跳至主要内容

AKS 叢集配置參考

角色型存取控制​

在 Rancher UI 中佈建 AKS 叢集時，無法停用 RBAC。如果在 AKS 叢集中停用 RBAC，則該叢集無法註冊或匯入到 Rancher 中。實際上，這意味著必須啟用本機帳戶才能註冊或匯入 AKS 叢集。

Rancher 可以為 AKS 叢集配置成員角色，方式與任何其他叢集相同。如需更多資訊，請參閱角色型存取控制章節。

雲端憑證​

備註

本節中的配置資訊假設你已經為 Rancher 設定了服務主體。如需如何設定服務主體的分步說明，請參閱本節。

訂閱 ID​

要取得訂閱 ID，請在左側導覽列中點選 All Services。然後點選 Subscriptions。前往要與 Kubernetes 叢集關聯的訂閱名稱，並複製 Subscription ID。

客戶端 ID​

要取得客戶端 ID，請前往 Azure Portal，然後點選 Azure Active Directory，再點選 App registrations，然後點選服務主體的名稱。客戶端 ID 在應用程式註冊詳細資訊頁面上列為 Application (client) ID。

客戶端金鑰​

客戶端金鑰的值在建立後無法擷取，因此如果你還沒有客戶端金鑰值，則需要建立新的客戶端金鑰。

要取得新的客戶端金鑰，請前往 Azure Portal，然後點選 Azure Active Directory，再點選 App registrations，然後點選服務主體的名稱。

然後點選 Certificates & secrets 並點選 New client secret。點選 Add。然後複製新客戶端金鑰的 Value。

環境​

Microsoft 為遵守區域法律提供了多個雲端，可供你使用：

  • AzurePublicCloud
  • AzureGermanCloud
  • AzureChinaCloud
  • AzureUSGovernmentCloud

帳戶存取​

在本節中，你需要選擇現有的 Azure 雲端憑證或建立新的憑證。

如需協助配置你的 Azure 雲端憑證，請參閱本節。

叢集位置​

配置叢集和節點位置。有關 AKS 可用性區域的更多資訊，請參閱 AKS 文件。

高可用性位置包括多個可用性區域。

叢集選項​

Kubernetes 版本​

可用的 Kubernetes 版本會從 Azure API 動態擷取。

叢集資源群組​

資源群組是一個容器，用於保存 Azure 解決方案的相關資源。資源群組可以包含解決方案的所有資源，或僅包含你想要作為群組管理的資源。你可以根據最適合你組織的方式，決定如何將資源分配給資源群組。通常，將具有相同生命週期的資源新增到同一資源群組，以便你可以輕鬆地將它們作為一個群組進行部署、更新和刪除。

使用現有的資源群組或輸入資源群組名稱，系統將為你建立一個。

使用包含現有 AKS 叢集的資源群組將建立一個新的資源群組。Azure AKS 每個資源群組只允許一個 AKS 叢集。

有關管理資源群組的資訊，請參閱 Azure 文件。

Linux 管理員使用者名稱​

用於建立與 Linux 節點的 SSH 連線的使用者名稱。

AKS 節點的預設使用者名稱為 azureuser。

SSH 公開金鑰​

用於建立與 Linux 節點的 SSH 連線的金鑰。

標籤​

如果你的組織使用標籤作為在多個 Azure 服務中組織資源的方式，則叢集標籤可能很有用。這些標籤不適用於叢集內的資源。

網路選項​

LoadBalancer SKU​

Azure 負載平衡器支援標準和基本 SKU（庫存單位）。

有關標準和基本負載平衡器的比較，請參閱官方的 Azure 文件。Microsoft 建議使用標準負載平衡器。

如果你選擇了一個或多個可用性區域，或者如果你有多個節點池，則需要使用標準負載平衡器。

網路策略​

預設情況下，AKS 叢集中的所有 Pod 都可以無限制地傳送和接收流量。為了提高安全性，你可以定義控制流量流向的規則。Kubernetes 中的網路策略功能讓你可以定義叢集中 Pod 之間的入站和出站流量規則。

Azure 提供了兩種實作網路策略的方法。你在建立 AKS 叢集時選擇一個網路策略選項。叢集建立後無法更改策略選項：

  • Azure 自己的實作，稱為 Azure 網路策略。Azure 網路策略需要 Azure CNI。
  • Calico 網路策略，由 Tigera 創立的開源網路和網路安全解決方案。

你也可以選擇沒有網路策略。

有關 Azure 和 Calico 網路策略之間的差異及其功能的更多資訊，請參閱 AKS 文件。

DNS 前綴​

為你的叢集的 Kubernetes API 伺服器 FQDN 輸入唯一的 DNS 前綴。

網路外掛程式​

有兩個網路外掛程式：kubenet 和 Azure CNI。

kubenet Kubernetes 外掛程式是 AKS 叢集建立的預設配置。使用 kubenet 時，叢集中的每個節點都會收到一個可路由的 IP 位址。Pod 使用 NAT 與 AKS 叢集外的其他資源進行通訊。這種方法減少了你需要在網路空間中為 Pod 使用而保留的 IP 位址數量。

使用 Azure CNI（進階）網路外掛程式，Pod 可以獲得完整的虛擬網路連線，並且可以透過其私有 IP 位址從連接的網路直接訪問。此外掛程式需要更多的 IP 位址空間。

