AKS(Azure Kubernetes Service)에 대한 신뢰할 수 있는 시작

• Azure CLI 버전 2.66.0 이상. az --version을 실행하여 버전을 찾고 az upgrade를 실행하여 버전을 업그레이드합니다. 설치 또는 업그레이드해야 하는 경우 Azure CLI 설치를 참조하세요.

1. az aks create 명령을 사용하여 AKS 클러스터를 만듭니다. 명령을 실행하기 전에 다음 매개 변수를 검토합니다.

   • --name: AKS 클러스터의 고유한 이름(예: myAKSCluster)을 입력합니다.
   • --resource-group: AKS 클러스터 리소스를 호스트할 기존 리소스 그룹의 이름을 입력합니다.
   • --enable-secure-boot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • --enable-vtpm: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   참고

   보안 부팅에는 서명된 부트 로더, OS 커널 및 드라이버가 필요합니다. 보안 부팅을 사용하도록 설정한 후 노드가 시작되지 않으면 Azure Linux 가상 머신 내에서 보안 부팅 오류를 담당하는 부팅 구성 요소를 확인할 수 있습니다. 보안 부팅 실패 확인을 참조하세요.

   다음 예에서는 myResourceGroup에 하나의 노드가 있는 myAKSCluster라는 클러스터를 만들고 보안 부팅 및 vTPM을 사용하도록 설정합니다.

   az aks create \
       --name myAKSCluster \
       --resource-group myResourceGroup \
       --node-count 1 \
       --enable-secure-boot \
       --enable-vtpm \
       --generate-ssh-keys
   

2. 다음 명령을 실행하여 Kubernetes 클러스터에 대한 액세스 자격 증명을 가져옵니다. az aks get-credentials 명령을 사용하고 클러스터 이름과 리소스 그룹 이름의 값을 바꿉니다.

   az aks get-credentials --resource-group myResourceGroup --name myAKSCluster
   

1. 신뢰할 수 있는 시작 매개 변수를 사용하여 템플릿을 만듭니다. 템플릿을 만들기 전에 다음 매개 변수를 검토합니다.

   • enableSecureBoot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • enableVTPM: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   템플릿에 enableVTPM 및 enableSecureBoot에 대한 값을 입력하세요. 다음 예에 표시된 것처럼 CLI 배포에 사용되는 동일한 스키마가 Microsoft.ContainerService/managedClusters/agentPools 아래의 "properties" 정의에 존재합니다.

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 클러스터에서 vTPM 및 보안 부팅을 사용하도록 설정된 템플릿을 배포합니다. 자세한 지침 은 ARM 템플릿을 사용하여 AKS 클러스터 배포 를 참조하세요.

1. 명령을 사용하여 신뢰할 수 있는 시작을 사용하도록 설정된 노드 풀을 추가합니다 az aks nodepool add . 명령을 실행하기 전에 다음 매개 변수를 검토합니다.

   • --cluster-name: AKS 클러스터의 이름을 입력합니다.
   • --resource-group: AKS 클러스터 리소스를 호스트할 기존 리소스 그룹의 이름을 입력합니다.
   • --name: 노드 풀의 고유한 이름을 입력합니다. 노드 풀의 이름은 소문자 영숫자만 포함할 수 있으며 소문자로 시작해야 합니다. Linux 노드 풀의 경우 길이는 1자에서 11자 사이여야 합니다.
   • --node-count: Kubernetes 에이전트 풀의 노드 수입니다. 기본값은 3입니다.
   • --enable-secure-boot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • --enable-vtpm: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   참고

   보안 부팅에는 서명된 부트 로더, OS 커널 및 드라이버가 필요합니다. 보안 부팅을 사용하도록 설정한 후 노드가 시작되지 않으면 Azure Linux 가상 머신 내에서 보안 부팅 오류를 담당하는 부팅 구성 요소를 확인할 수 있습니다. 보안 부팅 실패 확인을 참조하세요.

   다음 예에서는 3개의 노드가 있는 myAKSCluster라는 클러스터에 vTPM 및 보안 부팅이 사용하도록 설정된 노드 풀을 배포합니다.

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot
   

2. 노드 풀이 신뢰할 수 있는 시작 이미지를 사용하고 있는지 확인합니다.

   신뢰할 수 있는 시작 노드에는 다음과 같은 출력이 있습니다.

   • 를 포함하는 "TL"노드 이미지 버전(예: "AKSUbuntu-2204-gen2TLcontainerd".)
   • "Security-type"은 "Trusted Launch"이어야 합니다.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. 신뢰할 수 있는 시작 매개 변수를 사용하여 템플릿을 만듭니다. 템플릿을 만들기 전에 다음 매개 변수를 검토합니다.

