HTTP-Proxyunterstützung in Azure Kubernetes Service (AKS)

Bevor Sie beginnen

• Verwenden Sie die Bash-Umgebung in Azure Cloud Shell. Weitere Informationen finden Sie unter "Erste Schritte mit Azure Cloud Shell".

  

• Wenn Sie CLI-Referenzbefehle lieber lokal ausführen möchten, installieren Sie die Azure CLI. Wenn Sie mit Windows oder macOS arbeiten, sollten Sie die Azure CLI in einem Docker-Container ausführen. Weitere Informationen finden Sie unter Ausführen der Azure CLI in einem Docker-Container.

  • Wenn Sie eine lokale Installation verwenden, melden Sie sich mithilfe des Befehls az login bei der Azure CLI an. Um den Authentifizierungsprozess abzuschließen, führen Sie die schritte aus, die in Ihrem Terminal angezeigt werden. Weitere Anmeldeoptionen finden Sie unter Authentifizieren bei Azure mithilfe der Azure CLI.

  • Wenn Sie dazu aufgefordert werden, installieren Sie die Azure CLI-Erweiterung bei der ersten Verwendung. Weitere Informationen zu Erweiterungen finden Sie unter Verwenden und Verwalten von Erweiterungen mit der Azure CLI.

  • Führen Sie az version aus, um die installierte Version und die abhängigen Bibliotheken zu ermitteln. Führen Sie az upgrade aus, um auf die neueste Version zu aktualisieren.

Erstellen einer Konfigurationsdatei mit HTTP-Proxywerten

Erstellen Sie eine Datei, und geben Sie Werte für httpProxy, httpsProxy und noProxy an. Wenn Ihre Umgebung dies erfordert, geben Sie einen Wert für trustedCa an.

Das Schema für die Konfigurationsdatei sieht wie folgt aus:

{
  "httpProxy": "string",
  "httpsProxy": "string",
  "noProxy": [
    "string"
  ],
  "trustedCa": "string"
}

Überprüfen Sie die Anforderungen für jeden Parameter:

• httpProxy: Eine Proxy-URL, die zum Erstellen von HTTP-Verbindungen außerhalb des Clusters verwendet wird. Das URL-Schema muss http sein.
• httpsProxy: Eine Proxy-URL, die zum Erstellen von HTTPS-Verbindungen außerhalb des Clusters verwendet wird. Wenn kein Wert angegeben wird, wird httpProxy sowohl für HTTP- als auch für HTTPS-Verbindungen verwendet.
• noProxy: Eine Liste von Zieldomänennamen, Domänen, IP-Adressen oder anderen Arten von Netzwerk-CIDR, um ein Weiterleiten auszuschließen
• trustedCa: Eine Zeichenfolge, die alternative base64 encoded CA-Zertifikatsinhalte enthält. Derzeit wird nur das Format PEM unterstützt.

Beispieleingabe:

{
  "httpProxy": "http://myproxy.server.com:8080", 
  "httpsProxy": "https://myproxy.server.com:8080", 
  "noProxy": [
    "localhost",
    "127.0.0.1"
  ],
  "trustedCA": "LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUgvVENDQmVXZ0F3SUJB...S0tLS0="
}

Erstellen eines Clusters mit einer HTTP-Proxykonfiguration mithilfe der Azure CLI

Sie können einen AKS-Cluster mit einer HTTP-Proxykonfiguration während der Clustererstellung konfigurieren.

1. Verwenden Sie den az aks create Befehl und übergeben Sie Ihre Konfiguration als JSON-Datei.

   az aks create \
       --name $clusterName \
       --resource-group $resourceGroup \
       --http-proxy-config aks-proxy-config.json \
       --generate-ssh-keys
   

   Ihr Cluster sollte mit dem HTTP-Proxy initialisiert werden, der auf den Knoten konfiguriert ist.

2. Überprüfen Sie, ob sich die HTTP-Proxykonfiguration auf den Pods und Knoten befindet, indem Sie überprüfen, ob die Umgebungsvariablen die entsprechenden Werte für http_proxy, https_proxy und no_proxy enthalten, indem Sie den kubectl describe pod Befehl verwenden.

   kubectl describe {any pod} -n kube-system
   

   Um zu überprüfen, ob Proxyvariablen in Pods festgelegt sind, können Sie die Umgebungsvariablen überprüfen, die auf den Knoten vorhanden sind.

   kubectl get nodes
   kubectl node-shell {node name}
   cat /etc/environment
   

Aktualisieren einer HTTP-Proxykonfiguration

Sie können HTTP-Proxykonfigurationen auf vorhandenen Clustern aktualisieren, einschließlich:

• Aktualisieren eines vorhandenen Clusters, um HTTP-Proxy zu aktivieren und eine neue HTTP-Proxykonfiguration hinzuzufügen.
• Aktualisieren eines vorhandenen Clusters zum Ändern einer HTTP-Proxykonfiguration.

