Démarrage rapide : Créer un cluster automatique Azure Kubernetes Service (AKS) privé dans un réseau virtuel personnalisé

Créer un réseau virtuel

Créer un réseau virtuel en utilisant la commande az network vnet create. Créez un sous-réseau de serveur d’API et un sous-réseau de cluster à l’aide de la az network vnet subnet create commande.

Lorsque vous utilisez un réseau virtuel personnalisé avec AKS Automatic, vous devez créer un sous-réseau de serveur d’API. AKS délègue le sous-réseau à Microsoft.ContainerService/managedClusterson votre compte, ce qui accorde les autorisations de service AKS pour injecter les pods du serveur d’API et l’équilibreur de charge interne dans ce sous-réseau. Vous ne pouvez pas utiliser le sous-réseau pour d’autres charges de travail, mais vous pouvez l’utiliser pour différents clusters AKS situés dans le même réseau virtuel. La taille minimale de sous-réseau de serveur d’API prise en charge est de /28.

az network vnet create --name ${VNET_NAME} \
--resource-group ${RG_NAME} \
--location ${LOCATION} \
--address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name apiServerSubnet \
--delegations Microsoft.ContainerService/managedClusters \
--address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name userNodeSubnet \
--address-prefixes 172.19.1.0/24

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name managedSystemNodeSubnet \
--address-prefixes 172.19.0.64/26

Règles de groupe de sécurité réseau

Tout le trafic au sein du réseau virtuel est autorisé par défaut. Toutefois, si vous avez ajouté des règles de groupe de sécurité réseau (NSG) pour restreindre le trafic entre différents sous-réseaux, assurez-vous que les règles de sécurité du groupe de sécurité réseau autorisent les types de communication suivants :

Créer une identité managée et lui accorder des autorisations sur le réseau virtuel

Créez une identité managée en utilisant la commande az identity create et récupérez l'identifiant principal. Attribuez le rôle Contributeur réseau sur le réseau virtuel à l’identité managée à l’aide de la az role assignment create commande.

az identity create \
--resource-group ${RG_NAME} \
 --name ${IDENTITY_NAME} \
 --location ${LOCATION}

IDENTITY_PRINCIPAL_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query principalId -o tsv)

az role assignment create \
--scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" \
--role "Network Contributor" \
--assignee-object-id "${IDENTITY_PRINCIPAL_ID}" \
--assignee-principal-type ServicePrincipal

Créer un cluster automatique AKS privé dans un réseau virtuel personnalisé

Pour créer un cluster automatique AKS privé, utilisez la commande az aks create . Notez l’utilisation de l’indicateur --enable-private-cluster .

az aks create \
--resource-group ${RG_NAME} \
--name ${CLUSTER_NAME} \
--location ${LOCATION} \
--apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" \
--node-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/userNodeSubnet" \
--system-node-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/managedSystemNodeSubnet" 
--assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" \
--sku automatic \
--enable-private-cluster \
--no-ssh-key

Au bout de quelques minutes, la commande se termine et retourne des informations au format JSON sur le cluster.

Se connecter au cluster

Lorsqu’un cluster automatique AKS est créé en tant que cluster privé, le point de terminaison du serveur d’API n’a aucune adresse IP publique. Pour gérer le serveur d'API, par exemple via kubectl, vous devez vous connecter via une machine qui a accès au réseau virtuel Azure du cluster. Vous pouvez établir une connectivité réseau au cluster privé de différentes manières :

• Créez une machine virtuelle dans le même réseau virtuel que le cluster automatique AKS à l’aide de la az vm create commande avec l’indicateur --vnet-name .
• Utilisez une machine virtuelle dans un réseau virtuel distinct et configurez le peering des réseaux virtuels.
• Utilisez une connexion Express Route ou VPN .
• Utilisez une connexion point de terminaison privé.

La création d’une machine virtuelle dans le même réseau virtuel que le cluster AKS est l’option la plus simple. ExpressRoute et LES VPN ajoutent des coûts et nécessitent d’autres complexités réseau. L’appairage de réseaux virtuels implique la planification de vos plages CIDR réseau pour veiller à ce qu'aucune plage ne se chevauche. Pour plus d’informations, consultez Options de connexion au cluster privé.

Pour gérer un cluster Kubernetes, utilisez kubectl, le client de ligne de commande Kubernetes. kubectl est déjà installé si vous utilisez Azure Cloud Shell. Pour installer kubectl en local, exécutez la commande az aks install-cli. Les clusters automatiques AKS sont configurés avec Microsoft Entra ID pour le contrôle d’accès en fonction du rôle Kubernetes (RBAC).

Lorsque vous créez un cluster à l’aide d'Azure CLI, votre utilisateur se voit assigné les rôles intégrés pour .

Configurez kubectl afin de vous connecter à votre cluster Kubernetes avec la commande az aks get-credentials. Cette commande télécharge les informations d’identification et configure l’interface CLI Kubernetes pour les utiliser.

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

Pour vérifier la connexion à votre cluster, exécutez la commande kubectl get. Cette commande renvoie la liste des nœuds de cluster.

kubectl get nodes

L’exemple de sortie suivant montre comment vous êtes invité à vous connecter.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Une fois connecté, l’exemple de sortie suivant montre les pools de nœuds système managés. Assurez-vous que l’état du nœud est Prêt.

NAME                           STATUS   ROLES    AGE   VERSION
aks-hostedpool-16652789-vms1   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms2   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms3   Ready    <none>   19m   v1.34.7
aks-system-surge-zq4d2         Ready    <none>   19m   v1.34.7

Créer un réseau virtuel

Ce fichier Bicep définit un réseau virtuel.

