Tutorial: Adicionar um pool de nós do Azure Linux com o OS Guard (versão prévia) a um cluster existente do AKS (Serviço de Kubernetes do Azure)

No AKS, os nós com a mesma configuração são agrupados em pools de nós. Cada pool de nós contém as VMs (máquinas virtuais) que executam seus aplicativos. No tutorial anterior, você criou um cluster do Azure Linux com proteção de SO com um só pool de nós. Para atender aos diferentes requisitos de computação, armazenamento ou segurança de seus aplicativos, você pode adicionar pools de nós de usuário.

Neste tutorial, parte dois de cinco, você aprenderá a:

Os comandos neste tutorial usam as variáveis de ambiente definidas em Tutorial 1: criar um cluster com Azure Linux com o OS Guard para AKS.

Em tutoriais posteriores, você aprenderá a migrar nós para o Linux do Azure com o OS Guard e habilitar a telemetria para monitorar seus clusters.

Pré-requisitos

• No tutorial anterior, você criou e implantou um Azure Linux com o cluster do OS Guard. Se você ainda não concluiu essas etapas e deseja acompanhar, confira o Tutorial 1: Criar um cluster com o Azure Linux com o OS Guard para AKS.
• Você precisa instalar a versão mais recente da CLI do Azure. Use o az version comando para localizar a versão. Para atualizar para a versão mais recente, use o az upgrade comando.

Azure Linux com considerações e limitações sobre o OS Guard

Antes de começar, examine as seguintes considerações e limitações para o Azure Linux com o OS Guard (versão prévia):

• O Kubernetes versão 1.32.0 ou superior é necessário para o Linux do Azure com o SO Guard.
• Todas as imagens do Azure Linux com proteção de SO têm o padrão FIPS e o Início Confiável habilitados.
• Os modelos do ARM e a CLI do Azure são os únicos métodos de implantação com suporte para o Azure Linux com proteção de SO no AKS na versão prévia. Não há suporte para o PowerShell e o Terraform.
• Não há suporte para imagens do Arm64 no Azure Linux com proteção de SO no AKS na versão prévia.
• NodeImage e None são os únicos canais de atualização do sistema operacional (SO) com suporte para o Azure Linux com OS Guard no AKS. Unmanaged e SecurityPatch são incompatíveis com o Azure Linux com o OS Guard devido ao diretório /usr imutável.
• O suporte para Streaming de Artefatos não está disponível.
• Não há suporte para o Pod Sandboxing.
• Não há suporte para CVMs (Máquinas Virtuais Confidenciais).
• Não há suporte para VMs (máquinas virtuais) de geração 1.

Adicionar um pool de nós Azure Linux com proteção do OS Guard

Adicione um Azure Linux com o pool de nós do OS Guard ao cluster existente usando o az aks nodepool add comando e especifique --os-sku AzureLinuxOSGuard. Habilitar FIPS, secure boot e vtpm também é necessário para usar Azure Linux com o SO Guard. O exemplo a seguir cria um pool de nós chamado osgNodePool que adiciona três nós ao cluster:

az aks nodepool add \
    --resource-group $RESOURCE_GROUP \
    --cluster-name $CLUSTER_NAME \
    --name osgNodePool \
    --node-count 3 \
    --os-sku AzureLinuxOSGuard
    --node-osdisk-type Managed 
    --enable-fips-image 
    --enable-secure-boot 
    --enable-vtpm

Exemplo de saída:

{
  "agentPoolType": "VirtualMachineScaleSets",
  "count": 3,
  "name": "osgNodePool",
  "osType": "Linux",
  "provisioningState": "Succeeded",
  "resourceGroup": "testAzureLinuxOSGuardResourceGroupxxxxx",
  "type": "Microsoft.ContainerService/managedClusters/agentPools"
}

Verificar o status do pool de nós

Verifique o status dos pools de nós usando o az aks nodepool list comando.

az aks nodepool list --resource-group $RESOURCE_GROUP --cluster-name $CLUSTER_NAME

Exemplo de saída:

[
  {
    "agentPoolType": "VirtualMachineScaleSets",
    "availabilityZones": null,
    "count": 3,
    "enableAutoScaling": false,
    "enableEncryptionAtHost": false,
    "enableFips": false,
    "enableNodePublicIp": false,
    "id": "/subscriptions/REDACTED/resourcegroups/myAKSResourceGroupxxxxx/providers/Microsoft.ContainerService/managedClusters/myAKSClusterxxxxx/agentPools/npxxxxxx",
    "maxPods": 110,
    "mode": "User",
    "name": "npxxxxxx",
    "nodeImageVersion": "AzureLinuxContainerHost-2025.10.03",
    "orchestratorVersion": "1.32.6",
    "osDiskSizeGb": 128,
    "osDiskType": "Managed",
    "osSku": "AzureLinux",
    "osType": "Linux",
    "powerState": {
      "code": "Running"
    },
    "provisioningState": "Succeeded",
    "resourceGroup": "myAKSResourceGroupxxxxx",
    "type": "Microsoft.ContainerService/managedClusters/agentPools",
    "vmSize": "Standard_DS2_v2"
  },
  {
    "agentPoolType": "VirtualMachineScaleSets",
    "availabilityZones": null,
    "count": 3,
    "enableAutoScaling": false,
    "enableEncryptionAtHost": false,
    "enableFips": false,
    "enableNodePublicIp": false,
    "id": "/subscriptions/REDACTED/resourcegroups/myAKSResourceGroupxxxxx/providers/Microsoft.ContainerService/managedClusters/myAKSClusterxxxxx/agentPools/npxxxxxx",
    "maxPods": 110,
    "mode": "User",
    "name": "npxxxxxx",
    "nodeImageVersion": "AzureLinuxOSGuard-2025.10.03",
    "orchestratorVersion": "1.32.6",
    "osDiskSizeGb": 128,
    "osDiskType": "Managed",
    "osSku": "AzureLinuxOSGuard",
    "osType": "Linux",
    "powerState": {
      "code": "Running"
    },
    "provisioningState": "Succeeded",
    "resourceGroup": "myAKSResourceGroupxxxxx",
    "type": "Microsoft.ContainerService/managedClusters/agentPools",
    "vmSize": "Standard_DS2_v2"
  }
]

Próxima etapa

Neste tutorial, você adicionou um Azure Linux com o pool de nós do OS Guard ao cluster existente. No próximo tutorial, você aprenderá a migrar nós existentes para o Linux do Azure com o OS Guard.