Überlegungen zum HTTP-Proxyupdate

Der --http-proxy-config Parameter sollte auf eine neue JSON-Datei mit aktualisierten Werten für httpProxy, httpsProxy, , noProxyund trustedCa falls erforderlich festgelegt werden. Das Update fügt neue Umgebungsvariablen in Pods mit den neuen Werten für httpProxy, httpsProxy oder noProxy ein. Pods müssen rotiert werden, damit die Apps sie verwenden können, da die Werte der Umgebungsvariablen von einem mutierenden Zugangswebhook eingefügt werden.

Aktualisieren eines Clusters zum Aktualisieren oder Aktivieren eines HTTP-Proxys

1. Aktivieren oder Aktualisieren von HTTP-Proxykonfigurationen auf einem vorhandenen Cluster mithilfe des az aks update Befehls.

   Angenommen, Sie haben eine neue Datei namens aks-proxy-config-2.json mit der base64-codierten Zeichenfolge des neuen ZS-Zertifikats erstellt. Sie können die Proxykonfiguration in Ihrem Cluster mit dem folgenden Befehl aktualisieren:

   az aks update --name $clusterName --resource-group $resourceGroup --http-proxy-config aks-proxy-config-2.json
   

2. Überprüfen Sie, ob sich die HTTP-Proxykonfiguration auf den Pods und Knoten befindet, indem Sie überprüfen, ob die Umgebungsvariablen die entsprechenden Werte für http_proxy, https_proxy und no_proxy enthalten, indem Sie den kubectl describe pod Befehl verwenden.

   kubectl describe {any pod} -n kube-system
   

   Um zu überprüfen, ob Proxyvariablen in Pods festgelegt sind, können Sie die Umgebungsvariablen überprüfen, die auf den Knoten vorhanden sind.

   kubectl get nodes
   kubectl node-shell {node name}
   cat /etc/environment
   

Deaktivieren des HTTP-Proxys für einen vorhandenen Cluster (Vorschau)

Installieren der aks-preview Erweiterung

1. Installieren Sie die Azure CLI-Speichererweiterung aks-preview mit dem Befehl az extension add.

   Wichtig

   AKS-Vorschaufunktionen sind auf Selbstbedienungsbasis und freiwillig verfügbar. Vorschauversionen werden „im Istzustand“ und „wie verfügbar“ bereitgestellt und sind von den Service Level Agreements und der eingeschränkten Garantie ausgeschlossen. AKS-Vorschauversionen werden teilweise vom Kundensupport auf Grundlage der bestmöglichen Leistung abgedeckt. Daher sind diese Funktionen nicht für die Verwendung in der Produktion vorgesehen. Weitere Informationen finden Sie in den folgenden Supportartikeln:

   • AKS-Unterstützungsrichtlinien
   • Häufig gestellte Fragen zum Azure-Support

   az extension add --name aks-preview
   

2. Führen Sie mit dem Befehl az extension update ein Update auf die neueste Version der Erweiterung aus. "HTTP-Proxy deaktivieren" erfordert mindestens 18.0.0b13.

   az extension update --name aks-preview
   

Registrieren des DisableHTTPProxyPreview-Featureflags

1. Registrieren Sie das Featureflag DisableHTTPProxyPreview mithilfe des Befehls az feature register.

   az feature register --namespace Microsoft.ContainerService --name DisableHTTPProxyPreview
   

2. Überprüfen Sie den Registrierungsstatus mithilfe des Befehls az feature show. Es dauert einige Minuten, bis der Status Registered (Registriert) angezeigt wird.

   az feature show --namespace Microsoft.ContainerService --name DisableHTTPProxyPreview
   

3. Wenn der Zustand Registered (Registriert) lautet, aktualisieren Sie die Registrierung des Ressourcenanbieters Microsoft.ContainerService mithilfe des Befehls az provider register.

   az provider register --namespace Microsoft.ContainerService
   

Aktualisieren des Clusters zum Deaktivieren des HTTP-Proxys (Vorschau)

1. Aktualisieren Sie Ihren Cluster so, dass der HTTP-Proxy mithilfe des az aks update Befehls mit --disable-http-proxy Flag deaktiviert wird.

   az aks update --name $clusterName --resource-group $resourceGroup --disable-http-proxy
   

2. Überprüfen Sie, ob der HTTP-Proxy deaktiviert ist, indem Sie sicherstellen, dass die HTTP-Proxykonfiguration bei den Pods und Knoten mit dem kubectl describe pod-Befehl nicht festgelegt wird.

   kubectl describe {any pod} -n kube-system
   

   Um zu überprüfen, ob Proxyvariablen in Pods nicht festgelegt sind, können Sie die Umgebungsvariablen überprüfen, die auf den Knoten vorhanden sind.

   kubectl get nodes
   kubectl node-shell {node name}
   cat /etc/environment
   

Erneutes Aktivieren des HTTP-Proxys in einem vorhandenen Cluster

Wenn Sie einen Cluster erstellen, ist der HTTP-Proxy standardmäßig aktiviert. Nachdem Sie den HTTP-Proxy in einem Cluster deaktiviert haben, wird die Proxykonfiguration in der Datenbank gespeichert, die Proxyvariablen werden jedoch aus den Pods und Knoten entfernt.