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the user node subnet.')
param userNodeSubnetName string = 'userNodeSubnet'

@description('The subnet prefix of the user node subnet.')
param userNodeSubnetPrefix string = '172.19.1.0/24'

@description('The name of the system node subnet.')
param systemNodeSubnetName string = 'systemNodeSubnet'

@description('The subnet prefix of the system node subnet.')
param systemNodeSubnetPrefix string = '172.19.0.64/26'

// Virtual network with an API server subnet, a user node subnet, and a system node subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: userNodeSubnetName
                properties: {
                    addressPrefix: userNodeSubnetPrefix
                }
            }
            {
                name: systemNodeSubnetName
                properties: {
                    addressPrefix: systemNodeSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output userNodeSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, userNodeSubnetName)
output systemNodeSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, systemNodeSubnetName)

Enregistrez le fichier Bicep virtualNetwork.bicep sur votre ordinateur local.

Déployez le fichier Bicep à l’aide du Azure CLI.

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

Tout le trafic au sein du réseau virtuel est autorisé par défaut. Toutefois, si vous avez ajouté des règles de groupe de sécurité réseau (NSG) pour restreindre le trafic entre différents sous-réseaux, assurez-vous que les règles de sécurité du groupe de sécurité réseau autorisent les types de communication suivants :

Créer une identité managée

Ce fichier Bicep définit une identité managée utilisateur assignée.

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

Enregistrez le fichier Bicep uami.bicep sur votre ordinateur local.

Déployez le fichier Bicep à l’aide du Azure CLI.

az deployment group create --resource-group <resource-group> --template-file uami.bicep

Attribuer le rôle Contributeur réseau sur le réseau virtuel

Ce fichier Bicep définit les attributions de rôles sur le réseau virtuel.

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://dotnet.territoriali.olinfo.it/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

Enregistrez le fichier Bicep roleAssignments.bicep sur votre ordinateur local.

Déployez le fichier Bicep à l’aide du Azure CLI. Vous devez fournir l’ID du principal de l’identité affectée par l’utilisateur.

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Créer un cluster automatique AKS privé dans un réseau virtuel personnalisé

Ce fichier Bicep définit le cluster automatique AKS.

@description('The name of the managed cluster resource.')
param clusterName string = 'aksPrivateAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the user node subnet.')
param userNodeSubnetId string

@description('The resource ID of the system node subnet.')
param systemNodeSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
    hostedSystemProfile: {
      systemNodeSubnetID: systemNodeSubnetId
      nodeSubnetID: userNodeSubnetId
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

Enregistrez le fichier Bicep aks.bicep sur votre ordinateur local.

Déployez le fichier Bicep à l’aide du Azure CLI. Vous devez fournir l’ID de ressource du sous-réseau du serveur d’API, l’ID de ressource de sous-réseau du nœud utilisateur, l’ID de ressource de sous-réseau du nœud système et l’ID de ressource d’identité managée affectée par l’utilisateur.

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters nodeSubnetId=<user node subnet resource id> \
--parameters systemNodeSubnetId=<system node subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

Se connecter au cluster

Lorsqu’un cluster automatique AKS est créé en tant que cluster privé, le point de terminaison du serveur d’API n’a aucune adresse IP publique. Pour gérer le serveur d'API, par exemple via kubectl, vous devez vous connecter via une machine qui a accès au réseau virtuel Azure du cluster. Vous pouvez établir une connectivité réseau au cluster privé de différentes manières :

• Créez une machine virtuelle dans le même réseau virtuel que le cluster automatique AKS à l’aide de la az vm create commande avec l’indicateur --vnet-name .
• Utilisez une machine virtuelle dans un réseau virtuel distinct et configurez le peering des réseaux virtuels.
• Utilisez une connexion Express Route ou VPN .
• Utilisez une connexion point de terminaison privé.

La création d’une machine virtuelle dans le même réseau virtuel que le cluster AKS est l’option la plus simple. Express Route et VPN ajoutent des coûts et nécessitent une plus grande complexité réseau. L’appairage de réseaux virtuels implique la planification de vos plages CIDR réseau pour veiller à ce qu'aucune plage ne se chevauche. Pour plus d’informations, consultez Options de connexion au cluster privé.

Pour gérer un cluster Kubernetes, utilisez kubectl, le client de ligne de commande Kubernetes. kubectl est déjà installé si vous utilisez Azure Cloud Shell. Pour installer kubectl en local, exécutez la commande az aks install-cli. Les clusters automatiques AKS sont configurés avec Microsoft Entra ID pour le contrôle d’accès en fonction du rôle Kubernetes (RBAC).

Configurez kubectl afin de vous connecter à votre cluster Kubernetes avec la commande az aks get-credentials. Cette commande télécharge les informations d’identification et configure l’interface CLI Kubernetes pour les utiliser.

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

Pour vérifier la connexion à votre cluster, exécutez la commande kubectl get. Cette commande renvoie la liste des nœuds de cluster.

kubectl get nodes

L’exemple de sortie suivant montre comment vous êtes invité à vous connecter.

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

Une fois connecté, l’exemple de sortie suivant montre les pools de nœuds système managés. Assurez-vous que l’état du nœud est Prêt.

NAME                           STATUS   ROLES    AGE   VERSION
aks-hostedpool-16652789-vms1   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms2   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms3   Ready    <none>   19m   v1.34.7
aks-system-surge-zq4d2         Ready    <none>   19m   v1.34.7