Usar um balanceador de carga interno com o AKS (Serviço de Kubernetes do Azure)

Crie e use um balanceador de carga interno para restringir o acesso aos seus aplicativos no AKS (Serviço de Kubernetes do Azure). Um balanceador de carga interno não tem um IP público e torna um serviço do Kubernetes acessível somente a aplicativos que podem alcançar o IP privado. Esses aplicativos podem estar na mesma rede virtual ou em outra rede virtual por meio do emparelhamento de rede virtual. Este artigo mostra como criar e usar um balanceador de carga interno com o AKS.

Antes de começar

• Este artigo considera que já existe um cluster do AKS. Se você precisar de um cluster do AKS, crie um usando a CLI do Azure, o Azure PowerShell ou o portal do Azure.
• Você precisa da CLI do Azure versão 2.0.59 ou posterior. Execute az --version para encontrar a versão. Se você precisa instalar ou atualizar, consulte Instalar a CLI do Azure.
• Caso você deseje usar uma sub-rede ou um grupo de recursos existente, a identidade do cluster do AKS também precisa ter permissão para gerenciar os recursos de rede. Para obter informações, consulte Configurar a rede CNI do Azure no AKS. Se você estiver configurando o balanceador de carga para usar um endereço IP em uma sub-rede diferente, verifique se a identidade do cluster do AKS também tem Read acesso a essa sub-rede.
  • Para obter mais informações sobre permissões, confira Delegar acesso do AKS a outros recursos do Azure.

Criar um balanceador de carga interno

1. Crie um manifesto de serviço denominado internal-lb.yaml com o tipo de serviço LoadBalancer e a anotação azure-load-balancer-internal.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Implantar o balanceador de carga interno usando o comando kubectl apply. Esse comando cria um balanceador de carga do Azure no grupo de recursos de nó conectado à mesma rede virtual que seu cluster do AKS.

   kubectl apply -f internal-lb.yaml
   

3. Exibir os detalhes do serviço usando o comando kubectl get service.

   kubectl get service internal-app
   

   O endereço de IP do balanceador de carga interno é mostrado na coluna EXTERNAL-IP, conforme mostrado na saída do exemplo a seguir. Nesse contexto, External refere-se à interface externa do balanceador de carga. Isso não significa que ele receba um endereço IP público externo. Esse endereço IP é atribuído dinamicamente da mesma sub-rede que o cluster do AKS.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.0.248.59   10.240.0.7    80:30555/TCP   2m
   

Especificar um endereço IP

Quando você especifica um endereço IP para o balanceador de carga, o endereço IP deve estar disponível na sub-rede usada pelo balanceador de carga. Por padrão, o balanceador de carga usa a mesma sub-rede que o cluster do AKS. Não use um endereço IP reservado Azure, um endereço IP já atribuído a outro recurso ou um endereço IP do CIDR do serviço Kubernetes.

Use o comando az network vnet subnet list da CLI do Azure ou o cmdlet Get-AzVirtualNetworkSubnetConfig do PowerShell para obter as sub-redes da sua rede virtual.

Para obter mais informações sobre as sub-redes, confira Adicionar um pool de nós com uma sub-rede exclusiva.

Se você quiser usar um endereço de IP específico com o balanceador de carga, há duas opções: definir anotações de serviço ou adicionar a propriedade LoadBalancerIP ao manifesto YAML do balanceador de carga.

Para obter mais informações sobre como configurar o balanceador de carga em uma sub-rede diferente, confira Especificar uma sub-rede diferente.

Conectar Link Privado do Azure Service a um balanceador de carga interno do AKS

Requisitos do serviço Link Privado

• Seu cluster deve executar uma versão do Kubernetes com suporte no AKS.
• Seu cluster AKS deve utilizar um Load Balancer Padrão com o tipo de pool de back-end nodeIPConfiguration. O Link Privado Service não oferece suporte ao Balanceador de Carga Básico nem ao tipo de pool de back-end baseado em IP nodeIP. Para obter mais informações, consulte limitações do Link Privado Service.
• Você precisa de um grupo de recursos existente com uma rede virtual e uma sub-rede. Esse grupo de recursos é o local em que você deve criar o ponto de extremidade privado. Se você não tiver esses recursos, confira Criar uma rede virtual e uma sub-rede.

