Azure Kubernetes Service (AKS)でのノード リソース グループのロックダウンのデプロイと管理

適用対象: ✔️ AKS 自動 ✔️ AKS Standard

AKS は、アプリケーションに接続して実行するためのインフラストラクチャをサブスクリプションにデプロイします。 ノード リソース グループ内のリソースに直接加えられた変更は、クラスターの操作に影響を与えたり、将来の問題を引き起こす可能性があります。 たとえば、スケーリング、ストレージ、またはネットワーク構成は、これらのリソースに直接ではなく、Kubernetes API を使用して行う必要があります。

ノード リソース グループに変更が加えられるのを防ぐには、拒否割り当てを適用し、AKS クラスターの一部として作成されたリソースの変更をユーザーがブロックできます。

AKS 自動は、ほとんどの AKS ワークロードに推奨される運用環境対応の既定値です。 AKS Automatic では、ノード リソース グループのロックダウンは、フル マネージド ノード リソース グループ モデルの一部として事前構成されています。

AKS Standard では、ノード リソース グループのロックダウンは省略可能であり、制限レベルで構成できます。

AKS Automatic の詳細については、「AKS Automatic とは」を参照してください。

開始する前に

Azure CLIを使用して AKS Standard のロックダウンを構成する場合は、次のものが必要です。

  • Azure CLI バージョン 2.44.0 以降。 az --versionを実行して現在のバージョンを検索します。 インストールまたはアップグレードが必要な場合は、Azure CLI のインストールを参照してください。

制限レベル

制限レベル Behavior
ReadOnly ノード リソース グループ リソースは表示できますが、拒否割り当てでは直接更新がブロックされます。
無制限 ノード リソース グループ リソースへの直接更新が許可されます。

AKS Automatic

ノード リソース グループのロックダウンは、AKS 自動クラスターで事前構成されています。 別の有効化コマンドを実行する必要はありません。

AKS 自動クラスターを作成するには、「Azure Kubernetes Service (AKS)自動クラスターの作成」を参照してください。

AKS Standard: ノード リソース グループのロックダウンを使用してクラスターを作成する

az aks create フラグを --nrg-lockdown-restriction-level に設定した ReadOnly コマンドを使用して、ノード リソース グループのロックダウンを使用して AKS Standard クラスターを作成します。 この構成では、リソースを表示できますが、変更することはできません。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Create an AKS Standard cluster with node resource group lockdown
az aks create \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --nrg-lockdown-restriction-level ReadOnly \
    --generate-ssh-keys

AKS Standard: ノード リソース グループのロックダウンを使用してクラスターを更新する

az aks update フラグが --nrg-lockdown-restriction-level に設定された ReadOnly コマンドを使用して、ノード リソース グループのロックダウンを使用して、既存の AKS Standard クラスターを更新します。 この構成では、リソースを表示できますが、変更することはできません。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Update an existing AKS Standard cluster with node resource group lockdown
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level ReadOnly

AKS Standard: ノード リソース グループのロックダウンを削除する

az aks update フラグを --nrg-lockdown-restriction-level に設定した Unrestricted コマンドを使用して、既存の AKS Standard クラスターからノード リソース グループのロックダウンを削除します。 この構成では、リソースを表示および変更できます。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Remove node resource group lockdown from an existing AKS Standard cluster
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level Unrestricted

よく寄せられる質問 (FAQ)

AKS 自動でノード リソース グループのロックダウンは既定で有効になっていますか?

はい。AKS 自動クラスターで事前構成されています。

AKS Automatic でロックダウン コマンドを実行する必要がありますか?

いいえ。ロックダウン コマンドは AKS Standard 構成用です。

AKS Standard で ReadOnly を使用する必要がある場合

直接インフラストラクチャの編集に対する保護を強化し、AKS と Kubernetes API を使用してクラスターの変更を優先する場合は、ReadOnly を使用します。

関連するコンテンツ

  • Last updated on