Usar um balanceador de carga interno com o Serviço Kubernetes do Azure (AKS)

Você pode criar e usar um balanceador de carga interno para restringir o acesso aos seus aplicativos no Serviço Kubernetes do Azure (AKS). Um balanceador de carga interno não tem um IP público e torna um serviço Kubernetes acessível apenas para aplicativos que podem alcançar o IP privado. Estas aplicações podem estar dentro da mesma rede virtual ou noutra rede virtual através do peering de rede virtual. Este artigo mostra como criar e usar um balanceador de carga interno com o AKS.

Antes de começar

• Este artigo pressupõe que você tenha um cluster AKS existente. Se precisar de um cluster AKS, você pode criar um usando a CLI do Azure, o Azure PowerShell ou o portal do Azure.
• Você precisa da CLI do Azure versão 2.0.59 ou posterior. Executar az --version para localizar a versão. Se precisar de instalar ou atualizar, veja Install CLI do Azure (Instalar o CLI do Azure).
• Se você quiser usar uma sub-rede ou grupo de recursos existente, a identidade do cluster AKS precisa de permissão para gerenciar recursos de rede. Para obter informações, consulte Configurar a rede CNI do Azure no AKS. Se estiveres a configurar o teu balanceador de carga para usar um endereço IP numa sub-rede diferente, certifica-te de que a identidade do cluster AKS também tem Read acesso a essa sub-rede.
  • Para obter mais informações sobre permissões, consulte Delegar acesso AKS a outros recursos do Azure.

Criar um balanceador de carga interno

1. Crie um manifesto de serviço com o nome internal-lb.yaml com o tipo de serviço LoadBalancer e a anotação azure-load-balancer-internal.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Implante o balanceador de carga interno usando o kubectl apply comando. Este comando cria um balanceador de carga do Azure no grupo de recursos dos nós ligado à mesma rede virtual que o cluster AKS.

   kubectl apply -f internal-lb.yaml
   

3. Exiba os detalhes do serviço usando o kubectl get service comando.

   kubectl get service internal-app
   

   O endereço IP do balanceador de carga interno é mostrado na EXTERNAL-IP coluna, conforme mostrado na saída do exemplo a seguir. Neste contexto, External refere-se à interface externa do balanceador de carga. Isso não significa que ele recebe um endereço IP público e externo. Este endereço IP é atribuído dinamicamente a partir da mesma sub-rede que o cluster AKS.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.0.248.59   10.240.0.7    80:30555/TCP   2m
   

Especificar um endereço IP

Quando especifica um endereço IP para o balanceador de carga, o endereço IP deve estar disponível dentro da sub-rede usada pelo balanceador de carga. Por defeito, o balanceador de carga usa a mesma sub-rede do cluster AKS. Não use um endereço IP reservado no Azure, um endereço IP já atribuído a outro recurso, ou um endereço IP do CIDR do serviço Kubernetes.

Você pode usar o az network vnet subnet list comando da CLI do Azure ou o Get-AzVirtualNetworkSubnetConfig cmdlet do PowerShell para obter as sub-redes em sua rede virtual.

Para obter mais informações sobre sub-redes, consulte Adicionar um pool de nós com uma sub-rede única.

Se quiser usar um endereço IP específico com o balanceador de carga, você tem duas opções: definir anotações de serviço ou adicionar a propriedade LoadBalancerIP ao manifesto YAML do balanceador de carga.

Para obter mais informações sobre como configurar seu balanceador de carga em uma sub-rede diferente, consulte Especificar uma sub-rede diferente.

Ligue o Azure Private Link Service a um balanceador de carga interno do AKS

Requisitos do Private Link Service

• O seu cluster deve correr uma versão Kubernetes suportada no AKS.
• O seu cluster AKS deve usar um Balanceador de Carga Standard com o nodeIPConfiguration tipo de pool backend. O Private Link Service não suporta o Basic Balanceador de Carga nem o tipo de pool backend baseado nodeIP em IP. Para mais informações, consulte limitações do Private Link Service.
• Precisas de um grupo de recursos existente com uma rede virtual e sub-rede. Este grupo de recursos é onde se cria o endpoint privado. Se você não tiver esses recursos, consulte Criar uma rede virtual e uma sub-rede.

