Preparar um cluster para o Operações do Azure IoT

Para preparar um cluster kubernetes habilitado para Azure Arc, você precisa:

• Uma assinatura Azure com a função Owner ou uma combinação de funções Contributor e User Access Administrator. Você pode verificar o nível de acesso navegando até sua assinatura, selecionando Exibição de acesso (IAM) no lado esquerdo do portal Azure e selecionando View my access. Se você não tiver uma assinatura Azure, criar uma gratuitamente antes de começar.

• O CLI do Azure instalado em seu computador de desenvolvimento. Verifique as extensões disponíveis do CLI do Azure para a versão mínima exigida para a extensão connectedk8s. Use az --version para verificar sua versão e az upgrade para atualizar, se necessário. Para obter mais informações, consulte Instale o CLI do Azure.

• A extensão connectedk8s para a CLI do Azure. Use o seguinte comando para adicionar a extensão ou atualizá-la à versão mais recente:

  az extension add --upgrade --name connectedk8s
  

• Um grupo de recursos Azure. Há suporte para apenas uma instância Operações do Azure IoT por grupo de recursos. Para criar um grupo de recursos, use o comando az group create. Para obter a lista de regiões Azure com suporte no momento, consulte Supported regions.

  az group create --location $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID
  

• Hardware que atende aos requisitos do sistema:

  • Ambientes compatíveis com Operações do Azure IoT.
  • requisitos de sistema do Kubernetes habilitados pelo Azure Arc.
  • Requisitos do K3s.

• Se você pretende implantar Operações do Azure IoT em um cluster de vários nós com tolerância a falhas habilitada, examine os requisitos de hardware e armazenamento em Prepare Linux para Volumes de Borda.

Para preparar um cluster kubernetes habilitado para Azure Arc, você precisa:

• Uma assinatura Azure. Se você não tiver uma assinatura Azure, criar uma gratuitamente antes de começar.

• Hardware que atende aos requisitos do sistema:

  • Ambientes compatíveis com Operações do Azure IoT.
  • requisitos de sistema do Kubernetes habilitados pelo Azure Arc.
  • Requisitos e matriz de suporte do AKS Edge Essentials.
  • Diretrizes de rede do AKS Edge Essentials.

Para preparar um cluster kubernetes habilitado para Azure Arc, você precisa:

• Uma assinatura Azure. Se você não tiver uma assinatura Azure, criar uma gratuitamente antes de começar.

• Um servidor ou cluster do Azure Local.

• Hardware que atende aos requisitos do sistema:

  • Ambientes compatíveis com Operações do Azure IoT.
  • requisitos de sistema do Kubernetes habilitados pelo Azure Arc.

Para preparar um cluster de carga de trabalho do vSphere Kubernetes Service (VKS), você precisa:

• Uma assinatura Azure com a função Owner ou uma combinação de funções Contributor e User Access Administrator. Você pode verificar o nível de acesso navegando até sua assinatura, selecionando Exibição de acesso (IAM) no lado esquerdo do portal Azure e selecionando View my access. Se você não tiver uma assinatura Azure, criar uma gratuitamente antes de começar.

• O CLI do Azure instalado em seu computador de desenvolvimento. Verifique as extensões disponíveis do CLI do Azure para a versão mínima exigida para a extensão connectedk8s. Use az --version para verificar sua versão e az upgrade para atualizar, se necessário. Para obter mais informações, consulte Instale o CLI do Azure.

• A extensão connectedk8s para a CLI do Azure. Use o seguinte comando para adicionar a extensão ou atualizá-la à versão mais recente:

  az extension add --upgrade --name connectedk8s
  

• Um grupo de recursos Azure. Há suporte para apenas uma instância Operações do Azure IoT por grupo de recursos. Para criar um grupo de recursos, use o comando az group create. Para obter a lista de regiões Azure com suporte no momento, consulte Supported regions.

  az group create --location $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID
  

• Usando o serviço vSphere Kubernetes.

• Hardware que atende aos requisitos do sistema:

  • Ambientes compatíveis com Operações do Azure IoT.
  • requisitos de sistema do Kubernetes habilitados pelo Azure Arc.

