Często zadawane pytania dotyczące usługi AKS

Usługa AKS zapewnia gwarancje umowy SLA w warstwie cenowej Standardowa z funkcją umowy SLA czasu pracy.

Obsługa platformy to ograniczony plan pomocy technicznej dla nieobsługiwanych klastrów wersji "N-3". Obsługa platformy obejmuje tylko obsługę infrastruktury platformy Azure.

Aby uzyskać więcej informacji, zobacz zasady pomocy technicznej platformy.

Tak, usługa AKS inicjuje automatyczne uaktualnienia dla nieobsługiwanych klastrów. Gdy klaster w wersji n-3 (gdzie n jest najnowszą obsługiwaną wersją pomocniczą usługi AKS GA) zostanie usunięty do n-4, usługa AKS automatycznie uaktualni klaster do n-2, aby pozostał w zasadach pomocy technicznej usługi AKS.

Aby uzyskać więcej informacji, zobacz Obsługiwane wersje platformy Kubernetes, Okna planowanej konserwacji i Automatyczne uaktualnienia.

Tak, usługa AKS obsługuje kontenery systemu Windows Server. Aby uzyskać więcej informacji, zobacz Często zadawane pytania dotyczące systemu Windows Server w usłudze AKS.

Węzły agenta usługi AKS są rozliczane jako standardowe maszyny wirtualne platformy Azure. Jeśli zakupiono rezerwacje platformy Azure dla rozmiaru maszyny wirtualnej używanej w usłudze AKS, rabaty te są stosowane automatycznie.

Nie, przenoszenie klastra usługi AKS między dzierżawami jest obecnie nieobsługiwane.

Nie, przenoszenie klastra usługi AKS między subskrypcjami jest obecnie nieobsługiwane.

Nie, przenoszenie lub zmienianie nazwy klastra usługi AKS i skojarzonych z nim zasobów nie jest obsługiwane.

Nie, nie można przywrócić klastra po jego usunięciu. Po usunięciu klastra grupa zasobów węzła i wszystkie jej zasoby również zostaną usunięte.

Jeśli chcesz zachować dowolne zasoby, przenieś je do innej grupy zasobów przed usunięciem klastra. Jeśli chcesz chronić przed przypadkowymi usunięciami, możesz zablokować zarządzaną grupę zasobów usługi AKS hostująca zasoby klastra przy użyciu blokady grupy zasobów węzła.

Możesz całkowicie zatrzymać uruchomiony klaster usługi AKS lub skalować automatycznie wszystkie lub określone User pule węzłów do zera.

Nie można bezpośrednio skalować pul węzłów systemowych do zera.

Nie, operacje skalowania przy użyciu interfejsów API zestawu skalowania maszyn wirtualnych nie są obsługiwane. Możesz użyć interfejsów API usługi AKS (az aks scale).

Nie, operacje skalowania przy użyciu interfejsów API zestawu skalowania maszyn wirtualnych nie są obsługiwane. Za pomocą interfejsu API usługi AKS można skalować pule węzłów niesystemowych do zera lub zatrzymać klaster .

Nie, nie jest to obsługiwana konfiguracja. Zatrzymaj klaster .

Usługa AKS opiera się na wielu zasobach infrastruktury platformy Azure, w tym zestawach skalowania maszyn wirtualnych, sieciach wirtualnych i dyskach zarządzanych. Te integracje umożliwiają zastosowanie wielu podstawowych funkcji platformy Azure w zarządzanym środowisku Kubernetes udostępnianym przez usługę AKS. Na przykład większość typów maszyn wirtualnych platformy Azure może być używana bezpośrednio z usługą AKS i rezerwacjami platformy Azure, aby automatycznie otrzymywać rabaty na te zasoby.

Aby włączyć tę architekturę, każde wdrożenie usługi AKS obejmuje dwie grupy zasobów:

1. Należy utworzyć pierwszą grupę zasobów. Ta grupa zawiera tylko zasób usługi Kubernetes. Dostawca zasobów usługi AKS automatycznie tworzy drugą grupę zasobów podczas wdrażania. Przykładem drugiej grupy zasobów jest MC_myResourceGroup_myAKSCluster_eastus. Aby uzyskać informacje na temat określania nazwy tej drugiej grupy zasobów, zobacz następną sekcję.
2. Druga grupa zasobów, znana jako grupa zasobów węzła, zawiera wszystkie zasoby infrastruktury skojarzone z klastrem. Te zasoby obejmują maszyny wirtualne węzła Kubernetes, sieć wirtualną i magazyn. Domyślnie grupa zasobów węzła ma nazwę taką jak MC_myResourceGroup_myAKSCluster_eastus. Usługa AKS automatycznie usuwa grupę zasobów węzła za każdym razem, gdy klaster zostanie usunięty. Tej grupy zasobów należy używać tylko dla zasobów, które współużytkuje cykl życia klastra.

