Samouczek: tworzenie klastra za pomocą usługi Azure Linux z funkcją OS Guard (wersja zapoznawcza) dla usługi Azure Kubernetes Service (AKS)

Z tego samouczka dowiesz się, jak wykonać jedną z pięciu części:

W kolejnych samouczkach dowiesz się, jak dodać pulę węzłów Azure Linux z funkcją OS Guard do istniejącego klastra oraz jak migrować istniejące węzły do systemu Azure Linux z funkcją OS Guard.

Wymagania wstępne

• Potrzebna jest najnowsza wersja interfejsu wiersza polecenia platformy Azure. Użyj polecenia , az version aby znaleźć wersję. Aby przeprowadzić uaktualnienie do najnowszej wersji, użyj az upgrade polecenia .
• Zainstaluj aks-preview rozszerzenie Azure CLI.
• Zarejestruj flagę AzureLinuxOSGuardPreview funkcji.

Azure Linux — uwagi i ograniczenia dotyczące OS Guard

Przed rozpoczęciem zapoznaj się z następującymi zagadnieniami i ograniczeniami dotyczącymi platformy Azure dla systemu Linux z funkcją OS Guard (wersja zapoznawcza):

• Platforma Kubernetes w wersji 1.32.0 lub nowszej jest wymagana dla systemu Linux platformy Azure z funkcją OS Guard.
• Wszystkie obrazy systemu Azure Linux z OS Guard mają włączony standard Federal Information Processing Standard (FIPS) oraz Trusted Launch.
• Interfejs wiersza polecenia platformy Azure (Azure CLI) i szablony ARM są jedynymi obsługiwanymi metodami wdrażania dla Azure Linux z funkcją OS Guard w AKS w wersji preview. Program PowerShell i program Terraform nie są obsługiwane.
• Obrazy Arm64 nie są obsługiwane na platformie Azure Linux z funkcją OS Guard w usłudze AKS w wersji zapoznawczej.
• NodeImage i None są jedynymi obsługiwanymi kanałami aktualizacji systemu operacyjnego (OS) dla systemu Azure Linux z funkcją OS Guard w usłudze AKS. Unmanaged i SecurityPatch są niezgodne z systemem Linux platformy Azure z funkcją OS Guard ze względu na niezmienny katalog /usr.
• Przesyłanie strumieniowe artefaktów nie jest obsługiwane.
• Pod Sandboxing nie jest obsługiwany.
• Poufne maszyny wirtualne (CVM) nie są obsługiwane.
• Maszyny wirtualne 1. generacji nie są obsługiwane.

Zainstaluj rozszerzenie Azure CLI aks-preview

Zainstaluj rozszerzenie aks-preview przy użyciu polecenia az extension add.

az extension add --name aks-preview

Przeprowadź aktualizację do najnowszej wersji rozszerzenia przy użyciu az extension update polecenia .

az extension update --name aks-preview

Zarejestruj flagę funkcji AzureLinuxOSGuardPreview

1. Zarejestruj flagę funkcji AzureLinuxOSGuardPreview za pomocą polecenia az feature register.

   az feature register --namespace "Microsoft.ContainerService" --name "AzureLinuxOSGuardPreview"
   

   Wyświetlenie stanu Zarejestrowane trwa kilka minut.

2. Sprawdź stan rejestracji przy użyciu az feature show polecenia .

   az feature show --namespace "Microsoft.ContainerService" --name "AzureLinuxOSGuardPreview"
   

3. Gdy stan odzwierciedla Zarejestrowano, użyj polecenia Microsoft.ContainerService, aby odświeżyć rejestrację dostawcy zasobów az provider register.

   az provider register --namespace "Microsoft.ContainerService"
   

Ustawianie zmiennych środowiskowych

Ustaw następujące zmienne środowiskowe, aby utworzyć unikatowe nazwy zasobów dla każdego wdrożenia:

export RESOURCE_GROUP="<your-resource-group-name>"
export REGION="<your-region>"
export CLUSTER_NAME="<your-cluster-name>"

Tworzenie grupy zasobów

Podczas tworzenia grupy zasobów w Azure musisz określić lokalizację. Ta lokalizacja to lokalizacja magazynu metadanych grupy zasobów i lokalizacja, w której zasoby są uruchamiane w Azure, jeśli nie określisz innego regionu podczas tworzenia zasobu.

Utwórz grupę zasobów przy użyciu polecenia az group create.

az group create --name $RESOURCE_GROUP --location $REGION

Przykładowy wynik:

{
  "id": "/subscriptions/xxxxx/resourceGroups/testAzureLinuxOSGuardResourceGroupxxxxx",
  "location": "EastUS2",
  "managedBy": null,
  "name": "testAzureLinuxOSGuardResourceGroupxxxxx",
  "properties": {
    "provisioningState": "Succeeded"
  },
  "tags": null,
  "type": "Microsoft.Resources/resourceGroups"
}

Tworzenie systemu Linux platformy Azure z klastrem OS Guard (wersja zapoznawcza)

Utwórz klaster AKS, używając polecenia az aks create z parametrem --os-sku AzureLinuxOSGuard, aby założyć klaster Azure Linux z funkcją OS Guard. Włączenie FIPSsecure boot oraz vtpm jest wymagane do korzystania z systemu Azure Linux z funkcją OS Guard.

az aks create --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --os-sku AzureLinuxOSGuard --node-osdisk-type Managed --enable-fips-image --enable-secure-boot --enable-vtpm

Przykładowy wynik:

{
  "id": "/subscriptions/xxxxx/resourceGroups/testAzureLinuxOSGuardResourceGroupxxxxx/providers/Microsoft.ContainerService/managedClusters/testAzureLinuxOSGuardClusterxxxxx",
  "location": "WestUS2",
  "name": "testAzureLinuxOSGuardClusterxxxxx",
  "properties": {
    "provisioningState": "Succeeded"
  },
  "type": "Microsoft.ContainerService/managedClusters"
}

Po kilku minutach polecenie zostanie wykonane i zwróci informacje o klastrze w formacie JSON.

Nawiązywanie połączenia z klastrem przy użyciu narzędzia kubectl

1. Skonfiguruj kubectl, aby nawiązać połączenie z klastrem Kubernetes za pomocą polecenia az aks get-credentials.

   az aks get-credentials --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME
   

2. Sprawdź połączenie z klastrem za pomocą polecenia , aby zwrócić listę węzłów klastra.

   kubectl get nodes
   

   Przykładowy wynik:

   NAME                           STATUS   ROLES   AGE     VERSION
   aks-nodepool1-00000000-0       Ready    agent   10m     v1.20.7
   aks-nodepool1-00000000-1       Ready    agent   10m     v1.20.7
   

Następny krok

W tym samouczku utworzono i wdrożono system Azure Linux z klastrem OS Guard. Z następnego samouczka dowiesz się, jak dodać system Azure Linux z pulą węzłów funkcji OS Guard do istniejącego klastra.