Wymagania systemowe dotyczące usługi AKS w systemie Windows Server

Dotyczy: Windows Server 2022, Windows Server 2019

W tym artykule opisano wymagania dotyczące konfigurowania usługi Azure Kubernetes Service (AKS) w systemie Windows Server. Aby zapoznać się z omówieniem usługi AKS w systemie Windows Server, zobacz Omówienie usługi AKS.

Wymagania sprzętowe

Firma Microsoft zaleca zakup zweryfikowanego sprzętu i oprogramowania systemu Windows Server od naszych partnerów. Te rozwiązania są projektowane, montowane i weryfikowane pod kątem uruchamiania naszej architektury referencyjnej. Sprawdzają zgodność i niezawodność, aby umożliwić szybkie rozpoczęcie pracy. Sprawdź, czy używane systemy, składniki, urządzenia i sterowniki są certyfikowane systemu Windows Server zgodnie z wykazem systemu Windows Server.

Maksymalna obsługiwana specyfikacja sprzętu

Usługa AKS w wdrożeniach systemu Windows Server, które przekraczają następujące specyfikacje, nie są obsługiwane:

Wymagania dotyczące obliczeń

Minimalne wymagania dotyczące pamięci

Skonfiguruj klaster usługi AKS w następujący sposób, aby uruchomić usługę AKS w jednym węźle systemu Windows Server z ograniczoną ilością pamięci RAM:

Całkowite wymaganie minimalne: 30 GB pamięci RAM.

To minimalne wymaganie dotyczy wdrożenia usługi AKS z jednym węzłem roboczym do uruchamiania konteneryzowanych aplikacji. W przypadku dodawania węzłów roboczych lub modułu równoważenia obciążenia HAProxy ostateczne wymaganie pamięci RAM zmienia się odpowiednio.

Zalecane wymagania dotyczące obliczeń

W przypadku środowiska produkcyjnego ostateczne ustalanie rozmiaru zależy od aplikacji i liczby węzłów roboczych, które planujesz wdrożyć w klastrze systemu Windows Server. Jeśli uruchamiasz AKS na jednym węźle Windows Server, nie uzyskasz takich funkcji, jak wysoka dostępność, które są dostępne przy uruchomieniu AKS w klastrze przełączania awaryjnego Windows Server.

Należy zainstalować ten sam system operacyjny na każdym serwerze w klastrze. W systemie Windows Server Datacenter każdy serwer w klastrze musi mieć ten sam system operacyjny i wersję. Każdy system operacyjny musi korzystać z opcji en-us regionu i języka. Nie można zmienić tych ustawień po instalacji.

Wymagania dotyczące magazynowania

Usługa AKS w systemie Windows Server obsługuje następujące implementacje magazynu:

W przypadku klastra systemu Windows Server dwie konfiguracje magazynu obsługują uruchamianie obciążeń maszyn wirtualnych:

• Magazyn hybrydowy łączy wydajność i pojemność dzięki zastosowaniu pamięci flash i dysków twardych (HDD).
• Pamięć all-flash maksymalizuje wydajność, wykorzystując napędy półprzewodnikowe (SSD) lub NVMe.

System Kubernetes używa etcd do przechowywania stanu klastrów. Etcd przechowuje konfiguracje, specyfikacje oraz informacje o stanie uruchomionych zasobników. Ponadto Kubernetes używa repozytorium do odnajdywania usług. Jako element koordynujący działanie Kubernetes oraz wspierane przez tę platformę obciążenia, opóźnienia i przepływność do etcd są kluczowe. Musisz uruchomić usługę AKS na dysku SSD. Aby uzyskać więcej informacji, zobacz Performance.

W przypadku klastra opartego na centrum danych systemu Windows Server można wdrożyć za pomocą magazynu lokalnego lub magazynu opartego na sieci SAN. W przypadku magazynu lokalnego użyj wbudowanego rozwiązania Storage Spaces Direct lub równoważnego certyfikowanego wirtualnego rozwiązania sieci SAN, aby utworzyć infrastrukturę hiperkonwergentną, która udostępnia woluminy klastra do użycia przez obciążenia robocze. W przypadku Storage Spaces Direct pamięć musi być albo hybrydowa (flash + HDD), co równoważy wydajność i pojemność, albo całkowicie oparta na pamięci flash (SSD, NVMe), co maksymalizuje wydajność. Jeśli zdecydujesz się wdrożyć za pomocą magazynu opartego na sieci SAN, upewnij się, że magazyn SAN może zapewnić wystarczającą wydajność, aby uruchomić kilka obciążeń maszyn wirtualnych. Starsze magazyny SAN oparte na dyskach HDD mogą nie dostarczać wymaganych poziomów wydajności do uruchamiania wielu obciążeń maszyn wirtualnych, co może powodować problemy z wydajnością i czasowe opóźnienia.

