Självstudie 2–1: Planera arkitekturen för Azure Virtual Desktop- och AKS-arbetsbelastningar i Azure Enklaven

Den här självstudien hjälper dig att planera din Azure Enclave-arkitektur för distribution av Azure Virtual Desktop- och Azure Kubernetes Service (AKS)-arbetsbelastningar. Korrekt planering säkerställer optimal säkerhet, nätverksisolering och resursorganisation.

I den här tutorialen lär du dig följande:

• Planera enklavtopologin för arbetsbelastningsisolering
• Beräkna storlekskrav för undernät för Azure Virtual Desktop och AKS
• Identifiera nödvändiga nätverksslutpunkter och anslutningar
• Utforma enklaveranslutningar för kommunikation mellan enklaver
• Organisera resursgrupper för arbetsbelastning effektivt

Förutsättningar

Den här handledningen förutsätter att du förstår begreppen i de här handledningarna:

• Handledning 1-1: Driftsätt en community
• Självstudie 1–2: Skapa enklaver i en community
• Självstudie 1–3: Skapa arbetsbelastningar i en enklav
• Självstudie 1–4: Använda tjänstkatalogen
• Självstudie 1–5: Skapa enklaverslutpunkter och anslutningar
• Förståelse för Azure Virtual Desktop
• Förståelse för Azure Kubernetes Service

Översikt över arkitektur

Följande diagram visar handledningarna om arkitektur 2-1 till 2-4. Arkitekturen innehåller en community-hubb med brandvägg, separata enklaver för Azure Virtual Desktop- och AKS-arbetsbelastningar samt nödvändiga slutpunkter och anslutningar.

Viktiga planeringsbeslut

Enklavtopologi

Du måste bestämma om du vill distribuera Azure Virtual Desktop och AKS i separata enklaver eller en delad enklav.

Rekommendation: För produktionsmiljöer med strikta säkerhetskrav använder du separata enklaver för Azure Virtual Desktop och AKS och en tredje enklav för delade tjänster och gemensamma resurser. Den här självstudieserien går igenom metoden med separata enklaver.

Storlek på undernät för Azure Virtual Desktop

Azure Virtual Desktop kräver minst två undernät i enklaven:

Exempelberäkning för sessionsvärdarnas undernät:

• 50 planerade sessionsvärdar
• Formel: (50 + 5) × 1.2 = 66 IPs needed
• Rekommenderas: /26 (64 IP-adresser) eller /25 (128 IP-adresser) för tillväxt

Storlek på undernät för AKS

AKS kräver minst tre undernät i enklaven:

Exempel på beräkning för Nodundernät (30 poddar per nod, 3 maxnoder):

• Formel: (3 + 1) + ((3 + 1) × 30) = 4 + 120 = 124 IPs needed
• Rekommenderat: /25 minst 128 IP-adresser

Nätverkskrav

Slutpunkter som krävs för Azure Virtual Desktop

Azure Virtual Desktop kräver anslutning till följande slutpunkter via community-slutpunkter:

Referens: Azure Virtual Desktop – nödvändiga URL:er

NÖDVÄNDIGA AKS-slutpunkter

AKS kräver anslutning till följande slutpunkter via community-slutpunkter:

Referens: AKS-obligatoriska regler för utgående nätverk

Kommunikation mellan enklaver

Om du använder separata enklaver behöver du enklaverslutpunkter och anslutningar för:

Resursorganisation

Resursgrupper för arbetsbelastning

Varje arbetsbelastning bör ha en eller flera resursgrupper. Tänk på den här organisationen:

Azure Virtual Desktop-arbetsbelastningsresursgrupper:

• rg-avd-controlplane – Värdpooler, arbetsytor, programgrupper
• rg-avd-sessionhosts – VM:ar för sessionsvärdar och relaterade resurser
• rg-avd-storage– FSLogix lagringskonton
• rg-avd-shared– Delade resurser som Key Vault, hanterade identiteter

Resursgrupper för arbetsbelastningar i AKS:

• rg-aks-cluster – Resursgrupp för AKS-klusteranvändare
• rg-aks-nodes – AKS-hanterad resursgrupp (skapas automatiskt)
• rg-aks-shared– Delade resurser som Key Vault, hanterade identiteter

Resursgrupper för delade tjänster (om du använder enklav för delade tjänster):

• rg-shared-security – Nyckelvalv, hanterade identiteter, diskkrypteringsuppsättningar
• rg-shared-network - Privata DNS-zoner
• rg-shared-monitoring– Log Analytics arbetsytor

Planering av vanliga beroenden

Både Azure Virtual Desktop och AKS kräver dessa vanliga beroenden:

Rekommendation: Minska duplicerade resurser genom att distribuera vanliga beroenden i en enklav eller arbetsbelastning för delade tjänster.

Säkerhetsfrågor

Nätverksisolering

• Använda separata undernät för olika resurstyper
• Tillämpa regler för nätverkssäkerhetsgrupp (NSG) på undernät
• Använda privata slutpunkter för Azure PaaS-tjänster
• Minimera communityendpoints till de slutpunkter som behövs för dina behov

Encryption

• Aktivera kundhanterade nycklar (CMK) för alla vilande data
• Använda diskkrypteringsuppsättningar för virtuella datordiskar
• Aktivera värdbaserad kryptering för AKS-noder
• Lagra alla nycklarna i Azure Key Vault och tilldela åtkomstbehörigheter enligt principen om lägsta behörighet

Åtkomstkontroll

• Använda Azure rolltilldelningar för resursåtkomst
• Inför JIT-åtkomst för administrativa operationer
• Använd hanterade identiteter i stället för tjänstens huvudnamn där det är möjligt
• Tillämpa principen om minsta behörighet för alla rolltilldelningar

Övervakning

• Aktivera diagnostikinställningar för alla resurser
• Konfigurera Azure Virtual Desktop Insights för övervakning av sessionsvärdar
• Konfigurera Container Insights för AKS-övervakning
• Skicka alla loggar till en centraliserad Log Analytics arbetsyta

Nästa steg

Nu när du har planerat din arkitektur får du i nästa självstudie vägledning om hur du skapar Azure Enclave-miljön för dina arbetsbelastningar.

Relaterat innehåll

• Arkitekturen för Azure Virtual Desktop
• AKS-baslinjearkitektur
• Bästa praxis för Azure Enclave
• Vad är en enklav?
• Vad är en arbetsbelastning?