Injeção de rede virtual no Azure Chaos Studio

A Rede Virtual do Azure é o bloco de construção fundamental para a sua rede privada no Azure. Uma rede virtual permite que muitos tipos de recursos do Azure se comuniquem com segurança entre si, com a Internet e com redes locais. Uma rede virtual é semelhante a uma rede tradicional que você opera em seu próprio datacenter. Ele traz outros benefícios da infraestrutura do Azure, como escala, disponibilidade e isolamento.

A injeção de rede virtual permite que um provedor de recursos do Azure Chaos Studio injete cargas de trabalho em contêineres em sua rede virtual para que recursos sem pontos de extremidade públicos possam ser acessados por meio de um endereço IP privado na rede virtual. Depois de configurar a injeção de rede virtual para um recurso em uma rede virtual e habilitar o recurso como destino, você poderá usá-lo em vários experimentos. Um experimento pode ter como alvo uma combinação de recursos privados e não privados se os recursos privados forem configurados de acordo com as instruções neste artigo.

Também estamos entusiasmados em compartilhar que o Chaos Studio suporta a execução de experimentos baseados em agentes usando endpoints privados! O Chaos Studio agora oferece suporte ao Private Link para experimentos diretos e baseados em agentes. Se você quiser usar o Private-Link para experimentos baseados em agente, entre em contato com seu CSA ou visite Como: Configurar link privado para experimentos baseados em agente. Para obter um link privado para falhas diretas de serviço, leia as seções a seguir para obter instruções sobre como usá-las.

Suporte a tipos de recursos

Atualmente, você só pode habilitar determinados tipos de recursos para a injeção de rede virtual do Chaos Studio:

• Os destinos do Serviço Kubernetes do Azure (AKS) podem ser habilitados com a injeção de rede virtual por meio do portal do Azure e da CLI do Azure. Todas as falhas do AKS Chaos Mesh podem ser usadas.
• Os destinos do Azure Key Vault podem ser habilitados com a injeção de rede virtual por meio do portal do Azure e da CLI do Azure. As falhas que podem ser usadas com a injeção de rede virtual são Desabilitar Certificado, Incrementar Versão do Certificado e Atualizar Diretiva de Certificado.

Habilitar a injeção de rede virtual

Para usar o Chaos Studio com injeção de rede virtual, você deve atender aos seguintes requisitos.

1. Os Microsoft.ContainerInstance fornecedores de recursos e Microsoft.Relay têm de estar registados com a sua subscrição.
2. A rede virtual onde os recursos do Chaos Studio serão injetados deve ter duas sub-redes: uma sub-rede de contêiner e uma sub-rede de retransmissão. Uma sub-rede de contêiner é usada para os contêineres do Chaos Studio que serão injetados em sua rede privada. Uma sub-rede de retransmissão é usada para encaminhar a comunicação do Chaos Studio para os contêineres dentro da rede privada.
   1. Ambas as sub-redes precisam de pelo menos /28 para o tamanho do espaço de endereço (neste caso /27 , é maior do que /28, por exemplo). Um exemplo é um prefixo de endereço de 10.0.0.0/28 ou 10.0.0.0/24.
   2. A sub-rede do contêiner deve ser delegada ao Microsoft.ContainerInstance/containerGroups.
   3. As sub-redes podem ser nomeadas arbitrariamente, mas recomendamos ChaosStudioContainerSubnet e ChaosStudioRelaySubnet.
3. Quando você habilita o recurso desejado como destino para que possa usá-lo em experimentos do Chaos Studio, as seguintes propriedades devem ser definidas:
   1. Defina properties.subnets.containerSubnetId como a ID da sub-rede do contêiner.
   2. Defina properties.subnets.relaySubnetId como o ID da sub-rede de retransmissão.

Se você estiver usando o portal do Azure para habilitar um recurso privado como um destino do Chaos Studio, o Chaos Studio atualmente só reconhece sub-redes nomeadas ChaosStudioContainerSubnet e ChaosStudioRelaySubnet. Se essas sub-redes não existirem, o fluxo de trabalho do portal poderá criá-las automaticamente.

Se você estiver usando a CLI, as sub-redes de contêiner e retransmissão podem ter qualquer nome (sujeito às diretrizes de nomenclatura de recursos). Especifique as IDs apropriadas ao habilitar o recurso como destino.

Exemplo: Usar o Chaos Studio com um cluster AKS privado

Este exemplo mostra como configurar um cluster AKS privado para usar com o Chaos Studio. Ele pressupõe que você já tenha um cluster AKS privado em sua assinatura do Azure. Para criar um, consulte Criar um cluster privado do Serviço Kubernetes do Azure.

Portal do Azure

1. No portal do Azure, aceda a Fornecedores de Recursos de>Subscrições na sua subscrição.

2. Registre os Microsoft.ContainerInstance provedores e Microsoft.Relay recursos, se eles ainda não estiverem registrados, selecionando o provedor e, em seguida, selecionando Registrar. Registre novamente o provedor de Microsoft.Chaos recursos.

   

3. Vá para Chaos Studio e selecione Targets. Encontre o cluster AKS desejado e selecione Ativar destinos>Ativar destinos diretos de serviço.

   

4. Selecione a rede virtual do cluster. Se a rede virtual já incluir sub-redes nomeadas ChaosStudioContainerSubnet e ChaosStudioRelaySubnet, selecione-as. Se ainda não existirem, são automaticamente criados para si.

