Práticas recomendadas para o operador e o desenvolvedor do cluster para criar e gerenciar aplicativos no Serviço de Kubernetes do Azure (AKS)

Aplica-se a: ✔️ AKS Automatic ✔️ AKS Standard

Para criar e executar aplicativos com êxito no AKS (Serviço Kubernetes do Azure) é necessário compreender e implementar alguns conceitos fundamentais, incluindo:

• Recursos de multitenância e agendador de tarefas.
• Segurança de cluster e Pod.
• Continuidade dos negócios e recuperação de desastres.

O grupo de produtos do AKS, as equipes de engenharia e as equipes de campo (incluindo os Global Black Belts (GBBs)) contribuíram, escreveram e agruparam os seguintes artigos de melhores práticas e conceituais. O objetivo deles é ajudar os operadores de cluster e desenvolvedores a entender os conceitos acima e a implementar os recursos apropriados.

Escolha primeiro o modo do AKS

O AKS dá suporte a dois modos de cluster: AKS Automatic e AKS Standard. Escolha o AKS Automatic quando quiser uma configuração básica pronta para produção, com menos gerenciamento contínuo da plataforma. Escolha o AKS Standard quando precisar de um controle mais profundo sobre a infraestrutura e a configuração do cluster.

As práticas recomendadas neste artigo se aplicam a ambos os modos. No entanto, a responsabilidade de implementação difere por modo: o AKS Automatic fornece padrões mais pré-configurados, enquanto o AKS Standard normalmente requer uma configuração de operador mais explícita.

Práticas recomendadas para o operador de cluster

Se você é um operador de cluster, trabalhe com os proprietários e desenvolvedores do aplicativo para compreender as necessidades deles. Assim, você poderá usar as práticas recomendadas a seguir para configurar os clusters do AKS para atender às suas necessidades.

Uma prática importante que você deve incluir como parte do processo de desenvolvimento e implantação do seu aplicativo é lembrar-se de seguir os padrões de teste e implantação comumente usados. Testar seu aplicativo antes da implantação é uma etapa importante para garantir a qualidade, funcionalidade e compatibilidade com o ambiente de destino. Isso pode ajudar a identificar e corrigir erros, bugs ou problemas que possam afetar o desempenho, a segurança ou a usabilidade do aplicativo ou da infraestrutura subjacente.

No AKS Standard, os operadores geralmente implementam mais controles de plataforma diretamente. No AKS Automatic, os operadores normalmente se concentram mais em validar as configurações padrão gerenciadas pelo serviço, definir restrições e ajustar os limites de políticas e cargas de trabalho.

Multitenância

As diretrizes para multilocação se aplicam a ambos os modos. No AKS Automatic, as configurações padrão básicas do cluster podem reduzir o trabalho de configuração inicial. No AKS Standard, as equipes de plataforma geralmente configuram mais controles de locação e agendamento explicitamente.

• Práticas recomendadas para isolamento de cluster: inclui componentes principais de vários locatários e isolamento lógico com namespaces.
• Práticas recomendadas para funcionalidades básicas do agendador: inclui o uso de cotas de recursos e orçamentos de interrupção de pod.
• Práticas recomendadas para funcionalidades avançadas do agendador: incluem o uso de manchas (taints) e tolerâncias, seletores de nós e afinidade, e afinidade e antiafinidade entre pods.
• Conceitos de autenticação de cluster: inclui integração com o Microsoft Entra ID, uso do controle de acesso baseado em função do Kubernetes (Kubernetes RBAC) e uso do RBAC do Azure.
• Conceitos de autorização de clusters: inclui a integração com o Microsoft Entra ID, usando o controle de acesso baseado em função do Kubernetes (RBAC do Kubernetes), usando o RBAC do Azure e identidades de pod.

Segurança

As diretrizes de segurança se aplicam a ambos os modos. O AKS Automatic inclui configurações de segurança predefinidas para muitos cenários comuns, enquanto o AKS Standard normalmente requer a habilitação explícita e o gerenciamento do ciclo de vida de mais controles.