Verwenden Sie den az aks update-Befehl mit dem --enable-http-proxy-Flag, um den HTTP-Proxy in einem vorhandenen Cluster erneut zu aktivieren.

az aks update --name $clusterName --resource-group $resourceGroup --enable-http-proxy

Konfigurieren einer HTTP-Proxykonfiguration mithilfe einer Azure Resource Manager (ARM)-Vorlage

Sie können einen AKS-Cluster mit einem HTTP-Proxy mithilfe einer ARM-Vorlage bereitstellen.

1. Überprüfen Sie die Anforderungen für jeden Parameter:

   • httpProxy: Eine Proxy-URL, die zum Erstellen von HTTP-Verbindungen außerhalb des Clusters verwendet wird. Das URL-Schema muss http sein.
   • httpsProxy: Eine Proxy-URL, die zum Erstellen von HTTPS-Verbindungen außerhalb des Clusters verwendet wird. Wenn kein Wert angegeben wird, wird httpProxy sowohl für HTTP- als auch für HTTPS-Verbindungen verwendet.
   • noProxy: Eine Liste von Zieldomänennamen, Domänen, IP-Adressen oder anderen Arten von Netzwerk-CIDR, um ein Weiterleiten auszuschließen
   • trustedCa: Eine Zeichenfolge, die alternative base64 encoded CA-Zertifikatsinhalte enthält. Derzeit wird nur das Format PEM unterstützt.

   Wichtig

   Um mit Go-basierten Komponenten des Kubernetes-Systems kompatibel zu sein, muss das Zertifikat Subject Alternative Names (SANs) anstelle der veralteten Common Name-Zertifikate unterstützen.

   Die Anwendungen unterscheiden sich hinsichtlich der Einhaltung der Umgebungsvariablen http_proxy, https_proxy und no_proxy. Curl und Python unterstützen CIDR in no_proxy nicht, Ruby hingegen schon.

2. Erstellen Sie eine Vorlage mit HTTP-Proxyparametern. Geben Sie in Ihrer Vorlage Werte für httpProxy, httpsProxy und noProxy an. Geben Sie, falls erforderlich, einen Wert für trustedCa an. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "httpProxyConfig": {
         "enabled": "true",
           "httpProxy": "string",
           "httpsProxy": "string",
           "noProxy": [
               "string"
           ],
           "trustedCa": "string"
       }
   }
   

3. Stellen Sie Ihre ARM-Vorlage mit der HTTP-Proxykonfiguration bereit. Ihr Cluster sollte mit Ihrem HTTP-Proxy initialisiert werden, der auf den Knoten konfiguriert ist.

Aktualisieren einer HTTP-Proxykonfiguration

Sie können HTTP-Proxykonfigurationen auf vorhandenen Clustern aktualisieren, einschließlich:

• Aktualisieren eines vorhandenen Clusters, um HTTP-Proxy zu aktivieren und eine neue HTTP-Proxykonfiguration hinzuzufügen.
• Aktualisieren eines vorhandenen Clusters zum Ändern einer HTTP-Proxykonfiguration.

Überlegungen zum HTTP-Proxyupdate

Der --http-proxy-config Parameter sollte auf eine neue JSON-Datei mit aktualisierten Werten für httpProxy, httpsProxy, , noProxyund trustedCa falls erforderlich festgelegt werden. Das Update fügt neue Umgebungsvariablen in Pods mit den neuen Werten für httpProxy, httpsProxy oder noProxy ein. Pods müssen rotiert werden, damit die Apps sie verwenden können, da die Werte der Umgebungsvariablen von einem mutierenden Zugangswebhook eingefügt werden.

Aktualisieren einer ARM-Vorlage zum Konfigurieren des HTTP-Proxys

1. Geben Sie in Ihrer Vorlage neue Werte für httpProxy, httpsProxyund noProxy. Geben Sie, falls erforderlich, einen Wert für trustedCa an.

   Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "httpProxyConfig": {
           "enabled": "true",
           "httpProxy": "string",
           "httpsProxy": "string",
           "noProxy": [
               "string"
           ],
           "trustedCa": "string"
       }
   }
   

2. Stellen Sie Ihre ARM-Vorlage mit der aktualisierten HTTP-Proxykonfiguration bereit.

3. Überprüfen Sie, ob sich die HTTP-Proxykonfiguration auf den Pods und Knoten befindet, indem Sie überprüfen, ob die Umgebungsvariablen die entsprechenden Werte für http_proxy, https_proxy und no_proxy enthalten, indem Sie den kubectl describe pod Befehl verwenden.

   kubectl describe {any pod} -n kube-system
   

   Um zu überprüfen, ob Proxyvariablen in Pods festgelegt sind, können Sie die Umgebungsvariablen überprüfen, die auf den Knoten vorhanden sind.

   kubectl get nodes
   kubectl node-shell {node name}
   cat /etc/environment
   

Deaktivieren des HTTP-Proxys auf einem vorhandenen Cluster mithilfe einer ARM-Vorlage (Vorschau)

Installieren der aks-preview Erweiterung

1. Installieren Sie die Azure CLI-Speichererweiterung aks-preview mit dem Befehl az extension add.

   Wichtig

   AKS-Vorschaufunktionen sind auf Selbstbedienungsbasis und freiwillig verfügbar. Vorschauversionen werden „im Istzustand“ und „wie verfügbar“ bereitgestellt und sind von den Service Level Agreements und der eingeschränkten Garantie ausgeschlossen. AKS-Vorschauversionen werden teilweise vom Kundensupport auf Grundlage der bestmöglichen Leistung abgedeckt. Daher sind diese Funktionen nicht für die Verwendung in der Produktion vorgesehen. Weitere Informationen finden Sie in den folgenden Supportartikeln:

   • AKS-Unterstützungsrichtlinien
   • Häufig gestellte Fragen zum Azure-Support

   az extension add --name aks-preview
   

2. Führen Sie mit dem Befehl az extension update ein Update auf die neueste Version der Erweiterung aus. "HTTP-Proxy deaktivieren" erfordert mindestens 18.0.0b13.

   az extension update --name aks-preview
   

Registrieren des DisableHTTPProxyPreview-Featureflags

1. Registrieren Sie das Featureflag DisableHTTPProxyPreview mithilfe des Befehls az feature register.

   az feature register --namespace Microsoft.ContainerService --name DisableHTTPProxyPreview
   

2. Überprüfen Sie den Registrierungsstatus mithilfe des Befehls az feature show. Es dauert einige Minuten, bis der Status Registered (Registriert) angezeigt wird.

   az feature show --namespace Microsoft.ContainerService --name DisableHTTPProxyPreview
   

3. Wenn der Zustand Registered (Registriert) lautet, aktualisieren Sie die Registrierung des Ressourcenanbieters Microsoft.ContainerService mithilfe des Befehls az provider register.

   az provider register --namespace Microsoft.ContainerService
   

Aktualisieren des Clusters zum Deaktivieren des HTTP-Proxys

1. Aktualisieren Sie Ihre Cluster-ARM-Vorlage zum Deaktivieren des HTTP-Proxys, indem Sie enabled auf false festlegen. Das Schema, das für die CLI-Bereitstellung verwendet wird, ist auch in der Definition Microsoft.ContainerService/managedClusters unter "properties" verfügbar, wie im folgenden Beispiel zu sehen:

   "properties": {
       ...,
       "httpProxyConfig": {
          "enabled": "false",
       }
   }
   

2. Stellen Sie Ihre ARM-Vorlage mit deaktivierter HTTP-Proxy bereit.

3. Überprüfen Sie, ob der HTTP-Proxy deaktiviert ist, indem Sie überprüfen, ob die HTTP-Proxykonfiguration auf den Pods und Knoten mit dem kubectl describe pod Befehl nicht festgelegt ist.

   kubectl describe {any pod} -n kube-system
   

   Um zu überprüfen, ob Proxyvariablen in Pods nicht festgelegt sind, können Sie die Umgebungsvariablen überprüfen, die auf den Knoten vorhanden sind.

   kubectl get nodes
   kubectl node-shell {node name}
   cat /etc/environment
   

Erneutes Aktivieren des HTTP-Proxys in einem vorhandenen Cluster

Wenn Sie einen Cluster erstellen, ist der HTTP-Proxy standardmäßig aktiviert. Nachdem Sie den HTTP-Proxy in einem Cluster deaktiviert haben, können Sie diesem Cluster keine HTTP-Proxykonfigurationen mehr hinzufügen.

Wenn Sie den HTTP-Proxy erneut aktivieren möchten, führen Sie die Schritte zum Aktualisieren einer HTTP-Proxykonfiguration mithilfe einer ARM-Vorlage aus.