W przypadku wdrożeń systemu Windows Server z jednym węzłem korzystających z magazynu lokalnego użyj magazynu all-flash (SSD, NVMe), aby zapewnić wymaganą wydajność do hostowania wielu maszyn wirtualnych na jednym hoście fizycznym. Bez pamięci flash niższe poziomy wydajności dysków HDD mogą powodować problemy z wdrażaniem i przekroczenia limitu czasu.

Wymagania dotyczące sieci

Poniższe wymagania dotyczą klastra windows Server Datacenter.

• Sprawdź, czy masz istniejący zewnętrzny przełącznik wirtualny skonfigurowany, jeśli używasz centrum administracyjnego systemu Windows. W przypadku klastrów systemu Windows Server ten przełącznik i jego nazwa muszą być takie same we wszystkich węzłach klastra.
• Sprawdź, czy wyłączono protokół IPv6 na wszystkich kartach sieciowych.
• W przypadku pomyślnego wdrożenia węzły klastra systemu Windows Server i maszyny wirtualne klastra Kubernetes muszą mieć zewnętrzną łączność z Internetem.
• Upewnij się, że wszystkie podsieci zdefiniowane dla klastra są routingowe między sobą a Internetem.
• Upewnij się, że istnieje łączność sieciowa między hostami Windows Server i maszynami wirtualnymi dzierżawców.
• Rozpoznawanie nazw DNS jest wymagane, aby wszystkie węzły mogły komunikować się ze sobą.
• (Zalecane) Włącz dynamiczne aktualizacje DNS w środowisku DNS, aby umożliwić usłudze AKS rejestrowanie ogólnej nazwy klastra agenta w chmurze w systemie DNS na potrzeby odnajdywania.

Przypisanie adresu IP

W usłudze AKS w systemie Windows Server sieci wirtualne przydzielają adresy IP do zasobów platformy Kubernetes, które ich wymagają, jak pokazano wcześniej. Wybierz jedną z dwóch modeli sieciowych w zależności od żądanej architektury sieci usługi AKS.

• Statyczna sieć IP: sieć wirtualna przydziela statyczne adresy IP do serwera interfejsu API klastra Kubernetes, węzłów Kubernetes, bazowych maszyn wirtualnych, modułów równoważenia obciążenia i wszystkich usług Kubernetes uruchamianych w klastrze.
• Sieć DHCP: sieć wirtualna przydziela dynamiczne adresy IP węzłom Kubernetes, podstawowym maszynom wirtualnym i modułom równoważenia obciążenia przy użyciu serwera DHCP. Serwer interfejsu API klastra Kubernetes i wszystkie usługi Kubernetes uruchamiane w klastrze nadal uzyskują statyczne adresy IP.

Minimalna rezerwacja adresu IP

Należy zarezerwować co najmniej następującą liczbę adresów IP dla wdrożenia:

Należy również zarezerwować następującą liczbę adresów IP dla puli adresów VIP:

Jak widać, liczba wymaganych adresów IP różni się w zależności od architektury usługi AKS i liczby usług uruchamianych w klastrze Kubernetes. Zarezerwuj łącznie 256 adresów IP (/24 podsieci) dla wdrożenia.

Aby uzyskać więcej informacji na temat wymagań dotyczących sieci, zobacz Pojęcia dotyczące sieci węzłów w usłudze AKS i Pojęcia dotyczące sieci kontenerów w usłudze AKS.

Wymagania dotyczące portu i adresu URL sieci

Wymagania dotyczące usługi AKS w systemie Windows Server

Podczas tworzenia klastra Kubernetes proces automatycznie otwiera następujące porty zapory na każdym serwerze w klastrze.

Jeśli fizyczne węzły klastra i maszyny wirtualne klastra Azure Kubernetes znajdują się w dwóch izolowanych sieciach VLAN, należy otworzyć te porty w zaporze między nimi:

Jeśli sieć wymaga użycia serwera proxy do nawiązania połączenia z Internetem, zobacz Używanie ustawień serwera proxy w usłudze AKS.

