Establecimiento de la conectividad de red con un clúster privado de Azure Kubernetes Service (AKS)

Conexión mediante Azure Cloud Shell

La conexión a un clúster de AKS privado a través de Azure Cloud Shell requiere completar los pasos siguientes:

• Implemente los recursos necesarios: Debe implementar Cloud Shell en una red virtual que pueda acceder al clúster privado. Este paso aprovisiona la infraestructura necesaria. Aunque Cloud Shell es un servicio gratuito, el uso de Cloud Shell en una red virtual requiere algunos recursos que incurren en costos. Para más información, consulte Implementación de Cloud Shell en una red virtual.
• Configure la conexión: Después de implementar los recursos, cualquier usuario de la suscripción que tenga los permisos adecuados en el clúster puede configurar Cloud Shell para que se implemente en la red virtual para permitir una conexión segura al clúster privado.

Desplegar recursos necesarios

Para implementar y configurar los recursos necesarios, debe tener la asignación del rol Propietario en la suscripción. Para ver y asignar roles, consulte Enumerar propietarios de una suscripción.

Puede implementar los recursos necesarios mediante Azure Portal o la plantilla de ARM proporcionada si administra la infraestructura como código o tiene directivas organizativas que requieren convenciones de nomenclatura de recursos específicas.

Opcionalmente, puede dejar los recursos implementados en su lugar para futuras conexiones o eliminarlos y volver a crearlos según sea necesario.

Uso de Azure Portal (versión preliminar)

Esta opción crea una red virtual independiente con los recursos necesarios para Cloud Shell y configura automáticamente el emparejamiento de red virtual.

1. En Azure Portal, vaya al recurso de clúster privado.
2. En la página Información general, seleccione Conectar.
3. En la pestaña Cloud Shell , en Requisitos previos para la conexión de clúster privado, seleccione Configurar para implementar los recursos necesarios.
   • La implementación crea un nuevo grupo de recursos denominado RG-CloudShell-PrivateClusterConnection-{RANDOM_ID}.
4. Una vez que la implementación se realice correctamente, en Establecer contexto de clúster, seleccione Abrir Cloud Shell.

Uso de una plantilla de ARM

Para tener más control sobre la configuración de implementación, use la plantilla de ARM proporcionada.

Puede implementar Cloud Shell en la misma red virtual que el clúster privado de AKS con una subred dedicada, o bien puede implementar en una nueva red virtual y conectarse a través del emparejamiento de VNet.

Configuración de la conexión al clúster privado

Después de implementar los recursos necesarios, cualquier usuario de la suscripción puede configurar su cloud Shell para que se implemente en la red virtual determinada mediante los pasos descritos en Configuración de Cloud Shell para usar una red virtual.

Asegúrese de que el usuario tiene acceso adecuado a nivel de Kubernetes para conectarse correctamente al clúster privado. Para más información, consulte Opciones de acceso e identidad para Azure Kubernetes Service (AKS).

Conexión mediante Azure Bastion (versión preliminar)

Azure Bastion es un servicio PaaS completamente administrado que se provisiona para conectar de manera segura a recursos privados mediante direcciones IP privadas. Para usar la característica de tunelización de cliente nativo de Bastion, consulte Conexión al clúster privado de AKS mediante Azure Bastion.

Conexión mediante el emparejamiento de red virtual (VNet)

Si desea usar el emparejamiento de red virtual, tiene que configurar un vínculo entre la red virtual y la zona DNS privada. Puede configurar el emparejamiento VNet utilizando el portal de Azure o la CLI de Azure.

Uso de Azure Portal

1. En Azure Portal, navegue hasta su grupo de recursos de nodo y seleccione su recurso de zona DNS privada.

2. En el menú de servicio, en Administración de DNS, seleccione Vínculos de red virtuales>Añadir.

3. En la página Agregar vínculo de red virtual , configure las opciones siguientes:

   • Nombre del vínculo: escriba un nombre para el vínculo de red virtual.
   • Red virtual: seleccione la red virtual que contiene la máquina virtual.

