Conectar-se ao cluster Kubernetes do Azure Operator Nexus

Artigo
02/25/2025

Durante todo o ciclo de vida do cluster Kubernetes do Azure Operator Nexus, você eventualmente precisará acessar diretamente um nó de cluster. Esse acesso pode ser para manutenção, coleta de logs ou operações de solução de problemas. Você acessa um nó por meio de autenticação, cujos métodos variam dependendo do seu método de conexão. Você se autentica com segurança em nós de cluster por meio de duas opções discutidas neste artigo. Por motivos de segurança, os nós de cluster não são expostos à Internet. Em vez disso, para se conectar diretamente aos nós do cluster, você precisa usar um ou kubectl debug o endereço IP do host de uma jumpbox.

Pré-requisitos

Um cluster Kubernetes do Nexus do Operador do Azure implantado em um grupo de recursos em sua assinatura do Azure.
Chave privada SSH para os nós do cluster.
Para SSH usando o endereço IP do nó, você deve implantar uma VM jumpbox na mesma rede CNI (Container Network Interface) que os nós do cluster.

Acesso a nós de cluster por meio do Azure Arc para servidores

O az ssh arc comando permite que os usuários acessem remotamente uma VM de cluster que foi conectada ao Azure Arc. Esse método é uma maneira segura de SSH no nó do cluster diretamente da linha de comando, tornando-o um método rápido e eficiente para gerenciamento remoto.

Nota

Os nós de cluster do Operador Nexus Kubernetes são servidores conectados Arc por padrão.

Defina as variáveis necessárias. Substitua os espaços reservados pelos valores reais relevantes para seu ambiente do Azure e cluster Nexus Kubernetes.

RESOURCE_GROUP="myResourceGroup" # Resource group where the Nexus Kubernetes cluster is deployed
CLUSTER_NAME="myNexusK8sCluster" # Name of the Nexus Kubernetes cluster
SUBSCRIPTION_ID="<Subscription ID>" # Azure subscription ID
ADMIN_USERNAME="azureuser" # Username for the cluster administrator (--admin-username parameter value used during cluster creation)
SSH_PRIVATE_KEY_FILE="<vm_ssh_id_rsa>" # Path to the SSH private key file
MANAGED_RESOURCE_GROUP=$(az networkcloud kubernetescluster show -n $CLUSTER_NAME -g $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID --output tsv --query managedResourceGroupConfiguration.name)

Obtenha os nomes de nó de cluster disponíveis.

az networkcloud kubernetescluster show --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID -o json | jq '.nodes[].name'

Saída de exemplo:

"mynexusk8scluster-0b32128d-agentpool1-md-7h9t4"
"mynexusk8scluster-0b32128d-agentpool1-md-c6xbs"
"mynexusk8scluster-0b32128d-control-plane-qq5jm"

Defina o nome do nó do cluster como a variável VM_NAME.

VM_NAME="mynexusk8scluster-0b32128d-agentpool1-md-7h9t4"

Execute o seguinte comando para SSH no nó do cluster.

az ssh arc --subscription $SUBSCRIPTION_ID \
    --resource-group $MANAGED_RESOURCE_GROUP \
    --name $VM_NAME \
    --local-user $ADMIN_USERNAME \
    --private-key-file $SSH_PRIVATE_KEY_FILE

Acessar nós usando a API do Kubernetes

Este método requer o uso de kubectl debug comando. Este método é limitado a contêineres e pode perder problemas mais amplos do sistema, ao contrário do SSH (usando 'az ssh arc' ou IP direto), que oferece acesso e controle total do nó.

Acesso à API do Kubernetes via Azure Arc for Kubernetes

Nota

Quando você cria um cluster Nexus Kubernetes, o Nexus cria automaticamente um grupo de recursos gerenciado dedicado a armazenar os recursos do cluster, dentro desse grupo, o recurso de cluster conectado ao Arc é estabelecido.

Para acessar o cluster, você precisa configurar a conexão kubeconfigdo cluster . Depois de iniciar sessão na CLI do Azure com a entidade Microsoft Entra relevante, pode obter o kubeconfig necessário para comunicar com o cluster a partir de qualquer lugar, mesmo fora da firewall que o rodeia.

