Implementar e gerenciar o bloqueio do grupo de recursos dos nós no Serviço de Kubernetes do Azure (AKS)

Aplica-se a: ✔️ AKS Automatic ✔️ AKS Standard

O AKS implanta a infraestrutura em sua assinatura para se conectar e executar seus aplicativos. As alterações feitas diretamente nos recursos no grupo de recursos do nó podem afetar as operações de cluster ou causar problemas futuros. Por exemplo, o dimensionamento, o armazenamento ou a configurações de rede devem ser feitas por meio da API do Kubernetes e não diretamente nesses recursos.

Para impedir que alterações sejam feitas no grupo de recursos do nó, aplique uma atribuição de negação e impedir que os usuários modifiquem os recursos criados como parte do cluster do AKS.

O AKS Automatic é o padrão pronto para produção recomendado para a maioria das cargas de trabalho do AKS. No AKS Automático, o bloqueio do grupo de recursos do nó é pré-configurado como parte do modelo de grupo de recursos de nó totalmente gerenciado.

No Standard do AKS, o bloqueio do grupo de recursos dos nós é opcional, e você pode configurá-lo usando níveis de restrição.

Para obter mais informações sobre o AKS Automatic, consulte o que é o AKS Automatic?

Antes de começar

Se você estiver configurando o bloqueio no AKS Standard usando CLI do Azure, será necessário:

  • CLI do Azure versão 2.44.0 ou posterior. Execute az --version para encontrar a versão atual. Se você precisa instalar ou atualizar, consulte Instalar a CLI do Azure.

Níveis de restrição

Nível de restrição Behavior
ReadOnly Você pode exibir recursos do grupo de recursos do nó, mas uma atribuição de negação bloqueia atualizações diretas.
Irrestrito Atualizações diretas nos recursos do grupo de recursos do nó são permitidas.

AKS Automático

O bloqueio do grupo de recursos dos nós vem pré-configurado em clusters AKS Automatic. Você não precisa executar um comando de habilitação separado.

Para criar um cluster automático do AKS, consulte Criar um cluster AKS (Serviço de Kubernetes do Azure) Automático.

AKS Padrão: criar um cluster com bloqueio do grupo de recursos de nó

Crie um cluster AKS Standard com bloqueio do grupo de recursos de nós usando o comando az aks create com o sinalizador --nrg-lockdown-restriction-level definido como ReadOnly. Essa configuração permite que você exiba os recursos, mas não os modifique.

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Create an AKS Standard cluster with node resource group lockdown
az aks create \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --nrg-lockdown-restriction-level ReadOnly \
    --generate-ssh-keys

AKS Padrão: atualizar um cluster com bloqueio do grupo de recursos de nó

Atualize um cluster AKS Padrão existente com o bloqueio do grupo de recursos dos nós usando o comando az aks update com o sinalizador --nrg-lockdown-restriction-level definido como ReadOnly. Essa configuração permite que você exiba os recursos, mas não os modifique.

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Update an existing AKS Standard cluster with node resource group lockdown
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level ReadOnly

AKS Padrão: remover o bloqueio do grupo de recursos dos nós

Remova o bloqueio do grupo de recursos do nó de um cluster AKS Padrão existente usando o comando az aks update com o sinalizador --nrg-lockdown-restriction-level definido como Unrestricted. Essa configuração permite exibir e modificar os recursos.

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Remove node resource group lockdown from an existing AKS Standard cluster
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level Unrestricted

Perguntas frequentes (FAQs)

O bloqueio do grupo de recursos do nó está habilitado por padrão no AKS Automatic?

Sim, ele é pré-configurado em clusters automáticos do AKS.

Preciso executar comandos de bloqueio no AKS Automatic?

Não, os comandos de bloqueio são para a configuração padrão do AKS.

Quando devo usar ReadOnly no AKS Standard?

Use ReadOnly quando quiser uma proteção mais forte contra edições de infraestrutura direta e preferir alterações de cluster por meio de APIs do AKS e do Kubernetes.

Conteúdo relacionado

  • Last updated on