[{
    "URL": "msk8s.api.cdp.microsoft.com",
    "Port": "443 ",
    "Notes": "Used when downloading the AKS on Azure Stack HCI product catalog, product bits, and OS images from SFS.Occurs when running `Set-AksHciConfig` and at any time you download from SFS."
}, {
    "URL": "msk8s.b.tlu.dl.delivery.mp.microsoft.com",
    "Port": "80",
    "Notes": "Used when downloading the AKS on Azure Stack HCI product catalog, product bits, and OS images from SFS. Occurs when running `Set-AksHciConfig` and at any time you download from SFS."
}, {
    "URL": "msk8s.f.tlu.dl.delivery.mp.microsoft.com",
    "Port": "80",
    "Notes": "Used when downloading the AKS on Azure Stack HCI product catalog, product bits, and OS images from SFS. Occurs when running `Set-AksHciConfig` and at any time you download from SFS."
}, {
    "URL": "login.microsoftonline.com",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "login.windows.net",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "management.azure.com",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "www.microsoft.com",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "msft.sts.microsoft.com",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "graph.windows.net",
    "Port": "443",
    "Notes": "Used for logging into Azure when running `Set-AksHciRegistration`."
}, {
    "URL": "ecpacr.azurecr.io",
    "Port": "443",
    "Notes": "Required to pull container images when running `Install-AksHci`."
}, {
    "URL": "*.blob.core.windows.net  US endpoint: wus2replica*.blob.core.windows.net",
    "Port": "443",
    "Notes": "Required to pull container images when running `Install-AksHci`."
}, {
    "URL": "mcr.microsoft.com, *.mcr.microsoft.com",
    "Port": "443",
    "Notes": "Required to pull container images when running `Install-AksHci`."
}, {
    "URL": "akshci.azurefd.net",
    "Port": "443",
    "Notes": "Required for AKS on Azure Stack HCI billing when running `Install-AksHci`."
}, {
    "URL": "v20.events.data.microsoft.com",
    "Port": "443",
    "Notes": "Used periodically to send Microsoft required diagnostic data from the Azure Stack HCI or Windows Server host."
}, {
    "URL": "gcs.prod.monitoring.core.windows.net",
    "Port": "443",
    "Notes": "Used periodically to send Microsoft required diagnostic data from control plane nodes."
}]

Dodatkowe wymagania dotyczące adresów URL dla funkcji usługi Azure Arc

Poprzednia lista adresów URL obejmuje minimalne wymagane adresy URL, aby połączyć usługę AKS z platformą Azure na potrzeby rozliczeń. Musisz zezwolić na dodatkowe adresy URL, jeśli chcesz używać połączenia klastra, lokalizacji niestandardowych, kontroli dostępu opartej na rolach platformy Azure i innych usług platformy Azure, takich jak Azure Monitor itp., w klastrze obciążenia usługi AKS. Aby uzyskać pełną listę adresów URL usługi Arc, zobacz Wymagania sieciowe platformy Kubernetes z obsługą usługi Azure Arc.

Klastry rozproszone w usłudze AKS

Jak opisano w omówieniu klastrów rozproszonych, wdrażanie usługi AKS w systemie Windows Server przy użyciu klastrów rozproszonych systemu Windows nie jest obsługiwane. Zalecamy użycie podejścia do tworzenia kopii zapasowych i odzyskiwania po awarii dla ciągłości operacyjnej centrum danych. Aby uzyskać więcej informacji, zobacz Wykonywanie kopii zapasowej lub przywracania klastra obciążeń przy użyciu usług Velero i Azure Blob Storage w systemie Windows Server oraz Wdrażanie konfiguracji w usłudze AksHci przy użyciu usługi GitOps z rozwiązaniem Flux v2 na potrzeby ciągłości aplikacji.

Wymagania dotyczące programu Windows Admin Center

Windows Admin Center to interfejs użytkownika do tworzenia usługi AKS i zarządzania nią w systemie Windows Server. Aby używać programu Windows Admin Center z usługą AKS w systemie Windows Server, należy spełnić wszystkie kryteria na poniższej liście.

Te wymagania dotyczą maszyny z uruchomioną bramą programu Windows Admin Center:

• Windows 10 lub Windows Server.
• Zarejestrowane na platformie Azure.
• W tej samej domenie co klaster Windows Server Datacenter.
• Subskrypcja platformy Azure, w której masz prawa właściciela. Poziom dostępu możesz sprawdzić, przechodząc do subskrypcji i wybierając pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) po lewej stronie witryny Azure Portal, a następnie wybierając pozycję Wyświetl mój dostęp.

Wymagania systemu Azure

Musisz nawiązać połączenie z kontem platformy Azure.

Konto i subskrypcja platformy Azure

Jeśli nie masz jeszcze konta platformy Azure, utwórz je. Możesz użyć istniejącej subskrypcji dowolnego typu:

• Bezpłatne konto z kredytami na platformę Azure dla studentów lub subskrybentów Visual Studio.
• Subskrypcja typu pay-as-you-go z kartą kredytową.
• Subskrypcja uzyskana za pośrednictwem umowy Enterprise Agreement (EA).
• Subskrypcja uzyskana za pośrednictwem programu Dostawca rozwiązań w chmurze (CSP).

