通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用命令调用或运行命令功能访问专用 Azure Kubernetes 服务 (AKS) 群集

部署和浏览

在访问专用 AKS 群集时，需要从群集虚拟网络、对等互连网络或通过已配置的专用终结点连接到群集。 这些方法需要配置 VPN、Express Route、在群集虚拟网络中部署 jumpbox，或在另一个虚拟网络中创建专用终结点。

通过 Azure CLI，可以使用 command invoke 访问专用群集，而无需配置 VPN 或 Express Route。 使用 command invoke，可以通过 Azure API 在专用群集上远程调用 kubectl 和 helm 等命令，而无需直接连接到群集。 Microsoft.ContainerService/managedClusters/runcommand/action 和 Microsoft.ContainerService/managedclusters/commandResults/read 操作控制使用 command invoke 的权限。

通过 Azure 门户，可以使用 Run command 功能在专用群集上运行命令。 Run command 功能使用相同的 command invoke 功能在群集上运行命令。

小窍门

可以使用 Azure Copilot 在 Azure 门户中运行 kubectl 命令。 有关详细信息，请参阅 使用 Azure Copilot 高效处理 AKS 群集。

Run command 创建的 Pod 提供了 kubectl 和 helm 来操作群集。 jq、xargs、grep 和 awk 可用于 Bash 支持。

开始之前

在开始之前，请确保拥有以下资源和权限：

  • 现有的专用群集。 如果你没有群集，请参阅创建专用 AKS 群集。
  • Azure CLI 2.24.0 或更高版本。 运行 az --version 即可查找版本。 如果需要进行安装或升级，请参阅安装 Azure CLI。
  • 对群集上的 Microsoft.ContainerService/managedClusters/runcommand/action 和 Microsoft.ContainerService/managedclusters/commandResults/read 角色的访问权限。

限制

此功能旨在简化群集访问，并非设计用于以编程方式进行访问。 应通过 Bastion、VPN 或 Express Route 利用直接 API 访问，以编程方式调用群集。

如果使用 Run command 让一个程序调用 Kubernetes，将会有以下缺点：

  • 你只会收到 exitCode 和文本输出，而会丢失 API 级别详细信息。
  • 一个额外的跃点会引入额外的故障点。

由Run command创建的 Pod 具有200m CPU和500Mi memory请求，并且有500m CPU和1Gi memory限制。 如果所有节点已满或超额分配，Pod 可能无法在 ARM API 超时 60 秒内进行调度。 这意味着 Run command 调用会失败。

command invoke 从群集运行命令，因此以这种方式运行的任何命令都受配置的网络限制和任何其他已配置的限制的约束。 确保群集中存在足够的节点和资源来调度此命令 pod。

注意

command invoke 的输出大小限制为 512kB。

在 AKS 群集上运行命令

下面是如何使用 az aks command invoke 对专用 AKS 群集执行命令的示例。 这些示例假定你有一个现有的资源组和 AKS 群集。

使用 command invoke 运行单个命令

可以使用该命令在群集 az aks command invoke --command 上运行命令。 以下示例命令在 kubectl get pods -n kube-system 的 myPrivateCluster 群集上运行 命令。

首先，为资源组和群集名称设置环境变量，以便在后续命令中使用。

export AKS_RESOURCE_GROUP="myResourceGroup"
export AKS_CLUSTER_NAME="myPrivateCluster"

上述环境变量允许在后续部分中运行 AKS 命令，而无需重写其名称。

若要在 AKS 群集上运行单个 kubectl 命令，请执行以下作：

az aks command invoke \
  --resource-group $AKS_RESOURCE_GROUP \
  --name $AKS_CLUSTER_NAME \
  --command "kubectl get pods -n kube-system"

使用 command invoke 运行多个命令

还可以运行多个命令。 以下示例在群集上按顺序执行三 helm 个命令。

az aks command invoke \
  --resource-group $AKS_RESOURCE_GROUP \
  --name $AKS_CLUSTER_NAME \
  --command "helm repo add bitnami https://charts.bitnami.com/bitnami && helm repo update && helm install my-release bitnami/nginx"

使用 command invoke 运行包含附加文件的命令

将参数与 --file 一起使用 az aks command invoke时，该文件必须存在，并且可在当前工作目录中访问。 下面，我们将创建一个用于演示的最小部署文件。

若要运行附带文件的命令，请先创建名为 deployment.yaml 的 Kubernetes 清单文件。 以下示例创建一个小型 nginx 部署并将其与 command invoke 一起应用：

cat <<EOF > deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-demo
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx-demo
  template:
    metadata:
      labels:
        app: nginx-demo
    spec:
      containers:
      - name: nginx
        image: nginx:1.21.6
        ports:
        - containerPort: 80
EOF

az aks command invoke \
  --resource-group $AKS_RESOURCE_GROUP \
  --name $AKS_CLUSTER_NAME \
  --command "kubectl apply -f deployment.yaml -n default" \
  --file deployment.yaml

使用 command invoke 运行附加了当前目录中所有文件的命令

仅使用较小的必要文件以避免超过系统大小限制。 下面，在附加 YAML 文件之前会创建两个最小 YAML 文件。

cat <<EOF > deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-demo
spec:
  replicas: 1
  selector:
    matchLabels:
      app: nginx-demo
  template:
    metadata:
      labels:
        app: nginx-demo
    spec:
      containers:
      - name: nginx
        image: nginx:1.21.6
        ports:
        - containerPort: 80
EOF

cat <<EOF > configmap.yaml
apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-config
data:
  welcome-message: "Hello from configmap"
EOF

az aks command invoke \
  --resource-group $AKS_RESOURCE_GROUP \
  --name $AKS_CLUSTER_NAME \
  --command "kubectl apply -f deployment.yaml -f configmap.yaml -n default" \
  --file deployment.yaml \
  --file configmap.yaml

禁用 Run command

可以通过将Run command来禁用.properties.apiServerAccessProfile.disableRunCommand功能。

疑难解答

有关 az aks command invoke 的最常见问题及其解决方法的信息，请参阅解决 az aks command invoke 失败。

后续步骤

本文介绍了如何访问专用群集并在该群集上运行命令。 有关 AKS 群集的详细信息，请参阅以下文章：

  • Last updated on