Definir CLUSTER_NAME, RESOURCE_GROUP e SUBSCRIPTION_ID variáveis.

CLUSTER_NAME="myNexusK8sCluster"
RESOURCE_GROUP="myResourceGroup"
SUBSCRIPTION_ID=<set the correct subscription_id>

Consultar grupo de recursos gerenciados com az e armazenar em MANAGED_RESOURCE_GROUP

 az account set -s $SUBSCRIPTION_ID
 MANAGED_RESOURCE_GROUP=$(az networkcloud kubernetescluster show -n $CLUSTER_NAME -g $RESOURCE_GROUP --output tsv --query managedResourceGroupConfiguration.name)

O comando a seguir inicia um proxy connectedk8s que permite que você se conecte ao servidor de API do Kubernetes para o cluster Nexus Kubernetes especificado.
```
az connectedk8s proxy -n $CLUSTER_NAME  -g $MANAGED_RESOURCE_GROUP &
```
Use kubectl para enviar solicitações para o cluster:
```
kubectl get pods -A
```
Agora você deve ver uma resposta do cluster contendo a lista de todos os nós.

Nota

Se você vir a mensagem de erro "Falha ao postar token de acesso ao proxy do clienteFalha ao se conectar ao MSI", talvez seja necessário executar um az login para autenticar novamente com o Azure.

Acesso a nós de cluster por meio do Azure Arc for Kubernetes

Depois de conectado a um cluster via Arc for Kubernetes, você pode se conectar a um nó Kubernetes individual usando o kubectl debug comando para executar um contêiner privilegiado em seu nó.

Liste os nós em seu cluster Nexus Kubernetes:

$> kubectl get nodes
NAME                                             STATUS   ROLES           AGE    VERSION
mynexusk8scluster-0b32128d-agentpool1-md-7h9t4   Ready    <none>          125m   v1.24.9
mynexusk8scluster-0b32128d-agentpool1-md-c6xbs   Ready    <none>          125m   v1.24.9
mynexusk8scluster-0b32128d-control-plane-qq5jm   Ready    <none>          124m   v1.24.9

Inicie um contêiner privilegiado em seu nó e conecte-se a ele:

$> kubectl debug node/mynexusk8scluster-0b32128d-agentpool1-md-7h9t4 -it --image=mcr.microsoft.com/cbl-mariner/base/core:2.0
Creating debugging pod node-debugger-mynexusk8scluster-0b32128d-agentpool1-md-7h9t4-694gg with container debugger on node mynexusk8scluster-0b32128d-agentpool1-md-7h9t4.
If you don't see a command prompt, try pressing enter.
root [ / ]#

Esse contêiner privilegiado dá acesso ao nó. Execute comandos no nó do cluster executando chroot /host na linha de comando.

Quando terminar de depurar um pod, insira o exit comando para encerrar a sessão interativa do shell. Depois de sair do shell, certifique-se de excluir o pod:
```
kubectl delete pod node-debugger-mynexusk8scluster-0b32128d-agentpool1-md-7h9t4-694gg 
```

Criar uma conexão de shell interativo com um nó usando o endereço IP

Conectar-se ao nó do cluster a partir do jumpbox do Azure

Outra opção para se conectar com segurança a um nó de cluster do Nexus Kubernetes do Operador do Azure é configurar um acesso direto à rede CNI do cluster a partir da VM jumpbox do Azure. Usando essa abordagem, você pode SSH nos nós do cluster e também executar kubectl comandos no cluster usando o kubeconfig arquivo.

Entre em contato com o administrador da rede para configurar uma conexão direta da VM jumpbox do Azure com a rede CNI do cluster.

Conectar-se ao nó do cluster a partir da caixa de jumpbox local

Estabeleça acesso direto à CNI (Container Network Interface) do cluster a partir de sua jumpbox local. Esse acesso direto permite que você SSH nos nós do cluster e permite executar kubectl comandos usando o kubeconfig arquivo.

Entre em contato com o administrador da rede para configurar essa conexão direta com a rede CNI do cluster.

