch w przestrzeniach nazw z nazwami rozpoczynającymi się od fleet- lub kube-.
• get, listi watch żądania dotyczące zasobników, sekretów, kont usług, ról i powiązań uprawnień w przestrzeniach nazw z nazwami rozpoczynającymi się od fleet- lub kube-.
• Żądania między przestrzeniami nazw dla podów, sekretów, kont usług, ról i powiązań ról.
• Tworzenie żądań dotyczących ról klastra i powiązań ról klastra.
• Odczyt i zapis żądań do podzasobu nodes/proxy.
• Napisz żądania sprawdzania poprawności zasad dopuszczania, powiązań zasad dopuszczania i konfiguracji webhooków o nazwach rozpoczynających się od fleet-builtin-.
• Żądania usunięcia kolekcji dotyczące sprawdzania poprawności zasad przyjęcia, weryfikowania powiązań zasad przyjęcia i weryfikowania konfiguracji elementu webhook.

Inne obsługiwane operacje w przestrzeniach nazw zarządzanych przez klienta pozostają dostępne.

Identyfikowanie zasobów i automatyzacji usługi Fleet Manager, których to dotyczy

Może to mieć wpływ na zasób usługi Fleet Manager, jeśli ma włączony klaster koncentratora. Użyj Azure Resource Graph Explorer, aby znaleźć następujące zasoby:

Resources
| where type =~ "microsoft.containerservice/fleets"
| where isnotnull(properties.hubProfile)
| project id, name, subscriptionId, resourceGroup, location

Posiadanie klastra koncentratora nie musi oznaczać, że należy podjąć działania. Dotyczy to Ciebie tylko wtedy, gdy użytkownicy, skrypty, kontrolery lub potoki ciągłej integracji/ciągłego wdrażania wysyłają jedno z ograniczonych żądań do klastra koncentratora.

Zweryfikuj automatyzację, która uzyskuje dostęp do klastra koncentratora dla:

• Opcje personifikowania lub nagłówki, w tym --as i --as-group.
• Żądania względem nodes/proxy.
• Dostęp do przestrzeni nazw z nazwami rozpoczynającymi się od fleet- lub kube-.
• W całym klastrze lub --all-namespaces żądania listowania i obserwowania dotyczące chronionych zasobów.
• Zmiany w rolach klastra lub powiązaniach ról klastra.
• Zmiany w zasobach weryfikacji z nazwami rozpoczynającymi się od fleet-builtin-.
• Usuwanie zasobów weryfikacji kolekcji.

Zaktualizuj automatyzację, której dotyczy problem

Przed 31 stycznia 2027 r.:

• Przenieś zasoby należące do klienta i automatyzację poza przestrzenie nazw z nazwami rozpoczynającymi się od fleet- lub kube-.
• Ogranicz żądania listowania i obserwowania dla zasobników, wpisów tajnych, kont usług, ról i powiązań ról do przestrzeni nazw zarządzanych przez klienta.
• W przypadku umieszczania zasobów owiń role klastra i powiązania ról klastra w obiekcie ClusterResourceEnvelope. Aby uzyskać więcej informacji, zobacz Używanie obiektów envelope do bezpiecznego umieszczania zasobów.
• Aby uzyskać dostęp programowy do klastra koncentratora, użyj dedykowanej tożsamości Microsoft Entra, przypisz jej wymaganą rolę RBAC programu Fleet Manager z najniższymi uprawnieniami i nie używaj podszywania się pod tożsamość.
• Przestań używać nodes/proxy zasobu podrzędnego.
• Nie modyfikuj zasobów sprawdzania poprawności z nazwami rozpoczynającymi się od fleet-builtin-.
• Zastąp usuwanie kolekcji zasobów weryfikacji żądaniami ograniczonymi do zasobów zarządzanych przez klienta.
• Przetestuj zaktualizowaną automatyzację przed datą wejścia w życie.

Jeśli automatyzacja, której dotyczy problem, nie zostanie zaktualizowana przed 31 stycznia 2027 r., ograniczone żądania otrzymają odpowiedzi odmowy autoryzacji. Skrypty, kontrolery, wdrożenia lub operacyjne przepływy pracy, które zależą od tych żądań, mogą zakończyć się niepowodzeniem lub wielokrotnie ponawiać próbę. Jeśli nie używasz żadnych operacji objętych ograniczeniami, nie trzeba podejmować żadnych działań.

Wymagania od klientów

Aby Fleet Manager zarządzała tworzeniem i utrzymywaniem klastrów koncentratorów aktualnymi z najnowszymi poprawkami, upewnij się, że:

• Usługa Azure Policy nie blokuje tworzenia klastra. Klaster centralnego jest zarządzanym klastrem usługi AKS. Jeśli nie możesz utworzyć klastrów AKS, nie możesz utworzyć klastra w centrum zarządzania flotą.

• Subskrypcja ma wystarczający limit przydziału. Jedna dodatkowa instancja maszyny wirtualnej węzła klastra głównego jest wymagana podczas procesu aktualizacji klastra. Aby uzyskać więcej informacji na temat zwiększania limitu przydziału, zobacz dokumentację dotyczącą limitu przydziału.

• Klaster koncentratora ma dostęp do Internetu. Łączność wychodząca jest wymagana do instalowania aktualizacji. Prywatne koncentratory w sieciach z routingiem zdefiniowanym przez użytkownika (UDR) lub regułami zapory mogą blokować łączność wychodzącą. Aby uzyskać więcej informacji na temat łączności wychodzącej, zobacz dokumentację dotyczącą sieci wychodzącej usługi AKS.

• Serwer API może łączyć się z węzłami huba. Jeśli reguły sieciowej grupy zabezpieczeń w prywatnym klastrze koncentratora z integracją serwera API z siecią wirtualną ograniczają ruch między podsieciami, zezwól na ruch przychodzący z podsieci serwera API do podsieci klastra na porcie TCP 10250. Bez tej reguły operacje korzystające z interfejsu API kubeletu, takie jak pobieranie dzienników lub uruchamianie polecenia exec, kończą się niepowodzeniem. Wszystkie wymagane reguły można znaleźć w temacie NSG security rules for API server VNet integration (Reguły zabezpieczeń sieciowej grupy zabezpieczeń na potrzeby integracji sieci wirtualnej serwera interfejsu API).

• Nie trzeba zarządzać aktualizacjami klastra centrum Fleet Manager. Microsoft automatycznie aktualizuje klaster koncentratora do najnowszej wersji Kubernetes lub obrazu węzła, kiedy są dostępne w usłudze AKS. Aktualizacje można śledzić za pomocą Śledzenia Wydań AKS.

Treści powiązane

• Inteligentne umieszczanie zasobów platformy Kubernetes między klastrami na podstawie właściwości klastrów członkowskich.
• Dostęp do interfejsu API Kubernetes klastra centrum menedżera floty.
• Fleet Manager — często zadawane pytania.