Supportprinciper för Azure Kubernetes Service

Den här artikeln beskriver tekniska supportprinciper och begränsningar för Azure Kubernetes Service (AKS). Den innehåller även information om hantering av agentnoder, komponenter för hanterade kontrollplan, icke-Microsoft komponenter med öppen källkod samt säkerhets- eller korrigeringshantering.

Tjänstuppdateringar och -versioner

• För releaseinformation, se AKS release notes.
• Information om förhandsversionsfunktioner finns i AKS-vägkartan.

Hanterade funktioner i AKS

AKS är en blandning av IaaS (Infrastructure as a Service) och PaaS (Platform as a Service). Grundläggande IaaS-molnkomponenter, till exempel beräknings- eller nätverkskomponenter, ger åtkomst till kontroller på låg nivå och anpassningsalternativ. AKS tillhandahåller däremot en nyckelfärdig Kubernetes-distribution som ger dig en gemensam uppsättning konfigurationer och funktioner som du behöver för klustret. Som AKS-användare har du begränsade anpassnings- och distributionsalternativ och hanterar inte Kubernetes-kluster direkt.

Med AKS får du ett fullständigt hanterat kontrollplan. Kontrollplanet innehåller alla komponenter och tjänster som du behöver för att använda och leverera Kubernetes-kluster till slutanvändare. Microsoft underhåller och driver alla Kubernetes-komponenter.

Microsoft hanterar och övervakar följande komponenter via kontrollplanet:

• Kubernetes API-servern och kubelet.
• etcd eller ett kompatibelt nyckelvärdeslager som tillhandahåller tjänstekvalitet (QoS), skalbarhet och körmiljö.
• DNS-tjänster som CoreDNS.
• kube-proxy och klusternätverk, förutom när BYOCNI används.
• Andra tillägg eller systemkomponenter som körs i kube-system-namnområdet.

Vissa komponenter, till exempel agentnoder, har delat ansvar, där du måste hjälpa till att underhålla AKS-klustret. Användarindata krävs, till exempel för att tillämpa en säkerhetskorrigering för agentnodens operativsystem (OS).

Tjänsterna är hanterade i den meningen att Microsoft och AKS-teamet distribuerar, driver och ansvarar för tjänstens tillgänglighet och funktioner. Kunder kan inte ändra dessa hanterade komponenter. Microsoft begränsar anpassningen för att säkerställa en konsekvent och skalbar användarupplevelse.

Delat ansvar

När du skapar ett kluster definierar du kubernetes-agentnoderna som AKS skapar. Dina arbetsbelastningar körs på dessa noder. Tänk på följande begränsningar för agentnoder:

• Microsoft Support har begränsad åtkomst. Eftersom dina agentnoder kör privat kod och lagrar känsliga data kan Microsoft Support inte logga in på, köra kommandon på eller visa loggar för dessa noder utan din uttryckliga behörighet eller hjälp.
• Använd Kubernetes-inbyggda mekanismer för ändringar. Ändringar som görs direkt i agentnoderna via IaaS-API:erna gör att klustret inte stöds. Tillämpa ändringar med hjälp av Kubernetes-inbyggda mekanismer som en DaemonSet.
• Ändra inte systemskapade metadata. Du kan lägga till metadata som taggar och etiketter, men om du ändrar metadata som skapats av systemet stöds klustret inte längre.

Ansvarsfördelning

Följande matris sammanfattar supportansvaret i ett AKS-kluster och kontrasterar AKS med självhanterade Kubernetes som du kör lokalt. I AKS hanterar Microsoft kontrollplanet och kärnplattformen. Du hanterar nodkonfiguration, arbetsbelastningar, nätverkskonfiguration och data. Delade områden är där Microsoft tillhandahåller och underhåller en funktion och du aktiverar, konfigurerar eller schemalägger den. Använd matrisen som en snabbguide och se sedan de detaljerade avsnitten som följer för supportinformation.

Använd följande nyckel för att läsa matrisen:

För de delade områdena i följande matris visar tabellen vad Microsoft tillhandahåller och vad du ansvarar för:

AKS-supporttäckning

I följande avsnitt beskrivs de scenarier som stöds och som inte stöds för teknisk AKS-support.

Scenarier som stöds

Microsoft tillhandahåller teknisk support för följande exempel:

Alla klusteråtgärder som vidtas av Microsoft eller AKS görs med ditt medgivande under en inbyggd Kubernetes-roll aks-service och inbyggd rollbindning aks-service-rolebinding, som binder rollen till den Microsoft Support tjänstidentiteten aks-support . Den här rollen gör det möjligt för AKS att felsöka och diagnostisera klusterproblem, men det kan inte ändra behörigheter eller skapa roller eller rollbindningar eller utföra andra åtgärder med hög behörighet. Rollåtkomst aktiveras endast under aktiva supportärenden med just-in-time-åtkomst (JIT).