Criar uma conexão de serviço Link Privado

1. Crie um manifesto de serviço denominado internal-lb-pls.yaml com o tipo de serviço LoadBalancer e as anotações azure-load-balancer-internal e azure-pls-create. Para conhecer mais opções, veja o documento de design da Integração do Serviço de Link Privado do Azure.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
       service.beta.kubernetes.io/azure-pls-create: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Implantar o balanceador de carga interno usando o comando kubectl apply. Esse comando cria um balanceador de carga do Azure no grupo de recursos de nó conectado à mesma rede virtual que seu cluster do AKS. Ele também cria um objeto Link Privado Service que se conecta à configuração de IP de front-end do balanceador de carga interno associado ao objeto de serviço kubernetes.

   kubectl apply -f internal-lb-pls.yaml
   

3. Exibir os detalhes do serviço usando o comando kubectl get service.

   kubectl get service internal-app
   

   O endereço de IP do balanceador de carga interno é mostrado na coluna EXTERNAL-IP, conforme mostrado na saída do exemplo a seguir. Nesse contexto, External refere-se à interface externa do balanceador de carga. Isso não significa que ele receba um endereço IP público externo.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.125.17.53  10.125.0.66   80:30430/TCP   64m
   

4. Exiba os detalhes do objeto Serviço de Link Privado usando o comando az network private-link-service list.

   # Create a variable for the node resource group
   
   AKS_MC_RG=$(az aks show -g myResourceGroup --name myAKSCluster --query nodeResourceGroup -o tsv)
   
   # View the details of the Private Link Service object
   
   az network private-link-service list -g $AKS_MC_RG --query "[].{Name:name,Alias:alias}" -o table
   

   Seu resultado deve ser semelhante ao seguinte exemplo de saída:

   Name      Alias
   --------  -------------------------------------------------------------------------
   pls-xyz   pls-xyz.abc123-defg-4hij-56kl-789mnop.eastus2.azure.privatelinkservice
   

Criar um endpoint privado para o Serviço Link Privado

Um ponto de extremidade privado permite que você se conecte de modo particular ao objeto de serviço do Kubernetes por meio do Serviço de Link Privado criado.

Criar o ponto de extremidade privado usando o comando az network private-endpoint create. Substitua pls-xyz pelo nome do serviço Link Privado retornado na etapa anterior.

Defina --resource-group para o grupo de recursos de destino no qual você deseja criar o ponto de extremidade privado. Defina --vnet-name e --subnet para a rede virtual e a sub-rede que contêm o ponto de extremidade privado. Defina --private-connection-resource-id como o ID do recurso Link Privado Service recuperado em AKS_PLS_ID.

# Create variables for the Private Link Service

AKS_PLS_NAME=pls-xyz
AKS_PLS_ID=$(az network private-link-service show -g $AKS_MC_RG --name $AKS_PLS_NAME --query id -o tsv)

# Create the private endpoint

az network private-endpoint create \
    -g myOtherResourceGroup \
    --name myAKSServicePE \
    --vnet-name myOtherVNET \
    --subnet pe-subnet \
    --private-connection-resource-id $AKS_PLS_ID \
    --connection-name connectToMyK8sService

personalizações do serviço Link Privado por meio de anotações

Você pode usar as seguintes anotações para personalizar o recurso PLS:

Usar um balanceador de carga interno com redes privadas

Quando você cria seu cluster do AKS, é possível especificar as configurações de rede avançadas. Essas configurações permitem implantar o cluster em uma rede virtual e nas sub-redes existentes do Azure. Por exemplo, você pode implantar o cluster do AKS em uma rede privada conectada ao ambiente local e executar serviços acessíveis apenas internamente.

Para obter mais informações, confira Configurar suas sub-redes de rede virtual com o kubenet ou com a CNI do Azure.

Não é necessário realizar nenhuma alteração nas etapas anteriores para implantar um balanceador de carga interno que usa uma rede privada em um cluster do AKS. O balanceador de carga é criado no grupo de recursos dos nós do seu cluster do AKS e conectado à sua rede virtual privada e à sua sub-rede, conforme mostrado no exemplo a seguir:

kubectl get service internal-app

NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
internal-app   LoadBalancer   10.1.15.188   10.0.0.35     80:31669/TCP   1m

Especificar uma sub-rede diferente

Adicione a anotação azure-load-balancer-internal-subnet ao seu serviço para especificar uma sub-rede para seu balanceador de carga. A sub-rede especificada deve estar na mesma rede virtual que seu cluster do AKS. Quando implantado, o endereço do balanceador de carga EXTERNAL-IP faz parte da sub-rede especificada.

apiVersion: v1
kind: Service
metadata:
  name: internal-app
  annotations:
    service.beta.kubernetes.io/azure-load-balancer-internal: "true"
    service.beta.kubernetes.io/azure-load-balancer-internal-subnet: "apps-subnet"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: internal-app

Defina o valor da anotação service.beta.kubernetes.io/azure-load-balancer-internal-subnet como a string do nome da sub-rede, como "apps-subnet".

Excluir o balanceador de carga

O balanceador de carga é excluído quando você exclui todos os serviços do Kubernetes.

Assim como qualquer recurso do Kubernetes, você pode excluir diretamente um serviço, como kubectl delete service internal-app, o que também exclui o balanceador de carga subjacente do Azure.

Próximas etapas

Para saber mais sobre os serviços do Kubernetes, confira a Documentação dos serviços do Kubernetes.