Domyślnie usługa AKS nazywa grupę zasobów węzła MC_resourcegroupname_clustername_location, ale możesz podać własną nazwę.

Aby określić własną nazwę grupy zasobów, zainstaluj rozszerzenie interfejsu wiersza polecenia platformy Azure w wersji 0.3.2 lub nowszej aks-preview. Podczas tworzenia klastra usługi AKS przy użyciu polecenia [az aks create][az-aks-create] użyj parametru --node-resource-group i określ nazwę grupy zasobów. Jeśli używasz szablonu usługi Azure Resource Manager do wdrożenia klastra usługi AKS, możesz zdefiniować nazwę grupy zasobów przy użyciu właściwości nodeResourceGroup .

• Dostawca zasobów platformy Azure automatycznie tworzy pomocniczą grupę zasobów.
• Niestandardową nazwę grupy zasobów można określić tylko podczas tworzenia klastra.

Podczas pracy z grupą zasobów węzła należy pamiętać, że nie można wykonywać następujących czynności:

• Określ istniejącą grupę zasobów dla grupy zasobów węzła.
• Określ inną subskrypcję dla grupy zasobów węzła.
• Zmień nazwę grupy zasobów węzła po utworzeniu klastra.
• Określ nazwy zarządzanych zasobów w grupie zasobów węzła.
• Modyfikowanie lub usuwanie tagów utworzonych przez platformę Azure zasobów zarządzanych w grupie zasobów węzła.

W przypadku modyfikowania lub usuwania tagów utworzonych przez platformę Azure i innych właściwości zasobów w grupie zasobów węzła mogą wystąpić nieoczekiwane błędy skalowania i uaktualniania. Usługa AKS umożliwia tworzenie i modyfikowanie tagów niestandardowych utworzonych przez użytkowników końcowych oraz dodawanie tych tagów podczas tworzenia puli węzłów. Możesz na przykład utworzyć lub zmodyfikować tagi niestandardowe, aby przypisać jednostkę biznesową lub centrum kosztów. Inną opcją jest utworzenie zasad platformy Azure z zakresem w zarządzanej grupie zasobów.

Tagi utworzone przez platformę Azure są tworzone dla odpowiednich usług platformy Azure i powinny być zawsze dozwolone. W przypadku usługi AKS istnieją aks-managed tagi i .k8s-azure Modyfikowanie dowolnych tagów utworzonych przez platformę Azure w zasobach w grupie zasobów węzła w klastrze usługi AKS jest nieobsługiwaną akcją, która przerywa cel poziomu usług (SLO).

Aby uzyskać pełną listę dostępnych regionów, zobacz AKS regions and availability (Regiony i dostępność usługi AKS).

Nie, klastry usługi AKS są zasobami regionalnymi i nie mogą obejmować regionów. Zobacz najlepsze rozwiązania dotyczące ciągłości działania i odzyskiwania po awarii, aby uzyskać wskazówki dotyczące tworzenia architektury obejmującej wiele regionów.

Tak, klaster usługi AKS można wdrożyć w co najmniej jednej strefie dostępności w regionach, które je obsługują.

Tak, możesz użyć różnych rozmiarów maszyn wirtualnych w klastrze usługi AKS, tworząc wiele pul węzłów.

Usługa AKS nie ustawia limitu rozmiaru obrazu kontenera. Jednak ważne jest, aby zrozumieć, że im większy obraz, tym większe zapotrzebowanie na pamięć. Większy rozmiar może potencjalnie przekroczyć limity zasobów lub ogólną dostępną pamięć węzłów roboczych. Domyślnie rozmiar maszyny wirtualnej Standard_DS2_v2 dla klastra usługi AKS jest ustawiony na 7 GiB.

Gdy obraz kontenera jest zbyt duży, podobnie jak w zakresie terabajtów (TB), kubelet może nie być w stanie ściągnąć go z rejestru kontenerów do węzła z powodu braku miejsca na dysku.

