Servicetags gebruiken voor geautoriseerde IP-bereiken van API-servers in Azure Kubernetes Service (AKS) (preview)

Servicetags voor geautoriseerde IP-bereiken van API-servers is een preview-functie waarmee u servicetags kunt gebruiken om geautoriseerde IP-bereiken op te geven voor de API-server in Azure Kubernetes Service (AKS). Deze functie vereenvoudigt het beheer van geautoriseerde IP-bereiken doordat u vooraf gedefinieerde servicetags kunt gebruiken in plaats van handmatig afzonderlijke IP-adressen of CIDR-bereiken op te geven.

Vereiste voorwaarden

• Azure CLI versie 2.0.76 of hoger geïnstalleerd en geconfigureerd. Controleer uw versie met behulp van de az --version opdracht. Als u Azure CLI wilt installeren of upgraden, raadpleegt u Azure CLI installeren.
• De aks-preview Azure CLI-extensie is geïnstalleerd.
• De EnableServiceTagAuthorizedIPPreview functievlag is geregistreerd in uw Azure-abonnement.

Beperkingen

• Deze functie is niet compatibel met VNet-integratie van API Server.
• Er is slechts één servicetag toegestaan in de --api-server-authorized-ip-ranges parameter. U kunt niet meerdere servicetags opgeven.

aks-preview De Azure CLI-extensie installeren

1. Installeer de Azure CLI Preview-extensie met behulp van de az extension add opdracht.

   az extension add --name aks-preview
   

2. Werk de extensie bij om ervoor te zorgen dat u de nieuwste versie hebt met behulp van de az extension update opdracht.

   az extension update --name aks-preview
   

De geautoriseerde IP-functievlag voor de servicetag registreren

1. Registreer de EnableServiceTagAuthorizedIPPreview functievlag met behulp van de az feature register opdracht. Het duurt enkele minuten voordat de registratie is voltooid.

   az feature register --namespace "Microsoft.ContainerService" --name "EnableServiceTagAuthorizedIPPreview"
   

   Voorbeelduitvoer:

   {
     "id": "/subscriptions/<subscription-id>/providers/Microsoft.ContainerService/features/EnableServiceTagAuthorizedIPPreview",
     "name": "EnableServiceTagAuthorizedIPPreview",
     "properties": {
       "state": "Registering"
     },
     "type": "Microsoft.ContainerService/features"
   }
   

2. Nadat de status van de functievlag verandert van Registering naar Registered, vernieuwt u de registratie van de Microsoft.ContainerService resourceprovider met behulp van de az provider register opdracht.

   az provider register --namespace "Microsoft.ContainerService"
   

3. Controleer de registratie met behulp van de az feature show opdracht.

   az feature show --namespace "Microsoft.ContainerService" --name "EnableServiceTagAuthorizedIPPreview"
   

   Voorbeelduitvoer:

   {
     "id": "/subscriptions/<subscription-id>/providers/Microsoft.ContainerService/features/EnableServiceTagAuthorizedIPPreview",
     "name": "EnableServiceTagAuthorizedIPPreview",
     "properties": {
       "state": "Registered"
     },
     "type": "Microsoft.ContainerService/features"
   }
   

Een AKS-cluster maken met geautoriseerde IP-bereiken van de servicetag

• Maak een cluster met geautoriseerde IP-bereiken van de servicetag met behulp van de az aks create opdracht met de --api-server-authorized-ip-ranges parameter. In het volgende voorbeeld wordt een cluster met de naam myAKSCluster gemaakt in de resourcegroep myResourceGroup en wordt de AzureCloud servicetag geautoriseerd om alle Azure-services toegang te geven tot de API-server en een extra IP-adres op te geven:

  az aks create --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges AzureCloud,20.20.20.20
  

  Opmerking

  U moet de API-server kunnen aanroepen van een virtuele Azure-machine (VM) of Azure-service die deel uitmaakt van de AzureCloud servicetag.