4. Seleccione Crear para crear el vínculo de red virtual.

5. Vaya al grupo de recursos que contiene la red virtual del clúster de AKS y seleccione el recurso de red virtual.

6. En el menú de servicios, en Configuración, seleccione Emparejamientos>Agregar.

7. En la página Agregar emparejamiento, configure las siguientes opciones:

   • Nombre del vínculo de emparejamiento: escriba un nombre para el vínculo de emparejamiento.
   • Red virtual: seleccione la red virtual de la máquina virtual.

8. Seleccione Agregar para crear el vínculo de emparejamiento.

Para más información, consulte Emparejamiento de redes virtuales.

Uso de la CLI de Azure

1. Cree un nuevo vínculo para agregar la red virtual de la máquina virtual a la zona DNS privada mediante el comando az network private-dns link vnet create.

   az network private-dns link vnet create \
       --name <new-link-name> \
       --resource-group <node-resource-group-name> \
       --zone-name <private-dns-zone-name> \
       --virtual-network <vm-virtual-network-resource-id> \
       --registration-enabled false
   

2. Cree un emparejamiento entre la red virtual de la máquina virtual y la red virtual del grupo de recursos del nodo mediante el comando az network vnet peering create.

   az network vnet peering create \
       --name <new-peering-name-1> \
       --resource-group <vm-virtual-network-resource-group-name> \
       --vnet-name <vm-virtual-network-name> \
       --remote-vnet <node-resource-group-virtual-network-resource-id> \
       --allow-vnet-access
   

3. Cree un segundo emparejamiento entre la red virtual del grupo de recursos del nodo y la red virtual de la máquina virtual mediante el comando az network vnet peering create.

   az network vnet peering create \
       --name <new-peering-name-2> \
       --resource-group <node-resource-group-name> \
       --vnet-name <node-resource-group-virtual-network-name> \
       --remote-vnet <vm-virtual-network-resource-id> \
       --allow-vnet-access
   

4. Enumere los emparejamientos de red virtual que creó mediante el comando az network vnet peering list.

   az network vnet peering list \
       --resource-group <node-resource-group-name> \
       --vnet-name <private-dns-zone-name>
   

Use una conexión de punto de conexión privado

Puede configurar un punto de conexión privado para que no sea necesario emparejar una red virtual para comunicarse con el clúster privado. Para configurar una conexión de punto de conexión privado, primero debe crear un nuevo punto de conexión privado en la red virtual que contiene los recursos consumidores y, a continuación, crear un enlace entre la red virtual y una nueva zona DNS privada en la misma red.

Creación de un recurso de punto de conexión privado

1. En la página principal de Azure Portal, seleccione Crear un recurso.

2. Busque Punto de conexión privado y seleccione Crear>Punto de conexión privado.

3. Selecciona Crear.

4. En la pestaña Información básica, configure los siguientes valores:

   • Detalles del proyecto

     • Suscripción: seleccione la suscripción donde se encuentra el clúster privado.
     • Grupo de recursos: seleccione el grupo de recursos que contiene su red virtual.

   • Detalles de la instancia

     • Nombre: escriba un nombre para su punto de conexión privado, como myPrivateEndpoint.
     • Región: seleccione la misma región que su red virtual.

5. Seleccione Siguiente: Recurso y configure las opciones siguientes:

   • Método de conexión: seleccione Conectarse a un recurso Azure en mi directorio.
   • Suscripción: seleccione la suscripción donde se encuentra el clúster privado.
   • Tipo de recurso: seleccione Microsoft.ContainerService/managedClusters.
   • Recurso: seleccione el clúster privado.
   • Subrecurso de destino: seleccione administración.

6. Seleccione Siguiente: Red virtual y configure las opciones siguientes:

   • Creación de redes
     • Red virtual: Seleccione la red virtual.
     • Subred: seleccione la subred.