W przypadku węzłów systemu Windows Server usługa Windows Update nie jest uruchamiana automatycznie i stosuje najnowsze aktualizacje. Zgodnie z regularnym harmonogramem cyklu wydania usługi Windows Update i własnym procesem weryfikacji należy przeprowadzić uaktualnienie w klastrze i pulach węzłów systemu Windows Server w klastrze usługi AKS. Ten proces uaktualniania tworzy węzły, które uruchamiają najnowszy obraz i poprawki systemu Windows Server, a następnie usuwa starsze węzły. Aby uzyskać więcej informacji na temat tego procesu, zobacz Uaktualnianie puli węzłów w usłudze AKS.

Następujące obrazy mają wymagania funkcjonalne dotyczące opcji "Uruchom jako główny", a wyjątki muszą zostać zgłoszone dla dowolnych zasad:

• mcr.microsoft.com/oss/kubernetes/coredns
• mcr.microsoft.com/azuremonitor/containerinsights/ciprod
• mcr.microsoft.com/oss/calico/node
• mcr.microsoft.com/oss/kubernetes-csi/azuredisk-csi

Tak, istnieją dwie opcje ograniczania dostępu do serwera interfejsu API:

• Użyj autoryzowanych zakresów adresów IP serwera interfejsu API, jeśli chcesz zachować publiczny punkt końcowy dla serwera interfejsu API, ale ograniczyć dostęp do zestawu zaufanych zakresów adresów IP.
• Użyj klastra prywatnego, jeśli chcesz ograniczyć dostęp do serwera interfejsu API tylko z poziomu sieci wirtualnej.

Poprawki AKS cves, które mają "poprawkę dostawcy" co tydzień. CvEs bez poprawki czekają na "poprawkę dostawcy", zanim będą mogły zostać skorygowane. Obrazy usługi AKS są automatycznie aktualizowane w ciągu 30 dni. Zalecamy zastosowanie zaktualizowanego obrazu węzła w regularnym zakresie, aby upewnić się, że wszystkie najnowsze poprawki obrazów i poprawek systemu operacyjnego są stosowane i bieżące. Można to zrobić przy użyciu jednej z następujących metod:

• Ręcznie za pośrednictwem witryny Azure Portal lub interfejsu wiersza polecenia platformy Azure.
• Uaktualniając klaster usługi AKS. Klaster uaktualnia węzły cordonu i opróżniania automatycznie, a następnie przełącz nowy węzeł w tryb online z najnowszym obrazem systemu Ubuntu i nową wersję poprawki lub pomocniczą wersję rozwiązania Kubernetes. Aby uzyskać więcej informacji, zobacz Uaktualnianie klastra usługi AKS.
• Za pomocą uaktualnienia obrazu węzła.

Firma Microsoft udostępnia wskazówki dotyczące innych akcji, które można wykonać w celu zabezpieczenia obciążeń za pośrednictwem usług, takich jak Microsoft Defender for Containers. Następujące zagrożenie bezpieczeństwa jest związane z usługami AKS i Kubernetes, o których należy pamiętać:

• Nowa kampania na dużą skalę dotyczy platformy Kubeflow (8 czerwca 2021 r.).

Nie, wszystkie dane są przechowywane w regionie klastra.

Tradycyjnie, jeśli zasobnik jest uruchomiony jako użytkownik niebędący użytkownikiem głównym (co należy), należy określić fsGroup wewnątrz kontekstu zabezpieczeń zasobnika, aby wolumin mógł być czytelny i zapisywalny przez zasobnik. To wymaganie zostało szczegółowo omówione tutaj.

Efektem ubocznym ustawienia fsGroup jest to, że za każdym razem, gdy wolumin jest zainstalowany, platforma Kubernetes musi rekursywnie chown() i chmod() wszystkie pliki i katalogi wewnątrz woluminu (z kilkoma wyjątkami opisanymi poniżej). Ten scenariusz występuje nawet wtedy, gdy własność grupy woluminu jest już zgodna z żądanym elementem fsGroup. Może to być kosztowne w przypadku większych woluminów z dużą częścią małych plików, co może spowodować, że uruchamianie zasobnika może zająć dużo czasu. Ten scenariusz był znanym problemem przed 1.20, a obejście polega na ustawieniu zasobnika uruchom jako główny:

apiVersion: v1
kind: Pod
metadata:
  name: security-context-demo
spec:
  securityContext:
    runAsUser: 0
    fsGroup: 0

Problem został rozwiązany przy użyciu platformy Kubernetes w wersji 1.20. Aby uzyskać więcej informacji, zobacz Kubernetes 1.20: Szczegółowa kontrola zmian uprawnień woluminu.