• Práticas recomendadas para segurança e atualizações de cluster: inclui proteger o acesso ao servidor de API, limitar o acesso ao contêiner e gerenciar atualizações e reinicializações de nó.
• Práticas recomendadas para gerenciamento e segurança de imagens de contêiner: inclui a proteção da imagem e dos ambientes de execução, além de builds automatizados quando há atualizações nas imagens base.
• Práticas recomendadas para a segurança de pods: inclui proteger o acesso aos recursos, limitar a exposição de credenciais e usar identidades de pod e cofres de chaves digitais.

Linha de base de segurança automática do AKS

O AKS Automatic foi projetado com uma linha de base protegida e controles pré-configurados para muitos cenários de produção. Use os artigos de prática recomendada de segurança para validar a postura, gerenciar exceções e alinhar-se aos requisitos de política empresarial.

Para obter o comportamento e o escopo do recurso atual, consulte Introdução ao AKS Automatic.

Rede e armazenamento

As práticas recomendadas de rede e armazenamento se aplicam a ambos os modos. O AKS Automatic oferece configurações padrão mais prescritivas para cenários comuns, enquanto o AKS Standard oferece maior flexibilidade de configuração e mais controle pelo operador.

• Práticas recomendadas para conectividade de rede: inclui diferentes modelos de rede, o uso de ingress e firewalls de aplicativos da web (WAF) e a proteção do acesso SSH aos nós.
• Práticas recomendadas para armazenamento e backups: Inclui a escolha do tipo de armazenamento e do tamanho de nó apropriados, o provisionamento dinâmico de volumes e o backup de dados.

Executar cargas de trabalho prontas para empresas

As práticas de confiabilidade e recuperação se aplicam a ambos os modos. O AKS Automatic pode simplificar as operações de linha de base, enquanto o AKS Standard oferece maior controle de tempo de design para arquiteturas especializadas.

• Práticas recomendadas para continuidade dos negócios e recuperação de desastres: inclui o uso de pares de regiões, vários clusters com o Gerenciador de Tráfego do Azure e replicação geográfica de imagens de contêiner.

Melhores práticas do desenvolvedor

Se você é um desenvolvedor ou proprietário do aplicativo, você pode simplificar sua experiência de desenvolvimento e definir as características de desempenho necessárias do aplicativo.

As diretrizes do desenvolvedor se aplicam a ambos os modos. No AKS Automatic, as equipes geralmente podem se mover mais rapidamente com bases de cluster pré-configuradas. No AKS Standard, os desenvolvedores devem alinhar suas premissas às escolhas de configuração do cluster feitas pela equipe de plataforma.

• Práticas recomendadas para os desenvolvedores de aplicativos gerenciarem recursos: inclui definir solicitações e limites de recursos de pod, configurar ferramentas de desenvolvimento e verificar se há problemas de aplicativo.
• Práticas recomendadas para a segurança de pods: inclui proteger o acesso aos recursos, limitar a exposição de credenciais e usar identidades de pod e cofres de chaves digitais.
• Práticas recomendadas para implantação e confiabilidade de cluster: inclui práticas recomendadas no nível de implantação, de cluster e de pool de nós.

Conceitos de Kubernetes e AKS

Os seguintes artigos conceituais abordam alguns dos recursos e componentes fundamentais para clusters no AKS:

• Principais conceitos do Kubernetes
• Acesso e identidade
• Conceitos de segurança
• Conceitos de rede
• Opções de armazenamento
• Opções de dimensionamento

Conteúdo relacionado

Para obter diretrizes sobre como criar uma implementação em escala empresarial do AKS, consulte Planejar o design do AKS.

Para escolher o modo de cluster correto para a carga de trabalho e o modelo operacional, consulte a comparação de recursos do AKS Automatic e do AKS Standard.

Para obter mais informações sobre o AKS, consulte a seguinte documentação:

• Principais conceitos do Kubernetes
• Acesso e identidade
• Conceitos de segurança
• Conceitos de rede
• Opções de armazenamento
• Opções de dimensionamento