SUBSCRIPTION_ID=<subscription-id>
RESOURCE_GROUP=<resource-group-name>
AIO_INSTANCE_NAME=<instance-name>
CLUSTER_NAME=<cluster-name>
LOCATION=<region>

$SUBSCRIPTION_ID = "<subscription-id>"
$RESOURCE_GROUP = "<resource-group-name>"
$AIO_INSTANCE_NAME = "<instance-name>"
$CLUSTER_NAME = "<cluster-name>"
$LOCATION = "<region>"

Para preparar um cluster K3s Kubernetes no Ubuntu:

1. Crie um cluster K3s de nó único ou de vários nós. Para obter exemplos, consulte o guia de início rápido do K3s ou projetos relacionados ao K3s.

2. Verifique se o K3s está instalado kubectl. Caso contrário, siga as instruções para Instalar o kubectl no Linux.

   kubectl version --client
   

3. Siga as instruções para instalar o Helm.

4. Crie um arquivo YAML de configuração K3s em .kube/config:

   mkdir ~/.kube
   sudo KUBECONFIG=~/.kube/config:/etc/rancher/k3s/k3s.yaml kubectl config view --flatten > ~/.kube/merged
   mv ~/.kube/merged ~/.kube/config
   chmod  0600 ~/.kube/config
   export KUBECONFIG=~/.kube/config
   #switch to k3s context
   kubectl config use-context default
   sudo chmod 644 /etc/rancher/k3s/k3s.yaml
   

5. Execute o comando a seguir para aumentar os limites de inspeção/instância do usuário.

   echo fs.inotify.max_user_instances=8192 | sudo tee -a /etc/sysctl.conf
   echo fs.inotify.max_user_watches=524288 | sudo tee -a /etc/sysctl.conf
   
   sudo sysctl -p
   

6. Para obter um melhor desempenho, aumente o limite do descritor do arquivo:

   echo fs.file-max = 100000 | sudo tee -a /etc/sysctl.conf
   
   sudo sysctl -p
   

Habilite o Arc no seu cluster K3s

Conecte seu cluster ao Azure Arc para que você possa gerenciá-lo remotamente.

1. De uma máquina que tenha kubectl acesso ao seu cluster, faça login no CLI do Azure com sua conta de usuário Microsoft Entra que possui as funções necessárias para a assinatura do Azure:

   az login
   

   Se em algum momento você receber um erro dizendo que seu dispositivo precisa ser gerenciado para acessar seu recurso, execute az login novamente e certifique-se de fazer login interativamente usando um navegador.

2. Depois que você faz login, a CLI do Azure mostra todas as suas assinaturas e indica sua assinatura padrão com um asterisco*. Para continuar com sua assinatura padrão, selecione Enter. Caso contrário, digite o número da assinatura Azure que você deseja usar.

3. Registre os provedores de recursos necessários em sua assinatura.

   Observação

   Você precisa executar essa etapa apenas uma vez por assinatura. Para registrar provedores de recursos, você precisa de permissão para executar a operação /register/action, incluída nas funções de Colaborador e Proprietário da assinatura. Para obter mais informações, consulte provedores de recursos e tipos do Azure.

   az provider register -n "Microsoft.ExtendedLocation"
   az provider register -n "Microsoft.Kubernetes"
   az provider register -n "Microsoft.KubernetesConfiguration"
   az provider register -n "Microsoft.IoTOperations"
   az provider register -n "Microsoft.DeviceRegistry"
   az provider register -n "Microsoft.SecretSyncController"
   

4. Use o comando az connectedk8s connect para habilitar o cluster do Kubernetes e gerenciá-lo como parte do grupo de recursos Azure.

   az connectedk8s connect --name $CLUSTER_NAME -l $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --enable-oidc-issuer --enable-workload-identity --disable-auto-upgrade
   

   Para evitar atualizações não planejadas para Azure Arc e as extensões do sistema Arc que Operações do Azure IoT usa como dependências, esse comando desabilita a autoupgrade. Em vez disso, atualize manualmente os agentes conforme necessário.

   Importante

   Se o ambiente usar um servidor proxy ou um Gateway de Azure Arc, modifique o comando az connectedk8s connect com suas informações de proxy:

   1. Siga as instruções em Conecte-se usando um servidor proxy de saída ou Adicione clusters Kubernetes ao Azure Arc com o Azure Arc Gateway.
   2. Adicione 169.254.169.254 ao parâmetro --proxy-skip-range do comando az connectedk8s connect. O Registro de Dispositivo do Azure usa esse ponto de extremidade local para obter tokens de acesso para autorização.

   Operações do Azure IoT não dá suporte a servidores proxy que exigem um certificado confiável.

