快速入门：在自定义虚拟网络中创建专用Azure Kubernetes 服务 (AKS)自动群集

创建虚拟网络

使用 az network vnet create 命令创建虚拟网络。 使用 az network vnet subnet create 命令创建 API 服务器子网和群集子网。

将自定义虚拟网络与 AKS 自动配合使用时，必须创建 API 服务器子网。 AKS 将代表你将子网委托给 Microsoft.ContainerService/managedClusters，从而授予 AKS 服务权限，以将 API 服务器 Pod 和内部负载均衡器注入到该子网中。 无法将该子网用于任何其他工作负载，但可将其用于同一虚拟网络中的多个 AKS 群集。 支持的最小 API 服务器子网大小为 /28。

az network vnet create --name ${VNET_NAME} \
--resource-group ${RG_NAME} \
--location ${LOCATION} \
--address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name apiServerSubnet \
--delegations Microsoft.ContainerService/managedClusters \
--address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name userNodeSubnet \
--address-prefixes 172.19.1.0/24

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name managedSystemNodeSubnet \
--address-prefixes 172.19.0.64/26

网络安全组规则

默认情况下，允许虚拟网络中的所有流量。 但是，如果添加了网络安全组规则 (NSG) 来限制不同子网之间的流量，请确保 NSG 安全规则允许以下类型的通信：

创建托管标识并为其授予对虚拟网络的权限

使用 az identity create 命令创建托管标识并检索主体 ID。 使用 命令将虚拟网络上的“网络参与者”角色分配给托管标识。az role assignment create

az identity create \
--resource-group ${RG_NAME} \
 --name ${IDENTITY_NAME} \
 --location ${LOCATION}

IDENTITY_PRINCIPAL_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query principalId -o tsv)

az role assignment create \
--scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" \
--role "Network Contributor" \
--assignee-object-id "${IDENTITY_PRINCIPAL_ID}" \
--assignee-principal-type ServicePrincipal

在自定义虚拟网络中创建专用 AKS 自动群集

要创建专用 AKS 自动群集，请使用 az aks create 命令。 请注意 --enable-private-cluster 标志的使用。

az aks create \
--resource-group ${RG_NAME} \
--name ${CLUSTER_NAME} \
--location ${LOCATION} \
--apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" \
--node-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/userNodeSubnet" \
--system-node-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/managedSystemNodeSubnet" 
--assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" \
--sku automatic \
--enable-private-cluster \
--no-ssh-key

片刻之后，该命令将会完成，并返回有关群集的 JSON 格式信息。

连接到群集

将 AKS 自动群集创建为专用群集时，API 服务器终结点没有公共 IP 地址。 若要管理 API 服务器，例如通过 kubectl，需要通过有权访问群集Azure虚拟网络的计算机进行连接。 有几种选项可用于建立与专用群集的网络连接：

• 使用az vm create命令和--vnet-name标志，在与AKS自动化集群相同的虚拟网络中创建虚拟机。
• 在单独的虚拟网络中使用虚拟机并设置虚拟网络对等互连。
• 使用快速路由或 VPN 连接。
• 使用专用终结点连接。

在 AKS 群集所在的同一虚拟网络中创建虚拟机是最简单的选项。 ExpressRoute 和 VPN 增加了成本，并且需要其他网络复杂性。 虚拟网络对等互联要求计划网络 CIDR 范围，以确保不存在重叠范围。 有关详细信息，请参阅 用于连接到专用群集的选项。

要管理 Kubernetes 群集，请使用 Kubernetes 命令行客户端 kubectl。 如果使用Azure Cloud Shell，则已安装 kubectl。 要在本地安装 kubectl，请运行 az aks install-cli 命令。 AKS Automatic 群集配置为使用 Microsoft Entra ID 进行 Kubernetes 基于角色的访问控制 (RBAC)。

使用 Azure CLI 创建群集时，系统会为用户。

使用 kubectl 命令将 配置为连接到你的 Kubernetes 群集。 此命令将下载凭据，并将 Kubernetes CLI 配置为使用这些凭据。

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

使用 kubectl get 命令验证与群集之间的连接。 此命令将返回群集节点的列表。

kubectl get nodes

以下示例输出显示了系统如何要求你登录。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

登录后，以下示例输出显示托管系统节点池。 确保节点状态为“就绪”。

NAME                           STATUS   ROLES    AGE   VERSION
aks-hostedpool-16652789-vms1   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms2   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms3   Ready    <none>   19m   v1.34.7
aks-system-surge-zq4d2         Ready    <none>   19m   v1.34.7