Criar uma ligação ao Private Link Service

1. Crie um manifesto de serviço nomeado internal-lb-pls.yaml com o tipo de serviço LoadBalancer e com as anotações azure-load-balancer-internal e azure-pls-create. Para obter mais opções, consulte o documento de projeto da Integração do Serviço de Link Privado do Azure.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
       service.beta.kubernetes.io/azure-pls-create: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Implante o balanceador de carga interno usando o kubectl apply comando. Este comando cria um balanceador de carga do Azure no grupo de recursos dos nós ligado à mesma rede virtual que o cluster AKS. Também cria um objeto Private Link Service que se liga à configuração IP frontend do balanceador de carga interno associado ao objeto de serviço Kubernetes.

   kubectl apply -f internal-lb-pls.yaml
   

3. Exiba os detalhes do serviço usando o kubectl get service comando.

   kubectl get service internal-app
   

   O endereço IP do balanceador de carga interno é mostrado na EXTERNAL-IP coluna, conforme mostrado na saída do exemplo a seguir. Neste contexto, External refere-se à interface externa do balanceador de carga. Isso não significa que ele recebe um endereço IP público e externo.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.125.17.53  10.125.0.66   80:30430/TCP   64m
   

4. Exiba os detalhes do objeto Private Link Service usando o az network private-link-service list comando.

   # Create a variable for the node resource group
   
   AKS_MC_RG=$(az aks show -g myResourceGroup --name myAKSCluster --query nodeResourceGroup -o tsv)
   
   # View the details of the Private Link Service object
   
   az network private-link-service list -g $AKS_MC_RG --query "[].{Name:name,Alias:alias}" -o table
   

   Sua saída deve ser semelhante à saída de exemplo a seguir:

   Name      Alias
   --------  -------------------------------------------------------------------------
   pls-xyz   pls-xyz.abc123-defg-4hij-56kl-789mnop.eastus2.azure.privatelinkservice
   

Criar um endpoint privado para o Private Link Service

Um Ponto Final Privado permite que você se conecte de forma privada ao seu objeto de serviço Kubernetes por meio do Serviço de Link Privado que você criou.

Crie o ponto de extremidade privado usando o az network private-endpoint create comando. Substitua pls-xyz pelo nome Private Link Service devolvido no passo anterior.

Define --resource-group para o grupo de recursos alvo onde queres criar o endpoint privado. Definir --vnet-name e --subnet para a rede virtual e sub-rede que contêm o endpoint privado. Definir --private-connection-resource-id para o ID de recurso do Private Link Service recuperado em AKS_PLS_ID.

# Create variables for the Private Link Service

AKS_PLS_NAME=pls-xyz
AKS_PLS_ID=$(az network private-link-service show -g $AKS_MC_RG --name $AKS_PLS_NAME --query id -o tsv)

# Create the private endpoint

az network private-endpoint create \
    -g myOtherResourceGroup \
    --name myAKSServicePE \
    --vnet-name myOtherVNET \
    --subnet pe-subnet \
    --private-connection-resource-id $AKS_PLS_ID \
    --connection-name connectToMyK8sService

Personalizações do Private Link Service através de anotações

Você pode usar as seguintes anotações para personalizar o recurso PLS:

Use um balanceador de carga interno com redes privadas

Ao criar seu cluster AKS, você pode especificar configurações avançadas de rede. Essas configurações permitem que você implante o cluster em uma rede virtual e sub-redes existentes do Azure. Por exemplo, você pode implantar seu cluster AKS em uma rede privada conectada ao seu ambiente local e executar serviços que só são acessíveis internamente.

Para obter mais informações, consulte Configurar suas próprias sub-redes de rede virtual com Kubenet ou com o Azure CNI.

Não é necessário fazer alterações nas etapas anteriores para implantar um balanceador de carga interno que usa uma rede privada em um cluster AKS. O balanceador de carga é criado no grupo de recursos de nós do seu cluster AKS e ligado à sua rede virtual privada e sub-rede, como mostrado no exemplo seguinte:

kubectl get service internal-app

NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
internal-app   LoadBalancer   10.1.15.188   10.0.0.35     80:31669/TCP   1m

Especificar uma sub-rede diferente

Adicione a azure-load-balancer-internal-subnet anotação ao seu serviço para especificar uma sub-rede para o seu balanceador de carga. A sub-rede especificada deve estar na mesma rede virtual que o cluster AKS. Quando implantado, o endereço do balanceador EXTERNAL-IP de carga faz parte da sub-rede especificada.

apiVersion: v1
kind: Service
metadata:
  name: internal-app
  annotations:
    service.beta.kubernetes.io/azure-load-balancer-internal: "true"
    service.beta.kubernetes.io/azure-load-balancer-internal-subnet: "apps-subnet"
spec:
  type: LoadBalancer
  ports:
  - port: 80
  selector:
    app: internal-app

Defina o valor da anotação service.beta.kubernetes.io/azure-load-balancer-internal-subnet como a cadeia de caracteres com o nome da sub-rede, como "apps-subnet".

Eliminar o balanceador de carga

O balanceador de carga é eliminado quando eliminas todos os seus serviços Kubernetes.

Tal como acontece com qualquer recurso do Kubernetes, pode excluir diretamente um serviço, como kubectl delete service internal-app, que também exclui o balanceador de carga subjacente do Azure.

Próximos passos

Para saber mais sobre os serviços do Kubernetes, consulte a documentação dos serviços do Kubernetes.