5. Obtenha a URL do emissor do cluster.

   az connectedk8s show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query oidcIssuerProfile.issuerUrl --output tsv
   

   Salve a saída desse comando para usar nas próximas etapas.

6. Crie um arquivo de configuração do K3s.

   sudo nano /etc/rancher/k3s/config.yaml
   

7. Adicione o seguinte conteúdo ao arquivo config.yaml, substituindo o espaço reservado <SERVICE_ACCOUNT_ISSUER> pela URL do emissor do cluster.

   kube-apiserver-arg:
    - service-account-issuer=<SERVICE_ACCOUNT_ISSUER>
    - service-account-max-token-expiration=24h
   

8. Salve o arquivo e saia do editor nano.

9. Prepare-se para habilitar o serviço Azure Arc, local personalizado, no cluster Arc, obtendo a ID do objeto de local personalizado e salvando-a como a variável de ambiente, OBJECT_ID. Você deve fazer login no CLI do Azure com uma conta de usuário Microsoft Entra, não um principal de serviço, para executar o comando com sucesso. Execute o comando seguir exatamente como escrito, sem alterar o valor do GUID.

   export OBJECT_ID=$(az ad sp show --id bc313c14-388c-4e7d-a58e-70017303ee3b --query id -o tsv)
   

   Observação

   Se você receber o erro: "Não é possível buscar oid do aplicativo 'custom-locations'. Continuar sem habilitar o recurso. Privilégios insuficientes para concluir a operação, então você pode estar usando uma entidade de serviço que não tem as permissões necessárias para recuperar a ID do objeto do local personalizado. Faça login no CLI do Azure com uma conta de usuário Microsoft Entra que atenda aos pré-requisitos. Para obter mais informações, consulte Criar e gerenciar locais personalizados.

10. Use o comando az connectedk8s enable-features para habilitar o recurso de localização personalizado em seu cluster Arc. Esse comando usa a variável de ambiente OBJECT_ID que você salvou na etapa anterior para definir o valor do parâmetro custom-locations-oid. Execute este comando no computador em que você implantou o cluster do Kubernetes:

    az connectedk8s enable-features -n $CLUSTER_NAME -g $RESOURCE_GROUP --custom-locations-oid $OBJECT_ID --features cluster-connect custom-locations
    

11. Reinicie o K3s.

    systemctl restart k3s
    

Edge Essentials do Serviço de Kubernetes do Azure é uma implementação do Kubernetes local de AKS (Serviço de Kubernetes do Azure) que automatiza a execução de aplicativos em contêineres em escala. O AKS Edge Essentials inclui uma plataforma Kubernetes com suporte da Microsoft que inclui uma distribuição leve do Kubernetes com um pequeno volume e uma experiência de instalação simples que dá suporte a hardware de borda "leve" ou de classe PC.

O scriptAksEdgeQuickStartForAio.ps1 automatiza a criação e conexão de um cluster, sendo o caminho recomendado para implantar Operações do Azure IoT em AKS Edge Essentials.

Para obter instruções sobre como executar o script, consulte Configurar um cluster AKS Edge Essentials para Operações do Azure IoT.

• Para obter instruções para criar e habilitar um cluster do AKS no Azure Local, consulte Criar clusters Kubernetes usando o CLI do Azure.
• Para obter instruções para implantar um cluster do AKS em Azure Local com a identidade da carga de trabalho (versão prévia) habilitada para segurança aprimorada, consulte Deploy e configure a identidade da carga de trabalho em um cluster do AKS. Você só pode ativar o recurso de identidade de carga de trabalho durante a criação do cluster. Executar Operações do Azure IoT com configurações seguras requer a identidade da carga de trabalho.

Por padrão, um cluster Kubernetes inclui um pool de nós que pode rodar containers Linux. Se você adicionar mais pools de nós após a criação, certifique-se de definir o sistema operacional como Linux. Operações do Azure IoT não dá suporte à implantação em nodos Windows.

Depois de ter um cluster Kubernetes habilitado para Azure Arc, você pode implantar o Operações do Azure IoT.

Para preparar um cluster de carga de trabalho VKS, você precisa de um cluster de carga de trabalho VKS de nó único ou com vários nós.

Atualizar configurações de admissão de segurança de pod

Antes de implantar o Operações do Azure IoT, atualize as configurações de Admissão de Segurança do Pod no seu cluster VKS. Ao aplicar este arquivo, são criados previamente os rótulos do namespace e a segurança de pod é definida como privileged.

kubectl apply -f https://raw.githubusercontent.com/Azure-Samples/explore-iot-operations/main/samples/tanzu-config/psa.yaml

Habilite seu cluster VKS no Azure Arc

Conecte seu cluster ao Azure Arc para que você possa gerenciá-lo remotamente.