创建虚拟网络

此Bicep文件定义虚拟网络。

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the user node subnet.')
param userNodeSubnetName string = 'userNodeSubnet'

@description('The subnet prefix of the user node subnet.')
param userNodeSubnetPrefix string = '172.19.1.0/24'

@description('The name of the system node subnet.')
param systemNodeSubnetName string = 'systemNodeSubnet'

@description('The subnet prefix of the system node subnet.')
param systemNodeSubnetPrefix string = '172.19.0.64/26'

// Virtual network with an API server subnet, a user node subnet, and a system node subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: userNodeSubnetName
                properties: {
                    addressPrefix: userNodeSubnetPrefix
                }
            }
            {
                name: systemNodeSubnetName
                properties: {
                    addressPrefix: systemNodeSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output userNodeSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, userNodeSubnetName)
output systemNodeSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, systemNodeSubnetName)

保存 Bicep 文件 virtualNetwork.bicep 到本地计算机。

使用Azure CLI部署Bicep文件。

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

默认情况下，允许虚拟网络中的所有流量。 但是，如果添加了网络安全组规则 (NSG) 来限制不同子网之间的流量，请确保 NSG 安全规则允许以下类型的通信：

创建托管标识

此Bicep文件定义用户分配的托管标识。

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

保存 Bicep 文件 uami.bicep 到本地计算机。

使用Azure CLI部署Bicep文件。

az deployment group create --resource-group <resource-group> --template-file uami.bicep

分配对虚拟网络的网络参与者角色

此Bicep文件定义了在虚拟网络上的角色分配。

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://dotnet.territoriali.olinfo.it/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

将 Bicep 文件 roleAssignments.bicep 保存到本地计算机。

使用Azure CLI部署Bicep文件。 需要提供用户分配的标识的主体 ID。

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

在自定义虚拟网络中创建专用 AKS 自动群集

此 Bicep 文件定义了 AKS 自动化群集。

@description('The name of the managed cluster resource.')
param clusterName string = 'aksPrivateAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the user node subnet.')
param userNodeSubnetId string

@description('The resource ID of the system node subnet.')
param systemNodeSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
    hostedSystemProfile: {
      systemNodeSubnetID: systemNodeSubnetId
      nodeSubnetID: userNodeSubnetId
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

保存 Bicep 文件 aks.bicep 到本地计算机。

使用Azure CLI部署Bicep文件。 需要提供 API 服务器子网资源 ID、用户节点子网资源 ID、系统节点子网资源 ID 和用户分配的托管标识资源 ID。

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters nodeSubnetId=<user node subnet resource id> \
--parameters systemNodeSubnetId=<system node subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

连接到群集

将 AKS 自动群集创建为专用群集时，API 服务器终结点没有公共 IP 地址。 若要管理 API 服务器，例如通过 kubectl，需要通过有权访问群集Azure虚拟网络的计算机进行连接。 有几种选项可用于建立与专用群集的网络连接：

• 使用az vm create命令和--vnet-name标志，在与AKS自动化集群相同的虚拟网络中创建虚拟机。
• 在单独的虚拟网络中使用虚拟机并设置虚拟网络对等互连。
• 使用快速路由或 VPN 连接。
• 使用专用终结点连接。

在 AKS 群集所在的同一虚拟网络中创建虚拟机是最简单的选项。 快速路由和 VPN 增加了成本，并需要更多的网络复杂性。 虚拟网络对等互联要求计划网络 CIDR 范围，以确保不存在重叠范围。 有关详细信息，请参阅 用于连接到专用群集的选项。

要管理 Kubernetes 群集，请使用 Kubernetes 命令行客户端 kubectl。 如果使用Azure Cloud Shell，则已安装 kubectl。 要在本地安装 kubectl，请运行 az aks install-cli 命令。 AKS Automatic 群集配置为使用 Microsoft Entra ID 进行 Kubernetes 基于角色的访问控制 (RBAC)。

使用 kubectl 命令将 配置为连接到你的 Kubernetes 群集。 此命令将下载凭据，并将 Kubernetes CLI 配置为使用这些凭据。

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

使用 kubectl get 命令验证与群集之间的连接。 此命令将返回群集节点的列表。

kubectl get nodes

以下示例输出显示了系统如何要求你登录。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

登录后，以下示例输出显示托管系统节点池。 确保节点状态为“就绪”。

NAME                           STATUS   ROLES    AGE   VERSION
aks-hostedpool-16652789-vms1   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms2   Ready    <none>   19m   v1.34.7
aks-hostedpool-16652789-vms3   Ready    <none>   19m   v1.34.7
aks-system-surge-zq4d2         Ready    <none>   19m   v1.34.7