有關 kubenet 和 Azure CNI 之間的差異的更多資訊，請參閱 AKS 文件。

HTTP 應用程式路由​

啟用後，HTTP 應用程式路由附加元件可以更輕鬆地存取部署到 AKS 叢集的應用程式。它部署了兩個元件：Kubernetes Ingress 控制器和 External-DNS 控制器。

有關更多資訊，請參閱 AKS 文件。

設定已授權的 IP 範圍​

你可以使用已授權的 IP 位址範圍來保護對 Kubernetes API 伺服器的存取。

Kubernetes API 伺服器公開了 Kubernetes API。此元件為管理工具（例如 kubectl）提供互動。AKS 提供具有專用 API 伺服器的單租戶叢集控制平面。預設情況下，API 伺服器被分配了一個公共 IP 位址，你應該使用基於 Kubernetes 的 RBAC 或基於 Azure 的 RBAC 來控制對它的存取。

為了保護對原本可公開存取的 AKS 控制平面和 API 伺服器的存取，你可以啟用並使用已授權的 IP 範圍。這些已授權的 IP 範圍只允許定義的 IP 位址範圍與 API 伺服器通訊。

但是，即使你使用已授權的 IP 位址範圍，你仍然應該使用 Kubernetes RBAC 或 Azure RBAC 來授權使用者及其請求的操作。

容器監控​

容器監控透過從 Kubernetes 中可用的控制器、節點和容器收集記憶體和處理器指標，為你提供效能可見性。還會收集容器日誌。啟用監控後，會透過 Linux 的 Log Analytics 代理程式的容器化版本自動為你收集指標和日誌。指標會寫入指標存儲，日誌資料會寫入與你的 Log Analytics 工作區關聯的日誌存儲。

Log Analytics 工作區資源群組​

包含 Log Analytics 工作區的資源群組。你必須至少建立一個工作區才能使用 Azure Monitor Logs。

Log Analytics 工作區名稱​

Azure Monitor Logs 收集的資料儲存在一個或多個 Log Analytics 工作區中。工作區定義了資料的地理位置、定義哪些使用者可以存取資料的存取權限，以及配置設定（例如定價層和資料保留）。

你必須至少建立一個工作區才能使用 Azure Monitor Logs。一個工作區可能足以滿足你的所有監控資料需求，或者你可以根據你的要求選擇建立多個工作區。例如，你可能為生產資料建立一個工作區，為測試建立另一個工作區。

有關 Azure Monitor Logs 的更多資訊，請參閱 Azure 文件。

支援私有 Kubernetes 服務​

通常，無論叢集是否為私有，AKS 工作節點都不會獲得公共 IP。在私有叢集中，控制平面沒有公共端點。

Rancher 可以透過以下兩種方式之一連線到私有 AKS 叢集。

第一種方式是確保 Rancher 在與 AKS 節點相同的 NAT 上執行。

第二種方式是執行命令將叢集註冊到 Rancher。叢集佈建完成後，你可以在可以連線到叢集的 Kubernetes API 的任何地方執行顯示的命令。當你佈建啟用了私有 API 端點的 AKS 叢集時，此命令會顯示在彈出視窗中。

備註

請注意，當註冊現有的 AKS 叢集時，叢集可能需要一些時間（可能數小時）才能出現在 Cluster To register 下拉清單中。此結果將取決於區域。

有關連線到 AKS 私有叢集的更多資訊，請參閱 AKS 文件。

節點池​

模式​

Azure 介面允許使用者指定主要節點池依賴於 system（通常用於控制平面）或 user（Rancher 最常需要的）。

對於主要節點池，你可以指定模式、OS、數量和大小。

系統節點池始終需要執行中的節點，因此它們無法縮減到少於一個節點。至少需要一個系統節點池。

對於後續的節點池，Rancher UI 強制預設為 User。使用者節點池允許你縮減到零個節點。使用者節點池不執行 Kubernetes 控制平面的任何部分。

AKS 不公開執行 Kubernetes 控制平面元件的節點。

可用性區域​

可用性區域是區域內的唯一實體位置。每個區域由一個或多個配備獨立電源、冷卻和網路的資料中心組成。

並非所有區域都支援可用性區域。有關具有可用性區域的 Azure 區域清單，請參閱 Azure 文件。

VM 大小​

為節點池中的每個 VM 選擇大小。有關每個 VM 大小的詳細資訊，請參閱此頁面。

OS 磁碟類型​

節點池中的節點可以具有託管磁碟或臨時磁碟。

臨時 OS 磁碟在本機虛擬機器儲存上建立，不會儲存到遠端 Azure 儲存體。臨時 OS 磁碟非常適合無狀態工作負載，其中應用程式容忍個別 VM 故障，但更受 VM 部署時間或重新映像個別 VM 執行個體的影響。使用臨時 OS 磁碟，你可以獲得更低的 OS 磁碟讀取/寫入延遲以及更快的 VM 重新映像。

Azure 託管磁碟是由 Azure 管理並與 Azure 虛擬機器一起使用的區塊級儲存卷。託管磁碟設計為 99.999% 的可用性。託管磁碟透過為你提供三個資料副本來實現這一點，從而實現高耐用性。

OS 磁碟大小​

每個節點的磁碟大小（以 GB 為單位）。

節點數量​

節點池中的節點數量。節點數量上限可能受到你的 Azure 訂閱的限制。

每個節點的最大 Pod 數​

每個節點的最大 Pod 數預設為 110，最大為 250。

啟用自動縮放​

啟用自動縮放後，你需要輸入最小和最大節點數量。

啟用自動縮放後，你無法手動縮放節點池。縮放由 AKS 自動縮放器控制。