Scenarier som inte stöds

Microsoft tillhandahåller inte teknisk support för följande scenarier.

Vissa av dessa scenarier har mer nyanser om vad Microsoft fortfarande kan hjälpa till med. Mer information finns i Information om scenarier som inte stöds.

Information om scenarier som inte stöds

Flera scenarier som inte stöds har lagt till nyanser om vad Microsoft fortfarande kan hjälpa till med:

• Så här använder du Kubernetes. Microsoft Support ger inte råd om hur du skapar anpassade ingresskontrollanter, använder programarbetsbelastningar eller tillämpar icke-Microsoft eller programvarupaket eller verktyg med öppen källkod. Microsoft Support kan ge råd om AKS-klusterfunktioner, anpassning och justering (till exempel problem och procedurer för Kubernetes-åtgärder).
• Icke-Microsoft projekt med öppen källkod. Dessa projekt tillhandahålls inte som en del av Kubernetes-kontrollplanet eller distribueras med AKS-kluster, och kan innehålla Istio, Helm, Envoy eller andra. Microsoft kan ge bästa möjliga stöd för projekt som Helm. Om verktyget integreras med Kubernetes Azure molnleverantör eller andra AKS-specifika buggar stöder Microsoft exempel och program från Microsoft dokumentation.
• Nätverksanpassningar. För andra anpassningar än de som anges i AKS-dokumentationen kan Microsoft Support inte konfigurera enheter eller virtuella enheter som är avsedda att tillhandahålla utgående trafik för klustret, till exempel VPN eller brandväggar. På bästa sätt kan Microsoft Support ge råd om vilken konfiguration som behövs för Azure Firewall, men inte för andra enheter som inte är Microsoft.
• Ingress-styrenheter som inte kommer från Microsoft. För kontrollanter som nginx, kong, eller traefik, omfattar detta funktionsproblem som uppstår efter AKS-specifika åtgärder, till exempel att en ingresskontrollant upphör att fungera efter en Uppgradering av Kubernetes-versionen, vilket kan bero på inkompatibiliteter mellan ingresskontrollantversionen och den nya Kubernetes-versionen. Om du vill ha ett alternativ som stöds fullt ut bör du överväga ett alternativ för Microsoft-hanterad ingresskontrollant.
• Anpassade DaemonSet-skript. Även om användning DaemonSet är den rekommenderade metoden för att finjustera, ändra eller installera icke-Microsoft programvara på agentnoder när konfigurationsfilparametrarna är otillräckliga, kan Microsoft Support inte felsöka problem som uppstår på grund av anpassade skript på grund av deras anpassade karaktär.
• Vänteläge och proaktivt stöd. Microsoft Support ger reaktivt stöd för att lösa aktiva problem. Vänteläge eller proaktivt stöd för att eliminera driftrisker, öka tillgängligheten och optimera prestanda omfattas inte. Berättigade kunder kan kontakta sitt kontoteam för att bli nominerade till Azure Event Management-tjänsten, en betaltjänst som innehåller en proaktiv riskbedömning och täckning av lösningar under evenemanget.
• CVEs som är mindre än 30 dagar gamla. Så länge du kör den uppdaterade virtuella hårddisken bör du inte ha några CVE:er för containeravbildningar med en leverantörskorrigering som är över 30 dagar gammal. Det är ditt ansvar att uppdatera den virtuella hårddisken och sedan filtrera CVE-rapporten och tillhandahålla Microsoft Support en lista över endast CVE:er med en leverantörskorrigering som är över 30 dagar gammal. Microsoft fungerar sedan internt för att hantera komponenter med en leverantörskorrigering som släpptes för mer än 30 dagar sedan. Microsoft ger CVE-relaterat stöd endast för Microsoft-hanterade komponenter, till exempel AKS-nodavbildningar och hanterade containeravbildningar som distribueras när klustret skapas eller via ett hanterat tillägg. Mer information finns i Sårbarhetshantering för Azure Kubernetes Service (AKS).
• Anpassade kodexempel. Microsoft Support kan tillhandahålla och granska små kodexempel i ett supportärende för att visa hur du använder funktioner i en Microsoft produkt, men kan inte tillhandahålla anpassade kodexempel som är specifika för din miljö eller ditt program.
• Anpassad logik för Azure Policy. Microsoft Support kan ge allmän vägledning om hur anpassade Azure Policy definitioner tillämpas och utvärderas i AKS. Detaljerad felsökning av kundhanterad principlogik (inklusive Rego-baserade principer), till exempel varför en specifik princip tillåter eller nekar en arbetsbelastning, ligger i allmänhet utanför supportens omfång.