Usługa AKS używa bezpiecznej komunikacji tunelu, aby umożliwić usłudze kubelety interfejsu API-server i poszczególnych węzłów komunikowanie się nawet w oddzielnych sieciach wirtualnych. Tunel jest zabezpieczony za pomocą szyfrowania mTLS. Bieżący główny tunel używany przez usługę AKS to Konnectivity, wcześniej znany jako apiserver-network-proxy. Sprawdź, czy wszystkie reguły sieci są zgodne z wymaganymi regułami sieci platformy Azure i nazwami FQDN.

Tak, możesz dodać adnotację kubernetes.azure.com/set-kube-service-host-fqdn do zasobników, aby ustawić KUBERNETES_SERVICE_HOST zmienną na nazwę domeny serwera interfejsu API zamiast adresu IP usługi klastra. Jest to przydatne w przypadkach, gdy ruch wychodzący klastra odbywa się za pośrednictwem zapory warstwy 7, takiej jak w przypadku korzystania z usługi Azure Firewall z regułami aplikacji.

Usługa AKS nie stosuje sieciowych grup zabezpieczeń do podsieci i nie modyfikuje żadnej sieciowej grupy zabezpieczeń skojarzonej z tą podsiecią. Usługa AKS modyfikuje tylko ustawienia sieciowych grup zabezpieczeń interfejsów sieciowych. Jeśli używasz sieci CNI, musisz również upewnić się, że reguły zabezpieczeń w sieciowych grupach zabezpieczeń zezwalają na ruch między zakresami CIDR węzła i zasobnika. Jeśli używasz rozwiązania kubenet, musisz również upewnić się, że reguły zabezpieczeń w sieciowych grupach zabezpieczeń zezwalają na ruch między węzłem a trasą CIDR zasobnika. Aby uzyskać więcej informacji, zobacz Sieciowe grupy zabezpieczeń.

Węzły usługi AKS uruchamiają usługę "chrony", która ściąga czas z hosta lokalnego. Kontenery uruchomione na zasobnikach uzyskują czas z węzłów usługi AKS. Aplikacje uruchamiane wewnątrz kontenera używają czasu z kontenera zasobnika.

Nie, AKS jest usługą zarządzaną, a manipulowanie zasobami IaaS nie jest obsługiwane. Aby zainstalować składniki niestandardowe, użyj interfejsów API i mechanizmów platformy Kubernetes. Na przykład użyj poleceń DaemonSets, aby zainstalować wymagane składniki.

Usługa AKS obsługuje następujące kontrolery przyjęć:

• Przestrzeń nazwLifecycle
• LimitRanger
• ServiceAccount
• DefaultIngressClass
• DefaultStorageClass
• DefaultTolerationSeconds
• MutatingAdmissionWebhook
• ValidatingAdmissionWebhook
• ZasóbQuota
• PodNodeSelector
• PodTolerationRestriction
• ExtendedResourceToleration

Obecnie nie można zmodyfikować listy kontrolerów dostępu w usłudze AKS.

Tak, można użyć elementów webhook kontrolera dostępu w usłudze AKS. Zaleca się wykluczenie wewnętrznych przestrzeni nazw usługi AKS oznaczonych etykietą płaszczyzny sterowania. Na przykład:

namespaceSelector:
    matchExpressions:
    - key: control-plane
      operator: DoesNotExist

Zapory usługi AKS ruch wychodzący serwera interfejsu API, aby elementy webhook kontrolera dostępu były dostępne z poziomu klastra.

Aby chronić stabilność systemu i zapobiegać wpływowi niestandardowych kontrolerów przyjęć na wewnętrzne usługi w systemie kube-system, przestrzeń nazw AKS ma wymuszanie przyjęć, które automatycznie wyklucza kube-system i wewnętrzne przestrzenie nazw usługi AKS. Dzięki tej usłudze niestandardowe kontrolery dostępu nie wpływają na usługi działające w systemie kube-system.

Jeśli masz krytyczny przypadek użycia do wdrażania czegoś w systemie kube-system (niezalecane) w obsłudze niestandardowego elementu webhook przyjęcia, możesz dodać następującą etykietę lub adnotację, aby wymuszać przyznanie go zignorować.

Etykieta: "admissions.enforcer/disabled": "true" lub adnotacja: "admissions.enforcer/disabled": true

Dostawca usługi Azure Key Vault dla sterownika CSI magazynu wpisów tajnych zapewnia natywną integrację usługi Azure Key Vault z usługą AKS.

Węzły z obsługą protokołu FIPS są teraz obsługiwane w pulach węzłów opartych na systemie Linux. Aby uzyskać więcej informacji, zobacz Dodawanie puli węzłów z obsługą protokołu FIPS.