1. Na máquina onde você implantou o cluster Kubernetes, faça login no CLI do Azure com sua conta de usuário Microsoft Entra que possui os papéis necessários para a assinatura do Azure:

   az login
   

2. Depois que você faz login, a CLI do Azure mostra todas as suas assinaturas e indica sua assinatura padrão com um asterisco*. Para continuar com sua assinatura padrão, selecione Enter. Caso contrário, digite o número da assinatura Azure que você deseja usar.

3. Registre os provedores de recursos necessários em sua assinatura.

   Observação

   Você precisa executar essa etapa apenas uma vez por assinatura. Para registrar provedores de recursos, você precisa de permissão para executar a operação /register/action, incluída nas funções de Colaborador e Proprietário da assinatura. Para obter mais informações, consulte provedores de recursos e tipos do Azure.

   az provider register -n "Microsoft.ExtendedLocation"
   az provider register -n "Microsoft.Kubernetes"
   az provider register -n "Microsoft.KubernetesConfiguration"
   az provider register -n "Microsoft.IoTOperations"
   az provider register -n "Microsoft.DeviceRegistry"
   az provider register -n "Microsoft.SecretSyncController"
   

4. Use o comando az connectedk8s connect para habilitar o cluster do Kubernetes e gerenciá-lo como parte do grupo de recursos Azure.

   az connectedk8s connect --name $CLUSTER_NAME -l $LOCATION --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --enable-oidc-issuer --enable-workload-identity --disable-auto-upgrade
   

   Para evitar atualizações não planejadas para Azure Arc e as extensões do sistema Arc que Operações do Azure IoT usa como dependências, esse comando desabilita a autoupgrade. Em vez disso, atualize manualmente os agentes conforme necessário.

   Importante

   Se o ambiente usar um servidor proxy ou um Gateway de Azure Arc, modifique o comando az connectedk8s connect com suas informações de proxy:

   1. Siga as instruções em Conecte-se usando um servidor proxy de saída ou Adicione clusters Kubernetes ao Azure Arc com o Azure Arc Gateway.
   2. Adicione 169.254.169.254 ao parâmetro --proxy-skip-range do comando az connectedk8s connect. O Registro de Dispositivo do Azure usa esse ponto de extremidade local para obter tokens de acesso para autorização.

   Operações do Azure IoT não dá suporte a servidores proxy que exigem um certificado confiável.

5. Configure a identidade da carga de trabalho no seu cluster VKS. Para instruções, veja Implantar e configurar identidade da carga de trabalho em um cluster AKS. Executar Operações do Azure IoT com configurações seguras requer a identidade da carga de trabalho.

6. Prepare-se para habilitar o serviço Azure Arc, local personalizado, no cluster Arc, obtendo a ID do objeto de local personalizado e salvando-a como a variável de ambiente, OBJECT_ID. Você deve fazer login no CLI do Azure com uma conta de usuário Microsoft Entra, não um principal de serviço, para executar o comando com sucesso. Execute o comando seguir exatamente como escrito, sem alterar o valor do GUID.

   export OBJECT_ID=$(az ad sp show --id bc313c14-388c-4e7d-a58e-70017303ee3b --query id -o tsv)
   

   Observação

   Se você receber o erro: "Não é possível buscar oid do aplicativo 'custom-locations'. Continuar sem habilitar o recurso. Privilégios insuficientes para concluir a operação, então você pode estar usando uma entidade de serviço que não tem as permissões necessárias para recuperar a ID do objeto do local personalizado. Faça login no CLI do Azure com uma conta de usuário Microsoft Entra que atenda aos pré-requisitos. Para obter mais informações, consulte Criar e gerenciar locais personalizados.

7. Use o comando az connectedk8s enable-features para habilitar o recurso de localização personalizado em seu cluster Arc. Esse comando usa a variável de ambiente OBJECT_ID salva da etapa anterior para definir o valor do parâmetro custom-locations-oid. Execute este comando no computador em que você implantou o cluster do Kubernetes:

   az connectedk8s enable-features -n $CLUSTER_NAME -g $RESOURCE_GROUP --custom-locations-oid $OBJECT_ID --features cluster-connect custom-locations