Démarrage rapide : créez un cluster Azure Kubernetes Service (AKS) Automatic privé dans un réseau virtuel personnalisé

Créer un réseau virtuel

Créer un réseau virtuel en utilisant la commande az network vnet create. Créez un sous-réseau de serveur d’API et un sous-réseau de cluster à l’aide de la az network vnet subnet create commande.

Lorsque vous utilisez un réseau virtuel personnalisé avec AKS Automatic, vous devez créer et déléguer un sous-réseau de serveur d’API à Microsoft.ContainerService/managedClusters, ce qui accorde les autorisations de service AKS pour injecter les pods du serveur d’API et l’équilibreur de charge interne dans ce sous-réseau. Vous ne pouvez pas utiliser le sous-réseau pour d’autres charges de travail, mais vous pouvez l’utiliser pour différents clusters AKS situés dans le même réseau virtuel. La taille minimale de sous-réseau de serveur d’API prise en charge est de /28.

az network vnet create --name ${VNET_NAME} \
--resource-group ${RG_NAME} \
--location ${LOCATION} \
--address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name apiServerSubnet \
--delegations Microsoft.ContainerService/managedClusters \
--address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name clusterSubnet \
--address-prefixes 172.19.1.0/24

Règles de groupe de sécurité réseau

Tout le trafic au sein du réseau virtuel est autorisé par défaut. Toutefois, si vous avez ajouté des règles de groupe de sécurité réseau (NSG) pour restreindre le trafic entre différents sous-réseaux, assurez-vous que les règles de sécurité du groupe de sécurité réseau autorisent les types de communication suivants :

Créer une identité managée et lui accorder des autorisations sur le réseau virtuel

Créez une identité managée en utilisant la commande az identity create et récupérez l'identifiant principal. Attribuez le rôle Contributeur réseau sur le réseau virtuel à l’identité managée à l’aide de la az role assignment create commande.

az identity create \
--resource-group ${RG_NAME} \
 --name ${IDENTITY_NAME} \
 --location ${LOCATION}

IDENTITY_PRINCIPAL_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query principalId -o tsv)

az role assignment create \
--scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" \
--role "Network Contributor" \
--assignee ${IDENTITY_PRINCIPAL_ID}

Créer un cluster automatique AKS privé dans un réseau virtuel personnalisé

Pour créer un cluster automatique AKS privé, utilisez la commande az aks create . Notez l’utilisation de l’indicateur --enable-private-cluster .

az aks create \
--resource-group ${RG_NAME} \
--name ${CLUSTER_NAME} \
--location ${LOCATION} \
--apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" \
--vnet-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/clusterSubnet" \
--assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" \
--sku automatic \
--enable-private-cluster \
--no-ssh-key

Au bout de quelques minutes, la commande se termine et retourne des informations au format JSON sur le cluster.

Se connecter au cluster

Lorsqu’un cluster automatique AKS est créé en tant que cluster privé, le point de terminaison du serveur d’API n’a aucune adresse IP publique. Pour gérer le serveur d’API, par exemple via kubectl, vous devez vous connecter via une machine qui a accès au réseau virtuel Azure du cluster. Vous pouvez établir une connectivité réseau au cluster privé de différentes manières :

• Créez une machine virtuelle dans le même réseau virtuel que le cluster automatique AKS à l’aide de la az vm create commande avec l’indicateur --vnet-name .
• Utilisez une machine virtuelle dans un réseau virtuel distinct et configurez le peering des réseaux virtuels.
• Utilisez une connexion Express Route ou VPN .
• Utilisez une connexion point de terminaison privé.

La création d’une machine virtuelle dans le même réseau virtuel que le cluster AKS est l’option la plus simple. ExpressRoute et VPN ajoutent des coûts et nécessitent une complexité réseau supplémentaire. L’appairage de réseaux virtuels implique la planification de vos plages CIDR réseau pour veiller à ce qu'aucune plage ne se chevauche. Pour plus d’informations, reportez-vous aux options de connexion au cluster privé .

Pour gérer un cluster Kubernetes, utilisez kubectl, le client de ligne de commande Kubernetes. kubectl est déjà installé si vous utilisez Azure Cloud Shell. Pour installer kubectl en local, exécutez la commande az aks install-cli. Les clusters AKS Automatic sont configurés avec Microsoft Entra ID pour le contrôle d’accès en fonction du rôle (RBAC) Kubernetes.

Lorsque vous créez un cluster à l’aide d’Azure CLI, votre utilisateur se voit attribuer des rôles intégrés pour Azure Kubernetes Service RBAC Cluster Admin.

Configurez kubectl afin de vous connecter à votre cluster Kubernetes avec la commande az aks get-credentials. Cette commande télécharge les informations d’identification et configure l’interface CLI Kubernetes pour les utiliser.

