Lancement fiable pour Azure Kubernetes Service (AKS)

• Azure CLI version 2.66.0 ou ultérieure. Exécutez az --version pour rechercher la version, puis exécutez az upgrade pour mettre à niveau la version. Si vous devez installer ou mettre à niveau, voir Installer Azure CLI.

1. Créez un cluster AKS avec la commande az aks create. Avant d’exécuter la commande, passez en revue les paramètres suivants :

   • --nome : entrez un nom unique pour le cluster AKS, tel que myAKSCluster.
   • --groupe de ressources : Entrez le nom d’un groupe de ressources existant pour héberger la ressource du cluster AKS.
   • --activer le démarrage sécurisé : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • --activer-vtpm : Active le vTPM et effectue une attestation en mesurant la chaîne de démarrage complète de votre VM.

   Remarque

   Le démarrage sécurisé nécessite des chargeurs de démarrage signés, des noyaux de système d’exploitation et des pilotes. Si, après avoir activé le démarrage sécurisé, vos nœuds ne démarrent pas, vous pouvez vérifier quels composants de démarrage sont responsables des échecs du démarrage sécurisé au sein d’une machine virtuelle Azure Linux. Consulter Vérification des échecs de démarrage sécurisé.

   L’exemple suivant crée un cluster à un nœud nommé myAKSCluster avec un nœud dans myResourceGroup et active le démarrage sécurisé et vTPM :

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. Exécutez la commande suivante pour obtenir les informations d'identification d'accès au cluster Kubernetes. Utilisez la commande az aks get-credentials et remplacez les valeurs du nom du cluster et du nom du groupe de ressources.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. Créez un modèle avec des paramètres de lancement approuvé. Avant de créer le modèle, passez en revue les paramètres suivants :

   • enableSecureBoot : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • enableVTPM : active vTPM et effectue une attestation en mesurant l’intégralité de la chaîne de démarrage de votre machine virtuelle.

   Dans votre modèle, fournissez des valeurs pour enableVTPM et enableSecureBoot. Le même schéma que celui utilisé pour le déploiement avec l’interface CLI existe dans la définition Microsoft.ContainerService/managedClusters/agentPools sous "properties", comme illustré dans l’exemple suivant :

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Déployez votre modèle avec vTPM et le démarrage sécurisé activé sur votre cluster. Consultez Déployer un cluster AKS à l’aide d’un modèle ARM pour obtenir des instructions détaillées.

1. Ajoutez un pool de nœuds avec Démarrage de confiance activé à l’aide de la commande az aks nodepool add. Avant d’exécuter la commande, passez en revue les paramètres suivants :

   • --nom de cluster: entrez le nom du cluster AKS.
   • --groupe de ressources : Entrez le nom d’un groupe de ressources existant pour héberger la ressource du cluster AKS.
   • --nom : entrez un nom unique pour le pool de code. Le nom d’un pool de nœuds ne peut contenir que des caractères alphanumériques minuscules et doit commencer par une lettre minuscule. Pour les pools de nœuds Linux, la longueur doit être comprise entre 1 et 11 caractères.
   • --décompte de nœuds : nombre de nœuds dans le pool d’agents Kubernetes. La valeur par défaut est 3.
   • --activer le démarrage sécurisé : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • --activer-vtpm : Active le vTPM et effectue une attestation en mesurant la chaîne de démarrage complète de votre VM.

   Remarque

   Le démarrage sécurisé nécessite des chargeurs de démarrage signés, des noyaux de système d’exploitation et des pilotes. Si, après avoir activé le démarrage sécurisé, vos nœuds ne démarrent pas, vous pouvez vérifier quels composants de démarrage sont responsables des échecs du démarrage sécurisé au sein d’une machine virtuelle Azure Linux. Consulter Vérification des échecs de démarrage sécurisé.

   L’exemple suivant déploie un pool de nœuds avec vTPM et le démarrage sécurisé activé sur un cluster nommé myAKSCluster avec trois nœuds :

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. Vérifiez que votre pool de nœuds utilise une image de lancement approuvé.

   Les nœuds de lancement approuvés ont la sortie suivante :

   • Version de l'image de nœud contenant "TL", par exemple "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" doit être "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. Créez un modèle avec des paramètres de lancement approuvé. Avant de créer le modèle, passez en revue les paramètres suivants :

   • enableSecureBoot : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • enableVTPM : active vTPM et effectue une attestation en mesurant l’intégralité de la chaîne de démarrage de votre machine virtuelle.

   Dans votre modèle, fournissez des valeurs pour enableVTPM et enableSecureBoot. Le même schéma que celui utilisé pour le déploiement avec l’interface CLI existe dans la définition Microsoft.ContainerService/managedClusters/agentPools sous "properties", comme illustré dans l’exemple suivant :

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. Déployez votre modèle avec vTPM et le démarrage sécurisé activé sur votre cluster. Consultez Déployer un cluster AKS à l’aide d’un modèle ARM pour obtenir des instructions détaillées.