Endereço IP dos nós do cluster

Antes de se conectar aos nós do cluster, você precisa encontrar o endereço IP dos nós. O endereço IP dos nós pode ser encontrado usando o portal do Azure ou a CLI do Azure.

Utilizar a CLI do Azure

Defina as variáveis RESOURCE_GROUP, CLUSTER_NAME e SUBSCRIPTION_ID para corresponder ao seu ambiente.

RESOURCE_GROUP="myResourceGroup"
CLUSTER_NAME="myNexusK8sCluster"
SUBSCRIPTION_ID="<Subscription ID>"

Execute o seguinte comando para obter o endereço IP dos nós.

az networkcloud kubernetescluster show --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --subscription $SUBSCRIPTION_ID -o json | jq '.nodes[] | select(any(.networkAttachments[]; .networkAttachmentName == "defaultcni")) | {name: .name, ipv4Address: (.networkAttachments[] | select(.networkAttachmentName == "defaultcni").ipv4Address)}'

Aqui está a saída de exemplo do comando.

{
  "name": "mynexusk8scluster-0b32128d-agentpool1-md-7h9t4",
  "ipv4Address": "10.5.54.47"
}
{
  "name": "mynexusk8scluster-0b32128d-agentpool1-md-c6xbs",
  "ipv4Address": "10.5.54.48"
}
{
  "name": "mynexusk8scluster-0b32128d-control-plane-qq5jm",
  "ipv4Address": "10.5.54.46"
}

Utilizar o portal do Azure

Para localizar o endereço IP da VM para SSH, siga estes passos:

Aceda ao portal do Azure e inicie sessão com o seu nome de utilizador e palavra-passe.
Digite 'Kubernetes Cluster (Operator Nexus)' na caixa de pesquisa e selecione o serviço 'Kubernetes Cluster' na lista de resultados.

Procure o recurso específico 'Nexus Kubernetes cluster' que você precisa para usar a pesquisa.

Depois de encontrar o recurso certo, combinando seu nome com o nome do cluster, selecione o recurso para ir para a página inicial 'Cluster Kubernetes'.

Depois de encontrar o recurso certo, combinando seu nome com o nome do cluster, vá para a seção 'Nós de cluster do Kubernetes' no menu à esquerda.

Selecione o nome do nó Kubernetes em que você está interessado para ver seus detalhes.
Verifique a guia 'Redes Conectadas' para encontrar o endereço IP da 'Rede de Camada 3' do nó usado como rede CNI.

Recuperar o SAN (Nome Alternativo da Entidade) do cluster

Execute os comandos a seguir para recuperar a lista de nomes alternativos de entidade (SAN) aceitos pelo certificado do servidor de API do Kubernetes. Primeiro, acesse o nó do plano de controle usando o Azure Arc para servidores ou usando o shell interativo usando o endereço IP. Isso lhe dá acesso ao certificado usado pelo servidor de API. Você pode inspecionar o conteúdo do certificado usando o seguinte comando com privilégios sudo:

sudo openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

Cada uma das SANs é identificada pelo prefixo "DNS:". Escolha apenas as SANs que seguem a convenção de nomenclatura especificada "<clusterName-resourceGroup><>", pois ela é exclusiva em comparação com outras SANs, como "kubernetes.default.svc.cluster.local".

Próximos passos

Experimente os seguintes artigos para saber mais sobre o cluster Kubernetes do Azure Operator Nexus.

Partilhar via

Conectar-se ao cluster Kubernetes do Azure Operator Nexus

Pré-requisitos

Acesso a nós de cluster por meio do Azure Arc para servidores

Acessar nós usando a API do Kubernetes

Acesso à API do Kubernetes via Azure Arc for Kubernetes

Acesso a nós de cluster por meio do Azure Arc for Kubernetes

Criar uma conexão de shell interativo com um nó usando o endereço IP

Conectar-se ao nó do cluster a partir do jumpbox do Azure

Conectar-se ao nó do cluster a partir da caixa de jumpbox local

Endereço IP dos nós do cluster

Utilizar a CLI do Azure

Utilizar o portal do Azure

Recuperar o SAN (Nome Alternativo da Entidade) do cluster

Próximos passos

Comentários

Recursos adicionais