在 Azure Kubernetes 服务（AKS）中使用托管命名空间

• 在门户中列出需要转换的现有命名空间这一操作在专用群集中无法实现。 可以添加新的命名空间。

以下 Bicep 示例演示如何创建托管命名空间作为托管群集的子资源。 请确保为 defaultNetworkPolicy、adoptionPolicy 和 deletePolicy 选择合适的值。 有关这些参数的含义的详细信息，请参阅托管命名空间概述。

resource existingCluster 'Microsoft.ContainerService/managedClusters@2024-03-01' existing = {
  name: 'contoso-cluster'
}

resource managedNamespace 'Microsoft.ContainerService/managedClusters/managedNamespaces@2025-09-01' = {
  parent: existingCluster
  name: 'retail-team'
  location: location
  properties: {
    defaultResourceQuota: {
      cpuRequest: '1000m'
      cpuLimit: '2000m'
      memoryRequest: '512Mi'
      memoryLimit: '1Gi'
    }
    defaultNetworkPolicy: {
      ingress: 'AllowSameNamespace'
      egress: 'AllowAll'
    }
    adoptionPolicy: 'IfIdentical'
    deletePolicy: 'Keep'
    labels: {
      environment: 'dev'
    }
    annotations: {
      owner: 'retail'
    }
  }
}

将 Bicep 文件 managedNamespace.bicep 保存到本地计算机。

使用 Azure CLI 部署 Bicep 文件。

az deployment group create --resource-group <resource-group> --template-file managedNamespace.bicep

定义变量

定义将在后续步骤中使用的以下变量。

RG_NAME=cluster-rg
CLUSTER_NAME=contoso-cluster
NAMESPACE_NAME=retail-team
LABELS="environment=dev"
ANNOTATIONS="owner=retail"

创建托管命名空间

要自定义托管命名空间的配置，可在创建时从多种参数选项中进行选择。 请确保为 ingress-network-policy、egress-network-policy、adoption-policy 和 delete-policy 选择适当的值。 有关这些参数的含义的详细信息，请参阅托管命名空间概述。

az aks namespace add \
    --name ${NAMESPACE_NAME} \
    --cluster-name ${CLUSTER_NAME} \
    --resource-group ${RG_NAME} \
    --cpu-request 1000m \
    --cpu-limit 2000m \
    --memory-request 512Mi \
    --memory-limit 1Gi \
    --ingress-policy [AllowSameNamespace|AllowAll|DenyAll] \
    --egress-policy [AllowSameNamespace|AllowAll|DenyAll] \
    --adoption-policy [Never|IfIdentical|Always] \
    --delete-policy [Keep|Delete] \
    --labels ${LABELS} \
    --annotations ${ANNOTATIONS}

分配角色

创建命名空间后，可以为控制平面和数据平面分配一个内置角色。

ASSIGNEE="user@contoso.com"
NAMESPACE_ID=$(az aks namespace show --name ${NAMESPACE_NAME} --cluster-name ${CLUSTER_NAME} --resource-group ${RG_NAME} --query id -o tsv)

分配控制平面角色，以便能够在门户、Azure CLI 输出和 Azure 资源管理器中查看托管命名空间。 此角色还允许用户检索凭据以连接到此命名空间。

az role assignment create \
  --assignee ${ASSIGNEE} \
  --role "Azure Kubernetes Service Namespace User" \
  --scope ${NAMESPACE_ID}

分配数据平面角色，以便能够使用 Kubernetes API 在命名空间内创建资源。

az role assignment create \
  --assignee ${ASSIGNEE} \
  --role "Azure Kubernetes Service RBAC Writer" \
  --scope ${NAMESPACE_ID}

1. 登录到 Azure 门户。
2. 在 Azure 门户主页上，选择“创建资源”。
3. 在“类别”部分，选择“托管 Kubernetes 命名空间”。
4. 在“基本信息”选项卡上的“项目详细信息”下，配置以下设置：
   1. 选择要在哪个目标群集上创建命名空间。
   2. 如要新建命名空间，请保留默认选项“新建”；如要将现有命名空间转换为托管命名空间，请选择“将现有命名空间更改为托管命名空间”。
5. 配置要应用于命名空间的网络策略。
6. 配置命名空间的资源请求和限制。
7. 选择成员（用户或组）及其角色。
   1. 分配 Azure Kubernetes 服务命名空间用户 角色，以便他们有权在门户、Azure CLI 输出和 Azure 资源管理器中查看托管命名空间。 此角色还允许用户检索凭据以连接到此命名空间。
   2. 分配“Azure Kubernetes 服务 RBAC Writer”角色，以便他们有权使用 Kubernetes API 在命名空间中创建资源。
8. 选择“查看 + 创建”以在配置上运行验证。 验证完成后，选择“创建”。

列出托管命名空间

可以使用 Azure CLI 列出不同范围内的托管命名空间。

订阅级别

运行以下命令，列出订阅中的所有托管命名空间。

az aks namespace list --subscription <subscription-id>

资源组级别

运行以下命令，列出特定资源组中的所有托管命名空间。

az aks namespace list --resource-group <rg-name>

群集级别

运行以下命令，列出特定群集中的所有托管命名空间。

az aks namespace list --resource-group <rg-name> --cluster-name <cluster-name>

列出托管命名空间

可以使用 Azure CLI 列出不同范围内的托管命名空间。

订阅级别

运行以下命令，列出订阅中的所有托管命名空间。

az aks namespace list --subscription <subscription-id>

资源组级别

运行以下命令，列出特定资源组中的所有托管命名空间。

az aks namespace list --resource-group <rg-name>

群集级别

运行以下命令，列出特定群集中的所有托管命名空间。

az aks namespace list --resource-group <rg-name> --cluster-name <cluster-name>

连接至群集

可以通过以下命令检索凭据以连接到命名空间。

az aks namespace get-credentials --name <namespace-name> --resource-group <rg-name> --cluster-name <cluster-name>

连接至群集

可以通过以下命令检索凭据以连接到命名空间。

az aks namespace get-credentials --name <namespace-name> --resource-group <rg-name> --cluster-name <cluster-name>