1. Vérifiez que votre pool de nœuds utilise une image de lancement approuvé.

   Les nœuds de lancement approuvés ont la sortie suivante :

   • Version de l'image de nœud contenant "TL", par exemple "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" doit être "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Si votre pool de nœuds n’a actuellement pas d’image de lancement approuvé, vous ne pourrez pas mettre à jour le pool de nœuds pour activer le démarrage sécurisé ou vTPM.

2. Mettez à jour un pool de nœuds avec Trusted Launch activé à l’aide de la commande az aks nodepool update. Avant d’exécuter la commande, passez en revue les paramètres suivants :

   • --groupe de ressource : Saisissez le nom d’un groupe de ressources existant qui héberge votre cluster AKS existant.
   • --cluster-name : saisissez un nom unique pour le cluster AKS, comme myAKSCluster.
   • --nom : entrez le nom de votre pool de nœuds, par exemple mynodepool.
   • --activer le démarrage rapide : Active le démarrage sécurisé pour authentifier que l’image a été signée par un éditeur de confiance.
   • --activer-vtpm : Active le vTPM et effectue une attestation en mesurant la chaîne de démarrage complète de votre VM.

   Remarque

   Le démarrage sécurisé nécessite des chargeurs de démarrage signés, des noyaux de système d’exploitation et des pilotes. Si, après avoir activé le démarrage sécurisé, vos nœuds ne démarrent pas, vous pouvez vérifier quels composants de démarrage sont responsables des échecs du démarrage sécurisé au sein d’une machine virtuelle Azure Linux. Consulter Vérification des échecs de démarrage sécurisé.

   L’exemple suivant met à jour le pool de nœuds mynodepool sur myAKSCluster dans myResourceGroup et active vTPM. Dans ce scénario, le démarrage sécurisé a été activé lors de la création du pool de nœuds :

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   L’exemple suivant met à jour le pool de nœuds mynodepool sur myAKSCluster dans myResourceGroup et active le démarrage sécurisé. Dans ce scénario, vTPM a été activé lors de la création du pool de nœuds :

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. Vérifiez que votre pool de nœuds utilise une image de lancement approuvé.

   Les nœuds de lancement approuvés ont la sortie suivante :

   • Version de l'image de nœud contenant "TL", par exemple "AKSUbuntu-2204-gen2TLcontainerd".
   • "Security-type" doit être "Trusted Launch".

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   Si votre pool de nœuds n’a actuellement pas d’image de lancement approuvé, vous ne pourrez pas mettre à jour le pool de nœuds pour activer le démarrage sécurisé ou vTPM.

2. Créez un modèle avec des paramètres de lancement approuvé. Avant de créer le modèle, passez en revue les paramètres suivants :

   • enableSecureBoot : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • enableVTPM : active vTPM et effectue une attestation en mesurant l’intégralité de la chaîne de démarrage de votre machine virtuelle.

   Dans votre modèle, fournissez des valeurs pour enableVTPM et enableSecureBoot. Le même schéma que celui utilisé pour le déploiement avec l’interface CLI existe dans la définition Microsoft.ContainerService/managedClusters/agentPools sous "properties", comme illustré dans l’exemple suivant :

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. Déployez votre modèle avec vTPM et le démarrage sécurisé activé sur votre cluster. Consultez Déployer un cluster AKS à l’aide d’un modèle ARM pour obtenir des instructions détaillées.

Mettez à jour un pool de nœuds pour désactiver le démarrage sécurisé ou vTPM à l’aide de la az aks nodepool update commande. Avant d’exécuter la commande, passez en revue les paramètres suivants :

• --groupe de ressource : Saisissez le nom d’un groupe de ressources existant qui héberge votre cluster AKS existant.
• --cluster-name : saisissez un nom unique pour le cluster AKS, comme myAKSCluster.
• --nom : entrez le nom de votre pool de nœuds, par exemple mynodepool.
• --activer le démarrage rapide : Active le démarrage sécurisé pour authentifier que l’image a été signée par un éditeur de confiance.
• --activer-vtpm : Active le vTPM et effectue une attestation en mesurant la chaîne de démarrage complète de votre VM.

Pour désactiver vTPM sur un pool de nœuds existant :

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

Pour désactiver le démarrage sécurisé sur un pool de nœuds existant :

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. Créez un modèle avec des paramètres de lancement approuvé. Avant de créer le modèle, passez en revue les paramètres suivants :

   • enableSecureBoot : permet au démarrage sécurisé d’authentifier une image signée par un éditeur approuvé.
   • enableVTPM : active vTPM et effectue une attestation en mesurant l’intégralité de la chaîne de démarrage de votre machine virtuelle.

   Dans votre modèle, fournissez des valeurs pour enableVTPM et enableSecureBoot. Le même schéma que celui utilisé pour le déploiement avec l’interface CLI existe dans la définition Microsoft.ContainerService/managedClusters/agentPools sous "properties", comme illustré dans l’exemple suivant :

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. Déployez votre modèle avec vTPM et le démarrage sécurisé désactivé sur votre cluster. Consultez Déployer un cluster AKS à l’aide d’un modèle ARM pour obtenir des instructions détaillées.