Każda poprawka, w tym poprawka zabezpieczeń, jest automatycznie stosowana do klastra usługi AKS. Cokolwiek większego niż poprawka, na przykład zmiany wersji głównej lub pomocniczej (które mogą mieć zmiany powodujące niezgodność w wdrożonych obiektach), są aktualizowane po zaktualizowaniu klastra, jeśli jest dostępna nowa wersja. Informacje o wersji usługi AKS można znaleźć, gdy jest dostępna nowa wersja.

Rozszerzenie usługi AKS dla systemu Linux to rozszerzenie maszyny wirtualnej platformy Azure, które instaluje i konfiguruje narzędzia do monitorowania w węzłach roboczych platformy Kubernetes. Rozszerzenie jest instalowane we wszystkich nowych i istniejących węzłach systemu Linux. Konfiguruje następujące narzędzia do monitorowania:

• Eksporter węzła: zbiera dane telemetryczne sprzętowe z maszyny wirtualnej i udostępnia je przy użyciu punktu końcowego metryk. Następnie narzędzie do monitorowania, takie jak Prometheus, może złomować te metryki.
• Narzędzie do wykrywania problemów z węzłem: ma na celu uwidocznienie różnych problemów z węzłami w warstwach nadrzędnych w stosie zarządzania klastrem. Jest to jednostka systemowa, która działa w każdym węźle, wykrywa problemy z węzłami i zgłasza je do serwera interfejsu API klastra przy użyciu zdarzeń i węzłówConditions.
• ig: oparta na eBPF struktura open source do debugowania i obserwacji systemów Linux i Kubernetes. Udostępnia zestaw narzędzi (lub gadżetów) przeznaczonych do zbierania odpowiednich informacji, umożliwiając użytkownikom identyfikowanie przyczyny problemów z wydajnością, awarii lub innych anomalii. W szczególności jego niezależność od platformy Kubernetes umożliwia użytkownikom korzystanie z niego również w przypadku debugowania problemów z płaszczyzną sterowania.

Te narzędzia ułatwiają obserwowanie wielu problemów związanych z kondycją węzła, takich jak:

• Problemy z demonem infrastruktury: usługa NTP nie działa
• Problemy sprzętowe: zły procesor CPU, pamięć lub dysk
• Problemy z jądrem: zakleszczenie jądra, uszkodzony system plików
• Problemy ze środowiskiem uruchomieniowym kontenera: demon środowiska uruchomieniowego nie odpowiada

Rozszerzenie nie wymaga dodatkowego dostępu wychodzącego do żadnych adresów URL, adresów IP ani portów poza udokumentowanymi wymaganiami dotyczącymi ruchu wychodzącego usługi AKS. Nie wymaga żadnych specjalnych uprawnień przyznanych na platformie Azure. Używa narzędzia kubeconfig do nawiązywania połączenia z serwerem interfejsu API w celu wysyłania zebranych danych monitorowania.

Większość klastrów jest usuwana na żądanie użytkownika. W niektórych przypadkach, szczególnie w przypadku, gdy przywieziesz własną grupę zasobów lub wykonasz zadania obejmujące wiele grup zasobów, usunięcie może zająć więcej czasu lub nawet zakończyć się niepowodzeniem. Jeśli masz problem z usunięciem, sprawdź dwukrotnie, czy nie masz blokad na RG, że wszystkie zasoby spoza grupy zasobów nie są skojarzone z RG itd.

Jeśli masz problemy z operacjami tworzenia i aktualizowania klastra, upewnij się, że nie masz przypisanych zasad ani ograniczeń usługi, które mogą uniemożliwić klastrowi usługi AKS zarządzanie zasobami, takimi jak maszyny wirtualne, moduły równoważenia obciążenia, tagi itp.

Możesz, ale nie zalecamy tego. Należy wykonać aktualizacje, gdy stan klastra jest znany i w dobrej kondycji.

Nie, usuń/usuń wszystkie węzły w stanie niepowodzenia lub w inny sposób z klastra przed uaktualnieniem.

Najczęściej ten błąd występuje, jeśli istnieje co najmniej jedna sieciowa grupa zabezpieczeń, które są nadal używane, które są skojarzone z klastrem. Usuń je i spróbuj usunąć ponownie.

Upewnij się, że jednostka usługi nie wygasła. Zobacz Jednostki usługi AKS i poświadczenia aktualizacji usługi AKS.

Upewnij się, że jednostka usługi nie wygasła. Zobacz Jednostki usługi AKS i poświadczenia aktualizacji usługi AKS.