Quickstart: Een privé-AKS-cluster (Azure Kubernetes Service) maken in een aangepast virtueel netwerk

Een virtueel netwerk maken

Maak een virtueel netwerk met behulp van de az network vnet create opdracht. Maak een subnet van de API-server en het clustersubnet met behulp van de az network vnet subnet create opdracht.

Wanneer u een aangepast virtueel netwerk gebruikt met AKS Automatic, moet u een API-server-subnet maken en delegeren aan Microsoft.ContainerService/managedClusters, waarmee de AKS-service de machtigingen krijgt om de API-serverpods en interne load balancer in dat subnet te injecteren. U kunt het subnet niet gebruiken voor andere workloads, maar u kunt het gebruiken voor meerdere AKS-clusters die zich in hetzelfde virtuele netwerk bevinden. De minimaal ondersteunde subnetgrootte van de API-server is een /28.

az network vnet create --name ${VNET_NAME} \
--resource-group ${RG_NAME} \
--location ${LOCATION} \
--address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name apiServerSubnet \
--delegations Microsoft.ContainerService/managedClusters \
--address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name clusterSubnet \
--address-prefixes 172.19.1.0/24

Regels voor netwerkbeveiligingsgroepen

Al het verkeer binnen het virtuele netwerk is standaard toegestaan. Maar als u NSG-regels (Network Security Group) hebt toegevoegd om verkeer tussen verschillende subnetten te beperken, moet u ervoor zorgen dat de NSG-beveiligingsregels de volgende typen communicatie toestaan:

Een beheerde identiteit maken en deze machtigingen geven voor het virtuele netwerk

Maak een beheerde identiteit met behulp van de az identity create opdracht en haal de principal-id op. Wijs de rol Inzender voor het netwerk in het virtuele netwerk toe aan de beheerde identiteit met behulp van de az role assignment create opdracht.

az identity create \
--resource-group ${RG_NAME} \
 --name ${IDENTITY_NAME} \
 --location ${LOCATION}

IDENTITY_PRINCIPAL_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query principalId -o tsv)

az role assignment create \
--scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" \
--role "Network Contributor" \
--assignee ${IDENTITY_PRINCIPAL_ID}

Een privé-AKS Automatisch cluster maken in een aangepast virtueel netwerk

Als u een privé-AKS Automatisch cluster wilt maken, gebruikt u de opdracht az aks create . Let op het gebruik van de --enable-private-cluster vlag.

az aks create \
--resource-group ${RG_NAME} \
--name ${CLUSTER_NAME} \
--location ${LOCATION} \
--apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" \
--vnet-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/clusterSubnet" \
--assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" \
--sku automatic \
--enable-private-cluster \
--no-ssh-key

Na enkele minuten is de opdracht voltooid en retourneert deze informatie over het cluster in JSON-indeling.

Verbinding maken met het cluster

Wanneer een automatisch AKS-cluster wordt gemaakt als een privécluster, heeft het EINDPUNT van de API-server geen openbaar IP-adres. Als u de API-server wilt beheren, bijvoorbeeld via kubectl, moet u verbinding maken via een computer die toegang heeft tot het virtuele Azure-netwerk van het cluster. Er zijn verschillende opties voor het tot stand brengen van netwerkconnectiviteit met het privécluster:

• Maak een virtuele machine in hetzelfde virtuele netwerk als het automatische AKS-cluster met behulp van de az vm create opdracht met de --vnet-name vlag.
• Gebruik een virtuele machine in een afzonderlijk virtueel netwerk en stel peering van virtuele netwerken in.
• Gebruik een Express Route- of VPN-verbinding .
• Gebruik een privé-eindpuntverbinding .

Het maken van een virtuele machine in hetzelfde virtuele netwerk als het AKS-cluster is de eenvoudigste optie. ExpressRoute en VPN's voegen kosten toe en vereisen extra netwerkcomplexiteit. Voor peering van virtuele netwerken moet u de CIDR-bereiken van uw netwerk plannen om ervoor te zorgen dat er geen overlappende bereiken zijn. Raadpleeg Opties voor het maken van verbinding met het privécluster voor meer informatie.

Als u een Kubernetes-cluster wilt beheren, gebruikt u de Kubernetes-opdrachtregelclient kubectl. kubectl is al geïnstalleerd als u Azure Cloud Shell gebruikt. Als u lokaal wilt installeren kubectl , voert u de opdracht az aks install-cli uit. Automatische AKS-clusters worden geconfigureerd met Microsoft Entra-id voor op rollen gebaseerd toegangsbeheer (RBAC) van Kubernetes.

Wanneer u een cluster maakt met behulp van de Azure CLI, krijgt uw gebruiker ingebouwde rollen toegewezen voor Azure Kubernetes Service RBAC Cluster Admin.

Configureer kubectl om verbinding te maken met uw Kubernetes-cluster met behulp van de opdracht az aks get-credentials. Deze opdracht downloadt referenties en configureert de Kubernetes CLI om deze te gebruiken.