   • enableSecureBoot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • enableVTPM: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   템플릿에 enableVTPM 및 enableSecureBoot에 대한 값을 입력하세요. 다음 예에 표시된 것처럼 CLI 배포에 사용되는 동일한 스키마가 Microsoft.ContainerService/managedClusters/agentPools 아래의 "properties" 정의에 존재합니다.

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 클러스터에서 vTPM 및 보안 부팅을 사용하도록 설정된 템플릿을 배포합니다. 자세한 지침 은 ARM 템플릿을 사용하여 AKS 클러스터 배포 를 참조하세요.

1. az aks nodepool add 명령을 사용하여 Trusted Launch 및 FIPS가 사용 설정된 노드 풀을 추가합니다. 명령을 실행하기 전에 다음 매개 변수를 검토합니다.

   • --cluster-name: AKS 클러스터의 이름을 입력합니다.
   • --resource-group: AKS 클러스터 리소스를 호스트할 기존 리소스 그룹의 이름을 입력합니다.
   • --name: 노드 풀의 고유한 이름을 입력합니다. 노드 풀의 이름은 소문자 영숫자만 포함할 수 있으며 소문자로 시작해야 합니다. Linux 노드 풀의 경우 길이는 1자에서 11자 사이여야 합니다.
   • --node-count: Kubernetes 에이전트 풀의 노드 수입니다. 기본값은 3입니다.
   • --enable-secure-boot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • --enable-vtpm: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.
   • --enable-fips-image: 노드 풀에 대해 FIPS 규격 노드 이미지를 사용하도록 설정합니다.

   참고

   보안 부팅에는 서명된 부트 로더, OS 커널 및 드라이버가 필요합니다. 보안 부팅을 사용하도록 설정한 후 노드가 시작되지 않으면 Azure Linux 가상 머신 내에서 보안 부팅 오류를 담당하는 부팅 구성 요소를 확인할 수 있습니다. 보안 부팅 실패 확인을 참조하세요.

   다음 예제에서는 3개의 노드가 있는 myAKSCluster 라는 클러스터에서 vTPM, 보안 부팅 및 FIPS를 사용하도록 설정된 노드 풀을 배포합니다.

   az aks nodepool add --resource-group myResourceGroup --cluster-name myAKSCluster --name mynodepool --node-count 3 --enable-vtpm --enable-secure-boot --enable-fips-image
   

2. 노드 풀에서 신뢰할 수 있는 시작 이미지를 사용하는지 확인합니다.

   신뢰할 수 있는 시작 노드에는 다음과 같은 출력이 있습니다.

   • "TL" 및 "FIPS"가 모두 포함된 노드 이미지 버전.
   • "Security-type"은 "Trusted Launch"입니다.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

1. 신뢰할 수 있는 시작 및 FIPS 매개 변수를 사용하여 템플릿을 만듭니다. 템플릿을 만들기 전에 다음 매개 변수를 검토합니다.

   • enableSecureBoot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • enableVTPM: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.
   • enableFips: 노드 풀에 대해 FIPS 규격 노드 이미지를 사용하도록 설정합니다.

   템플릿에서 enableVTPM, enableSecureBoot 및 enableFips에 대한 값을 입력합니다. 다음 예에 표시된 것처럼 CLI 배포에 사용되는 동일한 스키마가 Microsoft.ContainerService/managedClusters/agentPools 아래의 "properties" 정의에 존재합니다.

   "properties": {
       ...,
       "osSKU": "Ubuntu",
       "enableFips": true,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

2. 클러스터에서 vTPM, 보안 부팅 및 FIPS를 사용하도록 설정된 템플릿을 배포합니다. 자세한 지침 은 ARM 템플릿을 사용하여 AKS 클러스터 배포 를 참조하세요.

1. 노드 풀이 신뢰할 수 있는 시작 이미지를 사용하고 있는지 확인합니다.

   신뢰할 수 있는 시작 노드에는 다음과 같은 출력이 있습니다.

   • 를 포함하는 "TL"노드 이미지 버전(예: "AKSUbuntu-2204-gen2TLcontainerd".)
   • "Security-type"은 "Trusted Launch"이어야 합니다.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   노드 풀에 현재 신뢰할 수 있는 시작 이미지가 없는 경우 보안 부팅 또는 vTPM을 사용하도록 노드 풀을 업데이트할 수 없습니다.

2. 명령을 사용하여 신뢰할 수 있는 시작을 사용하도록 설정된 노드 풀을 업데이트합니다 az aks nodepool update . 명령을 실행하기 전에 다음 매개 변수를 검토합니다.