7. Seleccione Siguiente: DNS>Siguiente: Etiquetas y (opcionalmente) configure los valores de clave según sea necesario.

8. Seleccione Siguiente: Revisar y crear>Crear.

Una vez creado el recurso, registre la dirección IP privada del punto de conexión privado para su uso futuro.

Crear una zona DNS privada

Una vez que se crea el punto de conexión privado, cree una zona DNS privada con el mismo nombre que la que ha creado el clúster privado. Recuerde crear esta zona DNS en la red virtual que contiene los recursos de consumo.

1. En Azure Portal, vaya a su grupo de recursos de nodo y seleccione su recurso de zona DNS privada.

2. En el menú servicio, en Administración de DNS, seleccione Conjuntos de registros y anote lo siguiente:

   • Nombre de la zona DNS privada, que sigue el patrón *.privatelink.<region>.azmk8s.io.
   • Nombre del registro A (excepto el nombre DNS privado).
   • Período de vida (TTL).

3. En la página principal de Azure Portal, seleccione Crear un recurso.

4. Busque Zona DNS privada y seleccione Crear>Zona DNS privada.

5. En la pestaña Información básica, configure los siguientes valores:

   • Detalles del proyecto

     • Seleccione su suscripción.
     • Seleccione el grupo de recursos donde creó el punto de conexión privado.

   • Detalles de la instancia

     • Nombre: escriba el nombre de la zona DNS recuperada en los pasos anteriores.
     • Región: Por defecto, se utiliza la ubicación del grupo de recursos.

6. Seleccione Revisar y crear>Crear.

Creación de un registro A

Una vez creada la zona DNS privada, cree un A registro, que asocia el punto de conexión privado al clúster privado.

1. Acceda a su recurso de la zona DNS privada.

2. En el menú de servicio, en Administración de DNS, seleccione Conjuntos de registros>Agregar.

3. En la página Agregar conjunto de registros , configure las opciones siguientes:

   • Nombre: introduzca el nombre recuperado del registro A en la zona DNS del clúster privado.
   • Tipo: seleccione A: registro de dirección.
   • TTL: escriba el número del registro A en la zona DNS del clúster privado.
   • Unidad TTL: cambie el valor de la lista desplegable para que coincida con el registro A de la zona DNS del clúster privado.
   • Dirección IP: escriba la dirección IP del punto de conexión privado que ha creado.

4. Seleccione Agregar para crear el registro A.

Vínculo de la zona DNS privada a la red virtual

Una vez creado el A registro, vincule la zona DNS privada a la red virtual que tendrá acceso al clúster privado.

1. Acceda a su recurso de la zona DNS privada.

2. En el menú de servicio, en Administración de DNS, seleccione Vínculos de red virtuales>Añadir.

3. En la página Agregar vínculo de red virtual , configure las opciones siguientes:

   • Nombre del vínculo: escriba un nombre para el vínculo de red virtual.
   • Suscripción: seleccione la suscripción donde se encuentra el clúster privado.
   • Red virtual: seleccione la red virtual del clúster privado.

4. Seleccione Crear para crear el vínculo.

   La operación puede tardar unos minutos en completarse. Una vez creado el vínculo de red virtual, puede acceder a él desde la pestaña Vínculos de red virtual que usó en el paso 2.

Creación de una máquina virtual en la misma red virtual

Para crear una máquina virtual en la misma red virtual que el clúster de AKS privado, use el az vm create comando con la --vnet-name marca para especificar la red virtual.

az vm create \
    --resource-group <resource-group-name> \
    --name <vm-name> \
    --image <image-name> \
    --vnet-name <vm-virtual-network-name> \
    --subnet <subnet-name> \
    --admin-username <admin-username> \
    --admin-password <admin-password>

Uso de una conexión ExpressRoute o VPN

Para usar una conexión ExpressRoute o VPN, consulte Acerca de las puertas de enlace de red virtual de ExpressRoute.

Uso de la característica AKS command invoke

Para usar la característica de AKS command invoke para conectarse a un clúster privado, consulte Acceso a un clúster privado mediante command invoke.