   

5. Selecione Rever + Ativar>ativar.

   

Agora você pode usar seu cluster AKS privado com o Chaos Studio. Para saber como instalar o Chaos Mesh e executar o experimento, consulte Criar um experimento de caos que usa uma falha do Chaos Mesh com o portal do Azure.

CLI do Azure

1. Registe os fornecedores e Microsoft.Relay de recursos com a Microsoft.ContainerInstance sua subscrição executando os seguintes comandos. Se ambos já estiverem registrados, você pode pular esta etapa. Para obter mais informações, consulte as instruções do provedor de recursos Registrar.

   az provider register --namespace 'Microsoft.ContainerInstance' --wait
   

   az provider register --namespace 'Microsoft.Relay' --wait
   

   Verifique o registro executando os seguintes comandos:

   az provider show --namespace 'Microsoft.ContainerInstance' | grep registrationState
   

   az provider show --namespace 'Microsoft.Relay' | grep registrationState
   

   Na saída, você deve ver algo semelhante a:

   "registrationState": "Registered",
   

2. Registe novamente o fornecedor de recursos com a Microsoft.Chaos sua subscrição.

   az provider register --namespace 'Microsoft.Chaos' --wait
   

   Verifique o registro executando o seguinte comando:

   az provider show --namespace 'Microsoft.Chaos' | grep registrationState
   

   Na saída, você deve ver algo semelhante a:

   "registrationState": "Registered",
   

3. Crie duas sub-redes na rede virtual na qual você deseja injetar recursos do Chaos Studio (neste caso, a rede virtual privada do cluster AKS):

   • Sub-rede de contêiner (nome de exemplo: ChaosStudioContainerSubnet)
     • Delegue a sub-rede ao Microsoft.ContainerInstance/containerGroups serviço.
     • Esta sub-rede deve ter pelo menos /28 no espaço de endereço.
   • Sub-rede de retransmissão (nome de exemplo: ChaosStudioRelaySubnet)
     • Esta sub-rede deve ter pelo menos /28 no espaço de endereço.

   az network vnet subnet create -g MyResourceGroup --vnet-name MyVnetName --name ChaosStudioContainerSubnet --address-prefixes "10.0.0.0/28" --delegations "Microsoft.ContainerInstance/containerGroups"
   

   az network vnet subnet create -g MyResourceGroup --vnet-name MyVnetName --name ChaosStudioRelaySubnet --address-prefixes "10.0.0.0/28"
   

4. Ao habilitar destinos para o cluster AKS para que você possa usá-lo em experimentos de caos, defina as properties.subnets.containerSubnetId propriedades e properties.subnets.relaySubnetId usando as novas sub-redes criadas na etapa 3.

   Substitua $SUBSCRIPTION_ID pelo seu ID da subscrição do Azure. Substitua $RESOURCE_GROUP e $AKS_CLUSTER pelo nome do grupo de recursos e pelo nome do recurso do cluster AKS. Além disso, substitua $AKS_INFRA_RESOURCE_GROUP e $AKS_VNET pelo nome do grupo de recursos de infraestrutura AKS e nome da rede virtual. Substitua $URL pela URL correspondente usada para integrar o recurso de destino. Para encontrar esse URL, consulte Integração de um recurso como um destino do Chaos Studio.

   CONTAINER_SUBNET_ID=/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$AKS_INFRA_RESOURCE_GROUP/providers/Microsoft.Network/virtualNetworks/$AKS_VNET/subnets/ChaosStudioContainerSubnet
   RELAY_SUBNET_ID=/subscriptions/$SUBSCRIPTION_ID/resourceGroups/$AKS_INFRA_RESOURCE_GROUP/providers/Microsoft.Network/virtualNetworks/$AKS_VNET/subnets/ChaosStudioRelaySubnet
   BODY="{ \"properties\": { \"subnets\": { \"containerSubnetId\": \"$CONTAINER_SUBNET_ID\", \"relaySubnetId\": \"$RELAY_SUBNET_ID\" } } }"
   az rest --method put --url $URL --body "$BODY"
   

Agora você pode usar seu cluster AKS privado com o Chaos Studio. Para saber como instalar o Chaos Mesh e executar o experimento, consulte Criar um experimento de caos que usa uma falha do Chaos Mesh com a CLI do Azure.

Limitações

• Atualmente, a injeção de rede virtual só é possível em assinaturas/regiões onde as Instâncias de Contêiner do Azure e o Azure Relay estão disponíveis.
• Ao criar um recurso de destino habilitado com a injeção de rede virtual, você precisa acessar Microsoft.Network/virtualNetworks/subnets/write a rede virtual. Por exemplo, se o cluster AKS for implantado no network_A virtual, você deverá ter permissões para criar sub-redes no network_A virtual para habilitar a injeção de rede virtual para o cluster AKS.
• Se sua organização tiver uma política que exija tags de recursos, isso falhará ao usar o Chaos Studio com Rede Privada. Você precisará desativar essa política por enquanto até que nossa correção para esse problema seja implementada.

Próximos passos

Agora que você entende como a injeção de rede virtual pode ser alcançada para o Chaos Studio, você está pronto para:

• Crie e execute sua primeira experiência
• Criar e executar seu primeiro experimento do Serviço Kubernetes do Azure