Azure Kubernetes Service 支援政策

本文說明 Azure Kubernetes Service （AKS） 的技術支援政策與限制。 同時也詳細說明代理節點管理、管理控制平面元件、非 Microsoft 開源元件，以及安全或修補程式管理。

服務更新和版本

• 有關釋出資訊，請參見 AKS 釋出說明。
• 關於預覽功能的資訊，請參閱 AKS 路線圖。

AKS 中的受控功能

AKS 是基礎架構即服務（IaaS）與平台即服務（PaaS）的結合。 基礎的 IaaS 雲端元件，如運算或網路元件，提供低階控制與自訂選項。 相較之下，AKS 提供周全的 Kubernetes 部署，為您的叢集提供所需的一組通用設定和功能。 作為 AKS 使用者，你的自訂和部署選項有限，且無法直接管理 Kubernetes 叢集。

有了 AKS，您即可獲得完全受控的「控制平面」。 控制平面包括您操作和為終端使用者提供 Kube 叢集需要的全部元件和服務。 Microsoft 負責維護與操作所有 Kubernetes 元件。

Microsoft 透過控制平面管理和監控以下元件：

• Kubernetes API 伺服器與 kubelet。
• etcd 或相容的鍵值儲存，提供服務品質（QoS）、可擴展性及執行時功能。
• 像 CoreDNS 這類的 DNS 服務。
• kube-proxy 和叢集網路，除非使用 BYOCNI。
• 在 kube 系統命名空間中執行的其他任何附加元件或系統元件。

有些元件，例如代理節點，會 共同負責，你必須協助維護 AKS 叢集。 例如，需要使用者輸入，才能套用代理程式節點作業系統 (OS) 安全性修補檔。

這些服務屬於管理，意即Microsoft與 AKS 團隊負責部署、運作，並負責服務可用性與功能。 客戶無法變更這些受控元件。 Microsoft 限制自訂化，以確保使用者體驗一致且可擴展。

共同責任

當你建立叢集時，你會定義 AKS 建立的 Kubernetes 代理節點。 你的工作負載都在這些節點上運行。 請留意以下代理節點的限制條件：

• Microsoft 支援服務 的存取權限有限。 由於您的代理節點執行私有程式碼並儲存敏感資料，Microsoft 支援服務 無法在未經您明確許可或協助的情況下登入、執行指令或查看這些節點的日誌。
• 使用 Kubernetes 原生機制來進行變更。 任何透過 IaaS API 直接對代理節點進行的修改，都會使叢集無法支援。 使用 Kubernetes 原生機制（例如 DaemonSet）來套用變更。
• 不要更改系統建立的元資料。 你可以新增像是標籤和標籤等元資料，但更改任何系統產生的元資料會讓叢集不被支援。

責任劃分

以下矩陣總結了 AKS 叢集中的支援責任，並對比 AKS 與你在本地運行的自我管理 Kubernetes 。 在 AKS 中，Microsoft 管理控制平面與核心平台。 你管理節點設定、工作負載、網路設定和資料。 共享區域是 Microsoft 提供並維護某項功能，而你可以啟用、設定或排程它的地方。 先用矩陣作為一目了然的指引，然後查看後面詳細的支援細節章節。

使用以下鍵碼讀取矩陣：

以下矩陣中的共享區域，表格顯示 Microsoft 提供的內容以及你應負責的事項：

AKS 支援涵蓋範圍

以下章節說明 AKS 技術支援的支援與不支援情境。

支援的案例

Microsoft 為以下範例提供技術支援：

Microsoft 或 AKS 採取的任何叢集動作，皆在您同意下，透過內建的 Kubernetes 角色aks-service與角色綁定aks-service-rolebinding執行，該綁定將角色綁定至 aks-support Microsoft 支援服務 服務身份。 此角色讓 AKS 能排除並診斷叢集問題，但無法修改權限、建立角色、角色綁定，或執行其他高權限操作。 只有使用中支援票證才能啟用角色存取，而且擁有 Just-In-Time (JIT) 存取權。