   • --resource-group: 기존 AKS 클러스터를 호스팅하는 기존 리소스 그룹의 이름을 입력합니다.
   • --cluster-name: AKS 클러스터의 고유한 이름(예: myAKSCluster)을 입력합니다.
   • --name: mynodepool과 같은 노드 풀의 이름을 입력합니다.
   • --enable-secure-boot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 이미지를 서명했는지 인증할 수 있습니다.
   • --enable-vtpm: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   참고

   보안 부팅에는 서명된 부트 로더, OS 커널 및 드라이버가 필요합니다. 보안 부팅을 사용하도록 설정한 후 노드가 시작되지 않으면 Azure Linux 가상 머신 내에서 보안 부팅 오류를 담당하는 부팅 구성 요소를 확인할 수 있습니다. 보안 부팅 실패 확인을 참조하세요.

   다음 예제에서는 myResourceGroup의 myAKSCluster에서 노드 풀 mynodepool을 업데이트하고 vTPM을 사용하도록 설정합니다. 이 시나리오에서는 노드 풀을 만드는 동안 보안 부팅을 사용하도록 설정했습니다.

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-vtpm 
   

   다음 예제에서는 myResourceGroup의 myAKSCluster에서 노드 풀 mynodepool을 업데이트하고 보안 부팅을 사용하도록 설정합니다. 이 시나리오에서는 노드 풀을 만드는 동안 vTPM을 사용하도록 설정했습니다.

   az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --enable-secure-boot
   

1. 노드 풀이 신뢰할 수 있는 시작 이미지를 사용하고 있는지 확인합니다.

   신뢰할 수 있는 시작 노드에는 다음과 같은 출력이 있습니다.

   • 를 포함하는 "TL"노드 이미지 버전(예: "AKSUbuntu-2204-gen2TLcontainerd".)
   • "Security-type"은 "Trusted Launch"이어야 합니다.

   kubectl get nodes
   kubectl describe node {node-name} | grep -e node-image-version -e security-type
   

   노드 풀에 현재 신뢰할 수 있는 시작 이미지가 없는 경우 보안 부팅 또는 vTPM을 사용하도록 노드 풀을 업데이트할 수 없습니다.

2. 신뢰할 수 있는 시작 매개 변수를 사용하여 템플릿을 만듭니다. 템플릿을 만들기 전에 다음 매개 변수를 검토합니다.

   • enableSecureBoot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • enableVTPM: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   템플릿에 enableVTPM 및 enableSecureBoot에 대한 값을 입력하세요. 다음 예에 표시된 것처럼 CLI 배포에 사용되는 동일한 스키마가 Microsoft.ContainerService/managedClusters/agentPools 아래의 "properties" 정의에 존재합니다.

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "true",
           "enableSecureBoot": "true",
       }
   }
   

3. 클러스터에서 vTPM 및 보안 부팅을 사용하도록 설정된 템플릿을 배포합니다. 자세한 지침 은 ARM 템플릿을 사용하여 AKS 클러스터 배포 를 참조하세요.

명령을 사용하여 보안 부팅 또는 vTPM을 사용하지 않도록 노드 풀을 업데이트합니다 az aks nodepool update . 명령을 실행하기 전에 다음 매개 변수를 검토합니다.

• --resource-group: 기존 AKS 클러스터를 호스팅하는 기존 리소스 그룹의 이름을 입력합니다.
• --cluster-name: AKS 클러스터의 고유한 이름(예: myAKSCluster)을 입력합니다.
• --name: mynodepool과 같은 노드 풀의 이름을 입력합니다.
• --enable-secure-boot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 이미지를 서명했는지 인증할 수 있습니다.
• --enable-vtpm: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

기존 노드 풀에서 vTPM을 사용하지 않도록 설정하려면 다음을 수행합니다.

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-vtpm

기존 노드 풀에서 보안 부팅을 사용하지 않도록 설정하려면 다음을 수행합니다.

az aks nodepool update --cluster-name myCluster --resource-group myResourceGroup --name mynodepool --disable-secure-boot 

1. 신뢰할 수 있는 시작 매개 변수를 사용하여 템플릿을 만듭니다. 템플릿을 만들기 전에 다음 매개 변수를 검토합니다.

   • enableSecureBoot: 보안 부팅을 사용하여 신뢰할 수 있는 게시자가 서명한 이미지를 인증할 수 있습니다.
   • enableVTPM: vTPM을 사용하도록 설정하고 VM의 전체 부팅 체인을 측정하여 증명을 수행합니다.

   템플릿에 enableVTPM 및 enableSecureBoot에 대한 값을 입력하세요. 다음 예에 표시된 것처럼 CLI 배포에 사용되는 동일한 스키마가 Microsoft.ContainerService/managedClusters/agentPools 아래의 "properties" 정의에 존재합니다.

   "properties": {
       ...,
       "securityProfile": {
           "enableVTPM": "false",
           "enableSecureBoot": "false",
       }
   }
   

2. 클러스터에서 vTPM 및 보안 부팅을 사용하지 않도록 설정하여 템플릿을 배포합니다. 자세한 지침 은 ARM 템플릿을 사용하여 AKS 클러스터 배포 를 참조하세요.