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

Pour vérifier la connexion à votre cluster, exécutez la commande kubectl get. Cette commande renvoie la liste des nœuds de cluster.

kubectl get nodes

L’exemple de sortie suivant montre comment vous êtes invité à vous connecter.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Une fois connecté, l’exemple de sortie suivant montre les pools de nœuds système managés. Assurez-vous que l’état du nœud est Prêt.

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5

Créer un réseau virtuel

Ce fichier Bicep définit un réseau virtuel.

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the cluster subnet.')
param clusterSubnetName string = 'clusterSubnet'

@description('The subnet prefix of the cluster subnet.')
param clusterSubnetPrefix string = '172.19.1.0/24'

// Virtual network with an API server subnet and a cluster subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: clusterSubnetName
                properties: {
                    addressPrefix: clusterSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output clusterSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, clusterSubnetName)

Enregistrez le fichier Bicep virtualNetwork.bicep sur votre ordinateur local.

Déployez le fichier Bicep en utilisant l’interface Azure CLI.

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

Tout le trafic au sein du réseau virtuel est autorisé par défaut. Toutefois, si vous avez ajouté des règles de groupe de sécurité réseau (NSG) pour restreindre le trafic entre différents sous-réseaux, assurez-vous que les règles de sécurité du groupe de sécurité réseau autorisent les types de communication suivants :

Créer une identité managée

Ce fichier Bicep définit une identité managée assignée par l'utilisateur.

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

Enregistrez le fichier Bicep uami.bicep sur votre ordinateur local.

Déployez le fichier Bicep en utilisant l’interface Azure CLI.

az deployment group create --resource-group <resource-group> --template-file uami.bicep

Attribuer le rôle Contributeur réseau sur le réseau virtuel

Ce fichier Bicep définit les attributions de rôles sur le réseau virtuel.

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

Enregistrez le fichier Bicep roleAssignments.bicep sur votre ordinateur local.

Déployez le fichier Bicep en utilisant l’interface Azure CLI. Vous devez fournir l’ID du principal de l’identité affectée par l’utilisateur.

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Créer un cluster automatique AKS privé dans un réseau virtuel personnalisé

Ce fichier Bicep définit le cluster automatique AKS.

@description('The name of the managed cluster resource.')
param clusterName string = 'aksAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the cluster subnet.')
param clusterSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    agentPoolProfiles: [
      {
        name: 'systempool'
        mode: 'System'
          count: 3
        vnetSubnetID: clusterSubnetId
      }
    ]
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

Enregistrez le fichier Bicep aks.bicep sur votre ordinateur local.

Déployez le fichier Bicep en utilisant l’interface Azure CLI. Vous devez fournir l’ID de ressource du sous-réseau du serveur d’API, l’ID de ressource du sous-réseau de cluster et l’ID du principal de l’identité affectée par l’utilisateur.

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters clusterSubnetId=<cluster subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Se connecter au cluster

Lorsqu’un cluster automatique AKS est créé en tant que cluster privé, le point de terminaison du serveur d’API n’a aucune adresse IP publique. Pour gérer le serveur d’API, par exemple via kubectl, vous devez vous connecter via une machine qui a accès au réseau virtuel Azure du cluster. Vous pouvez établir une connectivité réseau au cluster privé de différentes manières :

• Créez une machine virtuelle dans le même réseau virtuel que le cluster automatique AKS à l’aide de la az vm create commande avec l’indicateur --vnet-name .
• Utilisez une machine virtuelle dans un réseau virtuel distinct et configurez le peering des réseaux virtuels.
• Utilisez une connexion Express Route ou VPN .
• Utilisez une connexion point de terminaison privé.

La création d’une machine virtuelle dans le même réseau virtuel que le cluster AKS est l’option la plus simple. ExpressRoute et les VPN présentent des coûts et une complexité de mise en réseau supplémentaires. L’appairage de réseaux virtuels implique la planification de vos plages CIDR réseau pour veiller à ce qu'aucune plage ne se chevauche. Pour plus d’informations, reportez-vous aux options de connexion au cluster privé .

Pour gérer un cluster Kubernetes, utilisez kubectl, le client de ligne de commande Kubernetes. kubectl est déjà installé si vous utilisez Azure Cloud Shell. Pour installer kubectl en local, exécutez la commande az aks install-cli. Les clusters AKS Automatic sont configurés avec Microsoft Entra ID pour le contrôle d’accès en fonction du rôle (RBAC) Kubernetes.

Configurez kubectl afin de vous connecter à votre cluster Kubernetes avec la commande az aks get-credentials. Cette commande télécharge les informations d’identification et configure l’interface CLI Kubernetes pour les utiliser.

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

Pour vérifier la connexion à votre cluster, exécutez la commande kubectl get. Cette commande renvoie la liste des nœuds de cluster.

kubectl get nodes

L’exemple de sortie suivant montre comment vous êtes invité à vous connecter.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Une fois connecté, l’exemple de sortie suivant montre les pools de nœuds système managés. Assurez-vous que l’état du nœud est Prêt.

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5