不支援的場景

Microsoft 不提供以下情境的技術支援。

這些情境中有些細節更細膩，說明 Microsoft 仍能協助的部分。 欲了解更多資訊，請參閱 「非支援情境詳情」。

關於未支援情境的詳細資訊

幾個未被支援的情境為 Microsoft 仍能提供協助的細節增添了更多細節：

• 如何使用 Kubernetes。 Microsoft 支援服務 不會提供如何建立自訂入口控制器、使用應用程式工作負載，或應用非 Microsoft 或開源軟體套件或工具的建議。 Microsoft 支援服務 可以就 AKS 叢集的功能、客製化與調整（例如 Kubernetes 操作問題與程序）提供建議。
• 非 Microsoft 開源專案。 這些專案並非作為 Kubernetes 控制平面的一部分提供，也不會隨 AKS 叢集部署，可能包含 Istio、Helm、Envoy 或其他。 Microsoft 可以為像 Helm 這樣的專案提供盡力而為的支援。 當工具能整合 Kubernetes Azure 雲端服務或其他 AKS 專屬錯誤時，Microsoft 支援 Microsoft 文件中的範例與應用程式。
• 網路客製化。 除了 AKS 文件中列出的自訂功能外，Microsoft 支援服務 無法設定用於提供叢集外出流量的裝置或虛擬設備，例如 VPN 或防火牆。 Microsoft 支援服務 可能會在盡力而為的原則下，就 Azure 防火牆 所需的設定提供建議，但不會就其他非 Microsoft 裝置提供相關建議。
• 非 Microsoft 的入口控制器。 對於像 nginx、 kong、 或 traefik這類控制器，這包括在 AKS 特定操作後產生的功能問題，例如在 Kubernetes 版本升級後，入口控制器停止運作，這可能源自入口控制器版本與新 Kubernetes 版本之間的不相容性。 若想獲得完整支援，可以考慮使用 Microsoft 管理的入口控制器選項。
• 自訂 DaemonSet 指令碼。 雖然在設定檔參數不足時，建議在DaemonSet代理節點上調整、修改或安裝非 Microsoft 軟體，但由於自訂腳本的特性，Microsoft 支援服務 無法排除因自訂腳本所產生的問題。
• 待命並積極支援。 Microsoft 支援服務 提供被動支援以解決正在進行的問題。 待命或主動支援以消除營運風險、提升可用性及優化效能不在保障範圍內。 符合資格的客戶可聯繫其帳戶團隊，申請獲得 Azure 事件管理服務的提名，這是一項付費服務，包含活動期間的主動解決方案風險評估與覆蓋。
• 發行未滿 30 天的 CVE。 只要您執行的是更新版的 VHD，應該不會有廠商修正程式超過 30 天的任何容器映像 CVE。 你有責任更新 VHD，然後篩選 CVE 報告，並向 Microsoft 支援服務 提供一份清單，其中僅列出廠商修補程式發布已超過 30 天的 CVE。 Microsoft 隨後會在內部透過超過 30 天前發行的廠商修正程式來解決元件問題。 Microsoft 僅對 Microsoft 管理的元件提供 CVE 相關支援，例如 AKS 節點映像檔及在叢集建立時或透過受管理外掛部署的受管理容器映像。 欲了解更多資訊，請參閱 Azure Kubernetes Service （AKS） 的漏洞管理。
• 自訂程式碼範例。 Microsoft 支援服務 可以在支援案例中提供並審查小型程式碼範例，以示範如何使用 Microsoft 產品的功能，但無法提供針對您的環境或應用程式專屬的客製化程式碼範例。
• 自訂 Azure 原則 邏輯。 Microsoft 支援服務 可以提供關於如何在 AKS 中套用與評估自訂 Azure 原則 定義的一般指引。 對客戶自行撰寫的政策邏輯（包括以 Rego 為基礎的政策）進行詳細疑難排解，例如說明為何特定政策會允許或拒絕特定工作負載，通常不在支援範圍內。

自備 CNI 的支援界限

當你使用自帶 CNI（BYOCNI）--network-plugin none部署叢集時，Microsoft 支援服務 無法協助解決與 CNI 相關的問題。 你負責 CNI 插件的生命週期，應該尋求 CNI 插件供應商的支援。 Microsoft 仍然支援與 CNI 無關的問題。

如需詳細資訊，請參閱自備 CNI (BYOCNI)。

代理程式節點的 AKS 支援涵蓋範圍

以下章節說明 Microsoft 與客戶對 AKS 代理節點的責任。

下表一覽，總結代理節點的職責。 接下來的章節將提供詳細資訊。

微軟對 AKS 代理節點的責任

Microsoft 與您共同管理 Kubernetes 代理節點，其中在以下情況下：

• 基礎作業系統映像檔新增了必需的監控與網路代理程式等功能。
• 背景代理程式節點會自動接收 OS 修補檔。
• 系統會自動修復運行在代理節點上的 Kubernetes 控制平面元件的問題。 這些組成部分包括以下項目：
  • kube-proxy
  • 提供通往 Kubernetes 控制平面通訊路徑的網路隧道
  • kubelet
  • containerd

如果代理程式節點無法運作，AKS 可能會重新啟動個別元件或整個代理程序節點。 這些重啟操作自動化，並針對常見問題提供自動修復。 欲了解更多自動修復機制，請參閱 節點自動修復。

AKS 代理程式節點的客戶責任

Microsoft 每週都會為您的映像節點提供修補程式和新映像檔。 若要讓您的代理程式節點 OS 和執行階段元件保持在最新狀態，您應該定期手動或自動套用這些修補程式和更新。 Microsoft 不支援超過 90 天的節點映像檔。 如需詳細資訊，請參閱