Uprawnienia, rola i poziom dostępu Microsoft Entra

Aby zarejestrować aplikację w dzierżawie Microsoft Entra, musisz mieć odpowiednie uprawnienia.

Aby sprawdzić, czy masz wystarczające uprawnienia, postępuj zgodnie z informacjami w następującej sekcji:

• Przejdź do witryny Azure Portal i wybierz pozycję Role i administratorzy w obszarze Microsoft Entra ID, aby sprawdzić swoją rolę.
• Jeśli twoja rola to Użytkownik, upewnij się, że użytkownicy niebędący administratorami mogą rejestrować aplikacje.
• Aby sprawdzić, czy możesz zarejestrować aplikacje, przejdź do obszaru Ustawienia użytkownika w usłudze Microsoft Entra, aby sprawdzić, czy masz uprawnienia do rejestrowania aplikacji.

Jeśli ustawienie rejestracje aplikacji ma wartość Nie, tylko użytkownicy z rolą administratora mogą rejestrować te typy aplikacji. Aby dowiedzieć się więcej o dostępnych rolach administratora i określonych uprawnieniach w identyfikatorze Entra firmy Microsoft, które są podane dla każdej roli, zobacz Role wbudowane firmy Microsoft Entra. Jeśli twoje konto ma przypisaną rolę Użytkownika , ale ustawienie rejestracji aplikacji jest ograniczone do użytkowników administracyjnych, poproś administratora o przypisanie ci jednej z ról administratora, które mogą tworzyć wszystkie aspekty rejestracji aplikacji i zarządzać nimi, lub aby umożliwić użytkownikom rejestrowanie aplikacji.

Jeśli nie masz wystarczających uprawnień do zarejestrowania aplikacji, a administrator nie może udzielić ci tych uprawnień, najprostszym sposobem wdrożenia usługi AKS jest poproś administratora platformy Azure o utworzenie jednostki usługi z odpowiednimi uprawnieniami. Administratorzy mogą sprawdzić poniższą sekcję, aby dowiedzieć się, jak utworzyć jednostkę usługi.

Rola i poziom dostępu subskrypcji platformy Azure

Aby sprawdzić poziom dostępu, przejdź do subskrypcji, wybierz pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) po lewej stronie witryny Azure Portal, a następnie wybierz pozycję Wyświetl dostęp.

• Jeśli używasz centrum administracyjnego systemu Windows do wdrożenia hosta usługi AKS lub klastra obciążenia usługi AKS, musisz mieć subskrypcję platformy Azure, na której jesteś właścicielem.
• Jeśli używasz programu PowerShell do wdrażania hosta usługi AKS lub klastra obciążenia usługi AKS, użytkownik rejestrujący klaster musi mieć co najmniej jedną z następujących czynności:
  • Konto użytkownika z wbudowaną rolą Właściciel .
  • Jednostka usługi z jednym z następujących poziomów dostępu:
    • Wbudowana rola Współautor .
    • Wbudowana rola Właściciel.

Jeśli Twoja subskrypcja platformy Azure korzysta z umowy EA lub dostawcy usług w chmurze, najprostszym sposobem wdrożenia usługi AKS jest poproś administratora platformy Azure o utworzenie jednostki usługi z odpowiednimi uprawnieniami. Administratorzy mogą sprawdzić poniższą sekcję, aby dowiedzieć się, jak utworzyć główną usługę.

Opcjonalnie: utwórz nowe główne konto usługi

Wykonaj następujące kroki, aby utworzyć nowego głównego użytkownika usługi z wbudowaną rolą Właściciel. Tylko właściciele subskrypcji mogą tworzyć główne jednostki usługi z odpowiednim przypisaniem roli. Poziom dostępu możesz sprawdzić, przechodząc do subskrypcji, wybierając pozycję Kontrola dostępu (Zarządzanie dostępem i tożsamościami) po lewej stronie witryny Azure Portal, a następnie wybierając pozycję Wyświetl mój dostęp.

