使用 Azure Kubernetes Service (AKS) 中授權 IP 位址範圍，安全存取 API 伺服器

使用 az aks create 帶有 --api-server-authorized-ip-ranges 參數的指令建立一個啟用 API 伺服器授權 IP 範圍的 AKS 叢集。 以下範例在資源群組 myResourceGroup 中建立一個名為 myAKSCluster 的叢集，並允許 IP 位址範圍73.140.245.0/24存取 API 伺服器：

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --generate-ssh-keys

使用 New-AzAksCluster 帶有參數 -ApiServerAccessAuthorizedIpRange 的 cmdlet 建立一個啟用 API 伺服器授權 IP 範圍的 AKS 叢集。 以下範例在資源群組 myResourceGroup 中建立一個名為 myAKSCluster 的叢集，並允許 IP 位址範圍73.140.245.0/24存取 API 伺服器：

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '73.140.245.0/24' -GenerateSshKey

1. 從 Azure 入口網站首頁，選取 [建立資源]> [容器]> [Azure Kubernetes Service (AKS)]。
2. 視需要設定叢集設定。
3. 在 [公用存取] 底下的 [網路] 區段中，選取 [設定授權 IP 範圍]。
4. 針對 [指定 IP 範圍]，請輸入您想要授權存取 API 伺服器的 IP 位址範圍。
5. 視需要設定其餘叢集設定。
6. 當您準備好時，選取 [檢閱 + 建立]> [建立] 以建立叢集。

使用 Azure CLI 指定標準 SKU 負載平衡器的出站 IP

當你建立一個啟用 API 伺服器授權 IP 範圍的叢集時，你也可以透過 --load-balancer-outbound-ips or --load-balancer-outbound-ip-prefixes 參數來指定其出站 IP 位址或前綴。 AKS 除了參數中的 --api-server-authorized-ip-ranges IP 位址外，還允許使用這些 IP 位址。

使用該 --load-balancer-outbound-ips 參數建立一個啟用 API 伺服器授權 IP 範圍的 AKS 叢集，並指定標準 SKU 負載平衡器的出站 IP 位址。 以下範例在資源群組 myAKSCluster 中建立一個名為 myAKSCluster 的叢集，允許73.140.245.0/24存取 API 伺服器，並為標準 SKU 負載平衡器指定兩個外站 IP 位址。 用你公共 IP 位址的資源 ID 替換 <public-ip-id-1> 和 <public-ip-id-2> 。

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --load-balancer-outbound-ips <public-ip-id-1>,<public-ip-id-2> --generate-ssh-keys

利用該 --api-server-authorized-ip-ranges 參數建立一個 AKS 叢集，只允許標準 SKU 負載平衡器的外出公共 IP 存取 API 伺服器。 以下範例在資源群組 myAKSCluster 中建立一個名為 myAKSCluster 的叢集：

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 0.0.0.0/32 --generate-ssh-keys

利用該 -ApiServerAccessAuthorizedIpRange 參數建立一個 AKS 叢集，只允許標準 SKU 負載平衡器的外出公共 IP 存取 API 伺服器。 以下範例在資源群組 myAKSCluster 中建立一個名為 myAKSCluster 的叢集：

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '0.0.0.0/32' -GenerateSshKey

1. 從 Azure 入口網站首頁，選取 [建立資源]> [容器]> [Azure Kubernetes Service (AKS)]。
2. 視需要設定叢集設定。
3. 在 [公用存取] 底下的 [網路] 區段中，選取 [設定授權 IP 範圍]。
4. 對於 指定 IP 範圍，請輸入 0.0.0.0/32。 此設定僅允許標準 SKU 負載平衡器的外行公有 IP。
5. 視需要設定其餘叢集設定。
6. 當您準備好時，選取 [檢閱 + 建立]> [建立] 以建立叢集。

使用 az aks update 帶有 --api-server-authorized-ip-ranges 參數的指令來更新叢集的 API 伺服器授權的 IP 範圍。 以下範例將資源群組 myAKSCluster 的授權範圍設為 ：73.140.245.0/24