• 手動升級 AKS 節點映像檔。
• 自動升級 AKS 節點映像檔。

同樣地，AKS 會定期發行新的 Kubernetes 修補程式和次要版本。 這些更新包括 Kubernetes 安全性或功能性的改善。 您必須根據 AKS Kubernetes 支援版本原則，負責將叢集的 Kubernetes 版本更新。

代理程式節點的使用者自訂

代表您在 AKS 管理代理程式節點的生命週期和操作，不支援修改與代理程式節點建立關聯的 IaaS 資源。 不支援的作業範例之一，是透過 Azure 入口網站或 API 手動變更組態，藉此自訂節點集區虛擬機器擴展集。

針對特定工作負載的配置或套件，AKS 建議使用 Kubernetes DaemonSet。

使用 Kubernetes 的特權 DaemonSet 和 init 容器，可讓您在叢集代理程式節點上調校、修改或安裝非 Microsoft 軟體。 這類自訂的範例包括新增自訂安全性掃描軟體或更新 sysctl 設定。

雖然在上述需求適用時建議使用此路徑，但 AKS 工程和支援人員無法協助因自訂部署 DaemonSet 而導致節點無法使用的修改疑難排解或診斷。

安全性問題和修補

如果在 AKS 的一個或多個受控元件中發現安全性瑕疵，則 AKS 小組會修補全部受影響的叢集，以減輕問題。 或者，AKS 小組會提供升級指導。

對於受安全漏洞影響的代理節點，Microsoft 會通知您影響詳情及修復或緩解安全問題的步驟。

節點維護和存取

雖然你可以登入代理節點並更改它們，但請不要執行這個操作。 變更可能會讓叢集無法支援。

網路連接埠、存取權和 NSG

你只能在自訂子網路上自訂網路安全群組（NSG）。 下表顯示了你可以自訂 NSG 的位置：

AKS 需要連線到特定端點。 為了控制出口並確保必要的連接，請參見 限制出口流量。 對於 Ingress，需求是根據你部署到叢集的應用程式而定。

已停止、解除配置和未就緒的節點

下表總結了 AKS 叢集在每個生命週期狀態及其相關時間軸中發生的情況：

如果你不需要 AKS 工作負載持續運行，就 停止 AKS 叢集，這樣會停止所有節點池和控制平面，需要時再重新啟動。 透過 IaaS API、Azure CLI 或 Azure 入口網站手動解除節點，並不是支援的停止叢集的方法。

AKS 保留封存持續 30 天以上未符合支援指引之控制平面的權利。 AKS 會維護叢集 etcd 元資料的備份，並能在任何 PUT 操作中重新配置叢集，使其重新支援，例如升級或擴展至主動代理節點。

不支援的 Alpha 版和搶鮮版 (Beta) Kubernetes 功能

AKS 支援上游 Kubernetes 專案中的穩定與測試功能，但除非另有說明，否則不支援 alpha 功能。 下表總結了依功能類型的支援情況：

預覽功能或功能旗標

針對需要擴充測試和使用者意見反應的功能，Microsoft會發行功能旗標后的新預覽功能或功能。 請將這些功能視為發行前版本或搶鮮版 (Beta) 功能。

預覽功能或功能旗標功能並非設計來用於生產環境。 持續的 API 變更和行為、錯誤修正以及其他變更，可能會導致不穩定的叢集和停機時間。

公開預覽的功能受到 最佳支援 ，因為這些功能處於預覽狀態，不適用於生產環境。 AKS 技術支援團隊僅在上班時間提供支援。 更多資訊請參見 Azure 支援常見問題。

上游的錯誤和問題

有鑑於上游 Kubernetes 專案中的開發速度，錯誤難免會發生。 其中部分錯誤無法在 AKS 系統內修補或解決。 相反地，錯誤修正需要對上游專案（如 Kubernetes、Node 或代理作業系統，以及核心）進行更大規模的修補。 對於 Microsoft 擁有的元件（如 Azure 雲端供應商），AKS 與 Azure 人員致力於在社群上游解決問題。

技術支援問題的原因是由於一個或多個上游錯誤，AKS 支援和工程師團隊將會：

• 識別上游錯誤，並將其與支援詳細資料連結，協助說明此問題為何會影響到您的叢集或工作負載。 客戶會收到所需儲存庫的連結，以便觀察問題並查看新版本何時提供修正。
• 提供潛在的因應措施或風險降低。 若問題可緩解，則會將 已知問題登錄於 AKS 儲存庫。 已知問題報告說明：
  • 此問題的內容，包括上游錯誤的連結。
  • 關於升級或其他持續性解決方案的因應措施和詳細資料。
  • 根據上游的發行頻率，提供包含此問題的大致時間軸。

相關內容

• AKS 定價等級
• AKS 中支援的 Kubernetes 版本
• AKS 的長期支持
• 自動升級 AKS 叢集
• 自動升級 AKS 節點作業系統映像檔
• AKS 的漏洞管理
• AKS 節點自動修復
• 自備 CNI（BYOCNI）