MS Ignite 2019というMicrosoft社のイベントで Mohammad Nofalさんにより話されていた、 AKSのクラスタ管理と高可用性に関するベストプラクティス (原題: Applying best practices to Azure Kubernetes Service (AKS)) について内容を紹介します。 前編では高可用性設計について説明します。 大まかにはMohammad Nofalさんの説明に沿ってますが、 自分が説明するとしたらこんな感じかな…という風に作成したので Nofalさんのセッションもご参照いただけると幸いです。 参考資料映像https://myignite.techcommunity.microsoft.com/sessions/81598?source=SessionDeck ソースコード等(スライドもあります)

When setting up a Kubernetes Cluster in Azure you have the option to deploy using two different network plugins. Either using Kubernetes Kubenet or Azure CNI. So, what are the main differences between these two? to be honest there is also a lot of other considerations as well. Since Kubernetes networking can be complex. Before I go into the details, we need to just cover some basic Kubernetes Netw

重要 既定の OS ディスクのサイズ設定は、新しいクラスターまたはノード プールで、エフェメラル OS ディスクがサポートされておらず、既定の OS ディスク サイズが指定されていない場合にのみ使われます。 既定の OS ディスク サイズは、クラスターのパフォーマンスやコストに影響する可能性があります。 クラスターまたはノード プールの作成後に OS ディスク サイズを変更することはできません。 この既定のディスク サイズ設定は、2022 年 7 月以降に作成されたクラスターまたはノード プールに影響します。 エフェメラル OS ディスク 既定では、VM を別のホストに再配置するときにデータの損失を防ぐために、Azure によって仮想マシンのオペレーティング システム ディスクが Azure Storage に自動的にレプリケートされます。 ただし、コンテナーはローカルの状態を永続化するよ

ここしばらくAzureでAKS周りを弄っていました。 Azure自体は不慣れだったのですが、いくつか落とし穴にハマりつつもWebUIでポチポチやってるだけで大体のことはできちゃいました。 目新しいこととしては現在プレビュー段階ですが、AKSのApplication Gateway Ingress Controllerを試しに使ってみたのでそちらを紹介したいと思います。 Ingressとは KuberenetesにはIngressというクラスター内のServiceに対する外部からのアクセス(主にHTTP)を管理するAPIオブジェクトがあります。 Ingressは負荷分散、SSL終端、名前ベースの仮想ホスティングの機能を提供します。 ※kuberenetes公式ドキュメントから抜粋 KubernetesにはLoadBalancerというAPIオブジェクトもありますが、 1つのLBからPath等

Application Gateway イングレス コントローラー (AGIC) は Kubernetes アプリケーションであり、これにより、Azure Kubernetes Service (AKS) のお客様が、Azure のネイティブ Application Gateway L7 ロード バランサーを活用してクラウド ソフトウェアをインターネットに公開できるようにします。 AGIC では、ホストされている Kubernetes クラスターを監視し、Application Gateway を継続的に更新して、選択されたサービスがインターネットに公開されるようにします。 イングレス コントローラーは、お客様の AKS の独自のポッドで実行されます。 AGIC では、Kubernetes リソースのサブセットに変更がないかを監視します。 AKS クラスターの状態は Application

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? 目次 目的 前提 AKSを操作する際のリソースの動き AKSを構成するAzureリソース まとめ 1. 目的 この記事は Microsoft Azure Tech Advent Calendar 2018 の22日目の記事です。 2018年はAzure Kubernetes Service(AKS)1,Amazon Elastic Container Service for Kubernetes (Amazon EKS)2などが一般提供となったりIBMのRedHat買収にKubernetesが鍵となっているように見られた3り、様々な企業

この記事は Microsoft Azure Tech Advent Calendar 2020 の 21 日目の記事になります。 こんにちは🎅 Azure テクニカル サポート チームの桐井です。 AKS 上のアプリケーション Pod から、 SQL Database や Key Vault、Blob Storage などの Azure サービスを利用する場合は、Pod に資格情報を渡し対象リソースへのアクセス権を付与する必要があります。 この記事では、AKS 上の Pod へ Azure AD Pod Identity を使ってマネージド ID を割り当てる方法を解説します。サンプル アプリケーションを動かしながら、マネージド ID の持つアクセス権で Azure Key Vault へアクセスする例をご紹介します。 🚩 Update: 2023/5/1 Pod にマネージド ID