Ta med egna CNI-stödgränser

När du driftsätter ett kluster med bring your own CNI (BYOCNI) genom att använda --network-plugin none, kan Microsoft Support inte hjälpa till med CNI-relaterade problem. Du ansvarar för CNI-plugin-livscykeln och du bör söka support från CNI-plugin-leverantören. Microsoft stöder fortfarande problem som inte är relaterade till CNI.

Mer information finns i Bring your own CNI (BYOCNI).

AKS-stödtäckning för agentnoder

I följande avsnitt beskrivs Microsoft och kundansvar för AKS-agentnoder.

I följande tabell sammanfattas ansvarsområden för agentnoder snabbt. Avsnitten som följer innehåller information.

Microsoft ansvarsområden för AKS-agentnoder

Microsoft och du delar ansvaret för Kubernetes-agentnoder där:

• Operativsystembasavbildningen har nödvändiga tillägg som övervaknings- och nätverksagenter.
• Agentnoderna tar emot OS-korrigeringar automatiskt.
• Systemet åtgärdar automatiskt problem med kubernetes-kontrollplanskomponenterna som körs på agentnoderna. Dessa komponenter innehåller följande:
  • kube-proxy
  • Nätverkstunnlar som tillhandahåller kommunikationsvägar till Kubernetes-kontrollplanet
  • kubelet
  • containerd

Om en agentnod inte fungerar kan AKS starta om enskilda komponenter eller hela agentnoden. Dessa omstartsåtgärder automatiseras och tillhandahåller automatiserad problemlösning för vanliga problem. Om du vill veta mer om mekanismerna för automatisk felavhjälpning, se Automatisk reparation av noder.

Kundansvar för AKS-agentnoder

Microsoft tillhandahåller korrigeringar och nya bilder för dina bildnoder varje vecka. Om du vill hålla agentnodens operativsystem och körningskomponenter uppdaterade bör du använda dessa korrigeringar och uppdateringar regelbundet antingen manuellt eller automatiskt. Microsoft stöder inte nodbilder som är äldre än 90 dagar. Mer information finns i:

• Uppgradera AKS-nodbilder manuellt.
• Uppgradera AKS-nodbilder automatiskt.

På samma sätt släpper AKS regelbundet nya Kubernetes-korrigeringar och mindre versioner. Dessa uppdateringar kan innehålla säkerhets- eller funktionsförbättringar för Kubernetes. Du ansvarar för att hålla klustrens' Kubernetes-version uppdaterad och enligt AKS Kubernetes-supportversionspolicyn. Använd automatisk uppgradering av kluster eller Automatiska uppgraderingsprofiler för Fleet Manager för att behålla kluster på en delversion som stöds. Om ett kluster förblir i en version som inte stöds när respitperioden för plattformsstöd upphör uppgraderar AKS det automatiskt. Mer information finns i Plattformsinitierade uppgraderingar.

Användaranpassning av agentnoder

AKS hanterar livscykeln och driften av agentnoder åt dig och det går inte att ändra de IaaS-resurser som är associerade med agentnoderna. Ett exempel på en åtgärd som inte stöds är att anpassa en vm-skalningsuppsättning för en nodpool genom att manuellt ändra konfigurationer i Azure-portalen eller från API:et.

För arbetsbelastningsspecifika konfigurationer eller paket rekommenderar AKS att du använder en Kubernetes DaemonSet.

Med privilegierade Kubernetes-DaemonSet och initcontainrar kan du justera/ändra eller installera programvara som inte kommer från Microsoft på klusteragentnoder. Exempel på sådana anpassningar är att lägga till anpassad säkerhetsgenomsökningsprogramvara eller uppdatera sysctl-inställningar.

Även om den här sökvägen rekommenderas om ovanstående krav gäller, kan AKS-supportteamet och ingenjörerna inte hjälpa till att felsöka eller diagnostisera ändringar som gör noden otillgänglig på grund av en anpassning gjord genom distribuerad DaemonSet.

Säkerhetsproblem och korrigering

Om ett säkerhetsfel hittas i en eller flera av de hanterade komponenterna i AKS korrigerar AKS-teamet alla berörda kluster för att åtgärda problemet. Alternativt kan AKS-teamet ge dig uppgraderingsvägledning.