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24

允許使用 Azure CLI 進行多個 IP 位址範圍

要允許多個 IP 位址範圍，請用逗號分隔它們。

使用 az aks update 帶有 --api-server-authorized-ip-ranges 參數的指令授權多個 IP 位址範圍。 以下範例更新了資源群組 myAKSCluster 中名為 myAKSCluster 的叢集：

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24,193.168.1.0/24,194.168.1.0/24

使用 Set-AzAksCluster 帶有參數 -ApiServerAccessAuthorizedIpRange 的 cmdlet 來更新叢集的 API 伺服器授權的 IP 範圍。 以下範例將資源群組 myAKSCluster 的授權範圍設為 ：73.140.245.0/24

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange '73.140.245.0/24'

1. 瀏覽至 Azure 入口網站，並選取您想要更新的 AKS 叢集。
2. 從服務功能表的 [設定] 底下，選取 [網路]。
3. 在 [資源設定] 下，選取 [管理]。
4. 在 [授權 IP 範圍] 頁面上，視需要更新授權 IP 範圍。
5. 完成時，選取 [儲存]。

要停用 API 伺服器授權的 IP 範圍，請使用指令az aks update並為參數指定空範圍""--api-server-authorized-ip-ranges。

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges ""

要停用 API 伺服器授權的 IP 範圍，請使用 Set-AzAksCluster cmdlet 並為參數指定一個空範圍''-ApiServerAccessAuthorizedIpRange。

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange ''

1. 瀏覽至 Azure 入口網站，並選取您想要更新的 AKS 叢集。
2. 從服務功能表的 [設定] 底下，選取 [網路]。
3. 在 [資源設定] 下，選取 [管理]。
4. 在 [授權 IP 範圍] 頁面上，取消選取 [設定授權 IP 範圍] 核取方塊。
5. 選取儲存。

要查找現有 API 伺服器授權的 IP 範圍，請使用 az aks show 將 --query 參數設為 apiServerAccessProfile.authorizedIpRanges的指令。

az aks show --resource-group myResourceGroup --name myAKSCluster --query apiServerAccessProfile.authorizedIpRanges

輸出範例：

[
    "73.140.245.0/24"
]

要查找現有 API 伺服器授權的 IP 範圍，請使用 Get-AzAksCluster cmdlet。

Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster | Select-Object -ExpandProperty ApiServerAccessProfile

輸出範例：

AuthorizedIPRanges: {73.140.245.0/24}
...

1. 瀏覽至 Azure 入口網站，並選取您的 AKS 叢集。

2. 從服務功能表的 [設定] 底下，選取 [網路]。

   網路頁面的資源設定區塊顯示目前已設定的授權 IP 範圍。

   

1. 執行以下指令取得你的 IP 位址並設定為環境變數：

   # Retrieve your IP address
   CURRENT_IP=$(dig +short "myip.opendns.com" "@resolver1.opendns.com")
   

2. 使用 az aks update 帶有 --api-server-authorized-ip-ranges 參數的指令，將你的 IP 位址加入授權範圍。 以下範例將您目前的 IP 位址加入名為 myAKSCluster 的叢集中資源群組 myResourceGroup 的現有範圍：

   az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges $CURRENT_IP/32,73.140.245.0/24
   

1. 執行以下指令取得你的 IP 位址並設定為環境變數：

   # Retrieve your IP address
   $CURRENT_IP = (Invoke-RestMethod -Uri 'https://ipinfo.io/json').ip
   

2. 使用 Set-AzAksCluster 帶有參數 -ApiServerAccessAuthorizedIpRange 的 cmdlet 將你的 IP 位址加入授權範圍。 以下範例將您目前的 IP 位址加入名為 myAKSCluster 的叢集中資源群組 myResourceGroup 的現有範圍：

   Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange "$CURRENT_IP/32", '73.140.245.0/24'