Ustaw następujące zmienne programu PowerShell w oknie administratora programu PowerShell. Sprawdź, czy subskrypcja i dzierżawa mają być używane do rejestrowania hosta usługi AKS na potrzeby rozliczeń:

$subscriptionID = "<Your Azure subscrption ID>"
$tenantID = "<Your Azure tenant ID>"

Zainstaluj i zaimportuj moduł programu PowerShell usługi AKS:

Install-Module -Name AksHci

Zaloguj się do platformy Azure przy użyciu polecenia Connect-AzAccount programu PowerShell:

Connect-AzAccount -tenant $tenantID

Ustaw subskrypcję, której chcesz używać do zarejestrowania hosta usługi AKS na potrzeby rozliczeń, jako domyślną, uruchamiając polecenie Set-AzContext.

Set-AzContext -Subscription $subscriptionID

Sprawdź, czy kontekst logowania jest poprawny, uruchamiając polecenie Get-AzContext programu PowerShell. Sprawdź, czy subskrypcja, dzierżawa i konto są tymi, które chcesz użyć do rejestrowania hosta AKS do rozliczania.

Get-AzContext

Name                                     Account                      SubscriptionName             Environment                  TenantId
----                                     -------                      ----------------             -----------                  --------
myAzureSubscription (92391anf-...        user@contoso.com             myAzureSubscription          AzureCloud                   xxxxxx-xxxx-xxxx-xxxxxx

Utwórz jednostkę usługi, uruchamiając polecenie New-AzADServicePrincipal programu PowerShell. To polecenie tworzy jednostkę usługi z rolą Właściciel i ustawia zakres na poziomie subskrypcji. Aby uzyskać więcej informacji na temat tworzenia jednostek usługi, zobacz tworzenie jednostki usługi platformy Azure za pomocą programu Azure PowerShell.

$sp = New-AzADServicePrincipal -role "Owner" -scope /subscriptions/$subscriptionID

Pobierz hasło dla głównej jednostki usługi, uruchamiając następujące polecenie. Należy pamiętać, że to polecenie działa tylko dla modułu Az.Accounts 2.6.0 lub starszego. Moduł AksHci PowerShell automatycznie pobiera moduł Az.Accounts 2.6.0 podczas jego instalowania:

$secret = $sp.PasswordCredentials[0].SecretText
Write-Host "Application ID: $($sp.ApplicationId)"
Write-Host "App Secret: $secret"

Z poprzednich danych wyjściowych masz teraz identyfikator aplikacji i klucz tajny dostępny podczas wdrażania usługi AKS. Zanotuj te elementy i przechowuj je bezpiecznie. Po utworzeniu tego elementu, w witrynie Azure Portal, w obszarze Subskrypcje, Kontrola dostępu, a następnie Przypisania ról, powinna zostać wyświetlona nowa jednostka usługi.

Grupa zasobów platformy Azure

Przed rejestracją musisz mieć grupę zasobów platformy Azure w regionie Azure Australia Wschodnia, Wschodnie USA, Azja Południowo-Wschodnia lub Europa Zachodnia.

Regiony Azure

Usługa AKS Arc służy do rejestracji, rozliczeń i zarządzania. Obecnie obsługuje następujące regiony:

• Wschodnie stany USA
• Południowo-środkowe stany USA
• Europa Zachodnia

Wymagania dotyczące usługi Active Directory

Aby klaster przełączenia awaryjnego AKS z co najmniej dwoma węzłami fizycznymi działał optymalnie w środowisku Active Directory, upewnij się, że spełnione są następujące wymagania:

• Skonfiguruj synchronizację czasu, aby rozbieżność nie przekraczała dwóch minut we wszystkich węzłach klastra i kontrolerze domeny. Aby uzyskać informacje o ustawianiu synchronizacji czasu, zobacz Usługa czasowa systemu Windows.
• Upewnij się, że konta użytkowników używane do dodawania, aktualizowania i zarządzania klastrami usługi AKS lub Windows Server Datacenter mają odpowiednie uprawnienia w usłudze Active Directory. Jeśli używasz Jednostek Organizacyjnych (JOs) do zarządzania zasadami grupy dla serwerów i usług, konta użytkowników wymagają listowania, odczytu, modyfikowania i usuwania wszystkich obiektów w Jednostce Organizacyjnej.
• Użyj oddzielnej jednostki organizacyjnej (OU) dla serwerów i usług obsługiwanych przez klastry AKS lub Windows Server Datacenter. Użycie oddzielnej jednostki organizacyjnej umożliwia kontrolowanie dostępu i uprawnień z większą szczegółowością.
• Jeśli używasz szablonów obiektów zasad grupy w kontenerach w usłudze Active Directory, upewnij się, że wdrożenie AKS na Windows Server nie podlega zasadom.

Dalsze kroki

Po spełnieniu wszystkich tych wymagań wstępnych można skonfigurować hosta usługi AKS przy użyciu:

• Centrum administracyjne systemu Windows
• PowerShell