För agentnoder som påverkas av ett säkerhetsfel meddelar Microsoft dig med information om påverkan och med steg att åtgärda eller mildra säkerhetsfrågan.

Nodunderhåll och åtkomst

Även om du kan logga in på agentnoder och ändra dem ska du inte utföra den här åtgärden. Ändringar kan göra att ett kluster inte stöds.

Nätverksportar, åtkomst och NSG:er

Du kan endast anpassa nätverkssäkerhetsgrupper (NSG:er) i anpassade undernät. I följande tabell visas var du kan anpassa NSG:er:

AKS har krav för utgående trafik för specifika slutpunkter. För att styra utgående trafik och säkerställa nödvändig anslutning, se begränsa utgående trafik. För ingress baseras kraven på de program som du distribuerar till klustret.

Noder som har stoppats, frigjorts och inte är redo

I följande tabell sammanfattas vad som händer med ett AKS-kluster i varje livscykeltillstånd och den associerade tidslinjen:

Om du inte behöver att dina AKS-arbetsbelastningar körs kontinuerligt kan du stoppa AKS-klustret, vilket stoppar alla nodpooler och kontrollplanet, och starta det igen när det behövs. Att frigöra noder manuellt med hjälp av IaaS-API:er, Azure CLI eller Azure-portalen stöds inte för att stoppa ett kluster.

AKS förbehåller sig rätten att arkivera kontrollplan som är konfigurerade utanför supportriktlinjerna under perioder på 30 dagar eller mer. AKS underhåller säkerhetskopior av klustermetadata etcd och kan omallokera klustret på alla PUT-åtgärder som ger det stöd igen, till exempel en uppgradering eller skalning till aktiva agentnoder.

Funktioner som inte stöds för Alfa och Beta Kubernetes

AKS stöder stabila och betafunktioner i det överordnade Kubernetes-projektet, men inte alfafunktioner om inget annat dokumenteras. I följande tabell sammanfattas stöd efter funktionstyp:

Förhandsgranska funktioner eller funktionsflaggor

För funktioner som kräver utökad testning och användarfeedback släpper Microsoft nya förhandsversionsfunktioner eller funktioner bakom en funktionsflagga. Betrakta dessa funktioner som förhandsversions- eller betafunktioner.

Förhandsgranskningsfunktioner eller funktioner med funktionsflagga är inte avsedda för produktionsmiljön. Pågående ändringar i API:er och beteende, felkorrigeringar och andra ändringar kan leda till instabila kluster och stilleståndstid.

Funktioner i den offentliga förhandsversionen omfattas av bästa möjliga stöd eftersom dessa funktioner är i förhandsversion och inte är avsedda för produktion. AKS tekniska supportteam tillhandahåller endast support under kontorstid. Mer information finns i vanliga frågor och svar om Azure support.

Överordnade buggar och problem

Med tanke på utvecklingshastigheten i det överordnade Kubernetes-projektet uppstår buggar alltid. Vissa av dessa buggar kan inte korrigeras eller bearbetas i AKS-systemet. I stället kräver felkorrigeringar större korrigeringar för överordnade projekt (till exempel Kubernetes, nod- eller agentoperativsystem och kernel). För komponenter som Microsoft äger (till exempel Azure molnleverantör) åtar sig AKS och Azure personal att åtgärda problem uppströms i communityn.

När rotorsaken till ett tekniskt supportproblem beror på en eller flera överordnade buggar kommer AKS-support- och teknikteamen att:

• Identifiera och länka de överordnade buggarna med eventuell stödinformation för att förklara varför det här problemet påverkar klustret eller arbetsbelastningen. Kunder får länkar till de nödvändiga lagringsplatserna så att de kan titta på problemen och se när en ny version innehåller korrigeringar.
• Ange möjliga tillfälliga lösningar eller åtgärder för att förhindra problem. Om problemet kan åtgärdas, arkiveras ett känt problem på AKS-lagringsplats. Den kända problemrapporteringen förklarar:
  • Problemet, inklusive länkar till överordnade buggar.
  • Lösningens lösning och information om en uppgradering eller en annan beständig lösning.
  • Ungefärliga tidslinjer för problemets inkludering, baserat på uppströmsversionens takt.

Relaterat innehåll

• Prisnivåer för AKS
• Kubernetes-versioner som stöds i AKS
• Långsiktigt stöd för AKS
• Uppgradera ett AKS-kluster automatiskt
• Uppgradera AKS-nodoperativsystemavbildningar automatiskt
• Sårbarhetshantering för AKS
• Automatisk reparation av AKS-nod
• Bring your own CNI (BYOCNI)