Azure Kubernetes Service (AKS) クラスターでは、ロード バランサーやマネージド ディスクなどの Azure リソースにアクセスするための ID が必要です。 ID は、"マネージド ID" または "サービス プリンシパル" とすることができます。 この記事では、新規または既存の AKS クラスターで次のマネージド ID の種類を有効にする方法について詳しく説明します。 システム割り当てマネージド ID 独自のユーザー割り当てマネージド ID を使用する 事前に作成された Kubelet マネージド ID を使用する 概要 AKS クラスターをデプロイすると、システム割り当てマネージド ID が自動的に作成され、Azure プラットフォームによって管理されるため、シークレットをプロビジョニングまたはローテーションする必要はありません。 詳細については、「Azu

このエントリ2021/03/31現在の情報に基づくものです。将来の機能追加・変更に伴い、記載内容との乖離が発生する可能性があります（2021/03/31にノードプールを一意のSubnetに分離する方法と、ノードプール中のノードにPublic IPを割り当てる方法を追加）。 このエントリの目的 Azure Kubernetes Service (以下、AKS) でingress trafficを受けるPublic IPを制限する方法にはIngress Controllerを使う。その逆、egress trafficは何も設定していなければ、ランダムなIPを使って外部にアクセスする。この場合、外部APIでIPフィルタリングしたい場合に不都合が生じるため、特定のPublic IPからのegress trafficに制限したいという要求がある。その要求を満たす方法を調査した。 AKSでの実現方法

AKS クラスターのアウトバウンド ネットワークと FQDN の規則を使用して、AKS の Azure Firewall を使用してエグレス トラフィックを制御する方法について学習します。 この構成を簡略化するために、Azure Firewall には、AKS クラスターからの送信トラフィックを制限する Azure Kubernetes Service (AzureKubernetesService) 完全修飾ドメイン名 (FQDN) タグが用意されています。 この記事では、Azure Firewall を介して AKS クラスターのトラフィック規則を構成する方法を示します。 次の情報は、デプロイのアーキテクチャの例を示しています。 パブリック イングレスは、強制的にファイアウォール フィルターを経由します AKS エージェント ノードは専用サブネットに分離されています Azure Fir

Fri, May 8, 2020 お仕事でプリセールスをしているため、お客様やSIパートナー様といっしょに「高い安全性が求められるシステム」について議論することが多くあります。 いわゆるクラウドネイティブアプリケーションの場合、クラウド時代の脅威に対応するためには「 内部を（ユーザーも含めて）信頼しない 」という考え方を前提に考えることが適していたりします。 境界ベースのセキュリティからゼロトラスト セキュリティへの移行 従来のセキュリティ モデルでは、組織のアプリケーションはプライベート データセンターの外部ファイアウォールに依存して、受信トラフィックを保護できません。クラウド ネイティブ環境でも、BeyondCorp モデルと同様にネットワーク境界を引き続き保護する必要がありますが、境界ベースのセキュリティ モデルでは十分に保護できません。新しいセキュリティ上の問題が発生するわけではあ

今回はチュートリアル:Azure Kubernetes Service (AKS) クラスターのデプロイの深堀をしていきます。 このチュートリアルでようやく AKS を作成します。また深堀では作成したクラスタの詳細を見ることで k8s の操作についても触れていきます。 kubectl kubectl は k8s を操作する CLI ツールであり、今後のチュートリアルのメインとなるツールです。 Azure AD サービスプリンシパル AKS クラスターが他の Azure リソースと対話できるようにするために、Azure AD (Active Directory) のサービスプリンシパル作成して使用します。サービスプリンシパルはアプリケーション専用のユーザーアカウントのようなもので、各種権限の設定が柔軟に行えます。 前回作成した ACR に対するアクセスについてもサービスプリンシパルを使ってい

こんにちは！インフラ担当の加藤です。 Kubernetesも色々と進化してきて、AKS（Azure Kubernetes Service）もVM Scale setsがサポートされるなど進化してきているので実用出来る構築パターンをまとめたいと思います。 構築するにはAzure ポータルでもいいのですが、やはりコマンドの方がオプションをつけれて細かい調整が出来ますので、今回はAzure CLIでの構築方法となります。 インストールされていない方はこちらから。 docs.microsoft.com AKSの構築 リソースグループの作成 まずはじめにリソースを入れるためのリソースグループを作ります。 az group create -l japaneast -n MyResourceGroup docs.microsoft.com 後ほど使用しますので、作成結果からidを控えておきます。 仮想ネ