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

Controleer de verbinding met uw cluster met behulp van de opdracht kubectl get . Met deze opdracht wordt een lijst met de clusterknooppunten geretourneerd.

kubectl get nodes

In de volgende voorbeelduitvoer ziet u hoe u wordt gevraagd u aan te melden.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Nadat u zich hebt aangemeld, ziet u in de volgende voorbeelduitvoer de pools van het beheerde systeemknooppunt. Zorg ervoor dat de status van het knooppunt gereed is.

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5

Een virtueel netwerk maken

Dit Bicep-bestand definieert een virtueel netwerk.

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the cluster subnet.')
param clusterSubnetName string = 'clusterSubnet'

@description('The subnet prefix of the cluster subnet.')
param clusterSubnetPrefix string = '172.19.1.0/24'

// Virtual network with an API server subnet and a cluster subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: clusterSubnetName
                properties: {
                    addressPrefix: clusterSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output clusterSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, clusterSubnetName)

Sla het Bicep-bestand virtualNetwork.bicep op uw lokale computer op.

Implementeer het Bicep-bestand met behulp van de Azure CLI.

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

Al het verkeer binnen het virtuele netwerk is standaard toegestaan. Maar als u NSG-regels (Network Security Group) hebt toegevoegd om verkeer tussen verschillende subnetten te beperken, moet u ervoor zorgen dat de NSG-beveiligingsregels de volgende typen communicatie toestaan:

Een beheerde identiteit maken

Dit Bicep-bestand definieert een door de gebruiker toegewezen beheerde identiteit.

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

Sla het Bicep-bestand uami.bicep op uw lokale computer op.

Implementeer het Bicep-bestand met behulp van de Azure CLI.

az deployment group create --resource-group <resource-group> --template-file uami.bicep

De rol Netwerkbijdrager toewijzen op het virtuele netwerk

Dit Bicep-bestand definieert roltoewijzingen via het virtuele netwerk.

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

Sla het Bicep-bestand roleAssignments.bicep op uw lokale computer op.

Implementeer het Bicep-bestand met behulp van de Azure CLI. U moet de principal-id van de door de gebruiker toegewezen identiteit opgeven.

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Een privé-AKS Automatisch cluster maken in een aangepast virtueel netwerk

Dit Bicep-bestand definieert het AKS automatische cluster.

@description('The name of the managed cluster resource.')
param clusterName string = 'aksAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the cluster subnet.')
param clusterSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    agentPoolProfiles: [
      {
        name: 'systempool'
        mode: 'System'
          count: 3
        vnetSubnetID: clusterSubnetId
      }
    ]
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

Sla het Bicep-bestand aks.bicep op uw lokale computer op.

Implementeer het Bicep-bestand met behulp van de Azure CLI. U moet de resource-id van het subnet van de API-server, de resource-id van het clustersubnet en de door de gebruiker toegewezen identiteits-id opgeven.

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters clusterSubnetId=<cluster subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Verbinding maken met het cluster

Wanneer een automatisch AKS-cluster wordt gemaakt als een privécluster, heeft het EINDPUNT van de API-server geen openbaar IP-adres. Als u de API-server wilt beheren, bijvoorbeeld via kubectl, moet u verbinding maken via een computer die toegang heeft tot het virtuele Azure-netwerk van het cluster. Er zijn verschillende opties voor het tot stand brengen van netwerkconnectiviteit met het privécluster:

• Maak een virtuele machine in hetzelfde virtuele netwerk als het automatische AKS-cluster met behulp van de az vm create opdracht met de --vnet-name vlag.
• Gebruik een virtuele machine in een afzonderlijk virtueel netwerk en stel peering van virtuele netwerken in.
• Gebruik een Express Route- of VPN-verbinding .
• Gebruik een privé-eindpuntverbinding .

Het maken van een virtuele machine in hetzelfde virtuele netwerk als het AKS-cluster is de eenvoudigste optie. ExpressRoute en VPN's voegen kosten toe en vereisen extra netwerkcomplexiteit. Voor peering van virtuele netwerken moet u de CIDR-bereiken van uw netwerk plannen om ervoor te zorgen dat er geen overlappende bereiken zijn. Raadpleeg Opties voor het maken van verbinding met het privécluster voor meer informatie.

Als u een Kubernetes-cluster wilt beheren, gebruikt u de Kubernetes-opdrachtregelclient kubectl. kubectl is al geïnstalleerd als u Azure Cloud Shell gebruikt. Als u lokaal wilt installeren kubectl , voert u de opdracht az aks install-cli uit. Automatische AKS-clusters worden geconfigureerd met Microsoft Entra-id voor op rollen gebaseerd toegangsbeheer (RBAC) van Kubernetes.

Configureer kubectl om verbinding te maken met uw Kubernetes-cluster met behulp van de opdracht az aks get-credentials. Deze opdracht downloadt referenties en configureert de Kubernetes CLI om deze te gebruiken.

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

Controleer de verbinding met uw cluster met behulp van de opdracht kubectl get . Met deze opdracht wordt een lijst met de clusterknooppunten geretourneerd.

kubectl get nodes

In de volgende voorbeelduitvoer ziet u hoe u wordt gevraagd u aan te melden.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Nadat u zich hebt aangemeld, ziet u in de volgende voorbeelduitvoer de pools van het beheerde systeemknooppunt. Zorg ervoor dat de status van het knooppunt gereed is.

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5