使用 Azure Kubernetes 服务 (AKS) 中的已授权 IP 地址范围保护对 API 服务器的访问

使用带有 --api-server-authorized-ip-ranges 参数的 az aks create 命令创建已启用 API 服务器授权 IP 范围的 AKS 群集。 以下示例在名为 myResourceGroup 的资源组中创建名为 myAKSCluster 的群集，并允许 IP 地址范围73.140.245.0/24访问 API 服务器：

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --generate-ssh-keys

使用 New-AzAksCluster cmdlet 并配合 -ApiServerAccessAuthorizedIpRange 参数创建启用了 API 服务器授权 IP 范围的 AKS 群集。 以下示例在名为 myResourceGroup 的资源组中创建名为 myAKSCluster 的群集，并允许 IP 地址范围73.140.245.0/24访问 API 服务器：

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '73.140.245.0/24' -GenerateSshKey

1. 在 Azure 门户主页中，选择“创建资源”>“容器”>“Azure Kubernetes 服务(AKS)”。
2. 根据需要配置群集设置。
3. 在“公共访问”下的“网络”部分中，选择“设置授权 IP 范围”。
4. 对于“指定 IP 范围”，请输入要授权访问 API 服务器的 IP 地址范围。
5. 根据需要配置其余群集设置。
6. 准备就绪后，选择“查看 + 创建>创建”以创建群集。

使用 Azure CLI 为标准 SKU 负载均衡器指定出站 IP

创建启用了 API 服务器授权 IP 范围的群集时，还可以使用 --load-balancer-outbound-ips 或 --load-balancer-outbound-ip-prefixes 参数指定其出站 IP 地址或前缀。 除了参数中的 --api-server-authorized-ip-ranges IP 地址外，AKS 还允许这些 IP 地址。

使用 --load-balancer-outbound-ips 参数创建启用了 API 服务器授权 IP 范围的 AKS 群集，并为标准 SKU 负载均衡器指定出站 IP 地址。 以下示例在名为 myResourceGroup 的资源组中创建名为 myAKSCluster 的群集，允许73.140.245.0/24访问 API 服务器，并为标准 SKU 负载均衡器指定两个出站 IP 地址。 将 <public-ip-id-1> 和 <public-ip-id-2> 替换为您的公共 IP 地址的资源 ID。

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 73.140.245.0/24 --load-balancer-outbound-ips <public-ip-id-1>,<public-ip-id-2> --generate-ssh-keys

使用 --api-server-authorized-ip-ranges 参数创建一个 AKS 群集，该群集仅允许标准 SKU 负载均衡器的出站公共 IP 访问 API 服务器。 以下示例在名为 myResourceGroup 的资源组中创建名为 myAKSCluster 的群集：

az aks create --resource-group myResourceGroup --name myAKSCluster --vm-set-type VirtualMachineScaleSets --load-balancer-sku standard --api-server-authorized-ip-ranges 0.0.0.0/32 --generate-ssh-keys

使用 -ApiServerAccessAuthorizedIpRange 参数创建一个 AKS 群集，该群集仅允许标准 SKU 负载均衡器的出站公共 IP 访问 API 服务器。 以下示例在名为 myResourceGroup 的资源组中创建名为 myAKSCluster 的群集：

New-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -NodeVmSetType VirtualMachineScaleSets -LoadBalancerSku Standard -ApiServerAccessAuthorizedIpRange '0.0.0.0/32' -GenerateSshKey

1. 在 Azure 门户主页中，选择“创建资源”>“容器”>“Azure Kubernetes 服务(AKS)”。
2. 根据需要配置群集设置。
3. 在“公共访问”下的“网络”部分中，选择“设置授权 IP 范围”。
4. 对于 “指定 IP 范围”，请输入 0.0.0.0/32。 此设置仅允许标准 SKU 负载均衡器的出站公共 IP。
5. 根据需要配置其余群集设置。
6. 准备就绪后，选择“查看 + 创建>创建”以创建群集。

将 az aks update 命令与参数一起使用 --api-server-authorized-ip-ranges ，以更新群集的 API 服务器授权 IP 范围。 以下示例将名为 myResourceGroup 的资源组中名为 myAKSCluster 的群集的授权范围设置为 73.140.245.0/24：

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24

使用 Azure CLI 允许多个 IP 地址范围

若要允许多个 IP 地址范围，请用逗号分隔它们。

将 az aks update 命令与参数一起使用 --api-server-authorized-ip-ranges ，以授权多个 IP 地址范围。 以下示例在名为 myResourceGroup 的资源组中更新名为 myAKSCluster 的群集：

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges 73.140.245.0/24,193.168.1.0/24,194.168.1.0/24

使用带有 -ApiServerAccessAuthorizedIpRange 参数的 Set-AzAksCluster cmdlet 来更新群集的 API 服务器授权 IP 范围。 以下示例将名为 myResourceGroup 的资源组中名为 myAKSCluster 的群集的授权范围设置为 73.140.245.0/24：

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange '73.140.245.0/24'

1. 导航到 Azure 门户，选择要更新的 AKS 群集。
2. 在服务菜单中的 “设置”下，选择“ 网络”。
3. 在“资源设置”下，选择“管理”。
4. 在授权 IP 范围页上，根据需要更新授权 IP 范围。
5. 完成后，选择“保存”。

若要禁用 API 服务器授权 IP 范围，请使用az aks update命令并为参数指定空范围""--api-server-authorized-ip-ranges。

az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges ""

若要禁用 API 服务器授权 IP 范围，请使用 Set-AzAksCluster cmdlet 并为参数指定空范围''-ApiServerAccessAuthorizedIpRange。

Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange ''

1. 导航到 Azure 门户，选择要更新的 AKS 群集。
2. 在服务菜单中的 “设置”下，选择“ 网络”。
3. 在“资源设置”下，选择“管理”。
4. 在“授权 IP 范围”页上，取消选中“设置授权 IP 范围”复选框。
5. 选择“保存”。

若要查找现有的 API 服务器授权 IP 范围，请使用 az aks show 命令，并将 --query 参数设置为 apiServerAccessProfile.authorizedIpRanges。

az aks show --resource-group myResourceGroup --name myAKSCluster --query apiServerAccessProfile.authorizedIpRanges

示例输出：

[
    "73.140.245.0/24"
]

若要查找现有的 API 服务器授权 IP 范围，请使用 Get-AzAksCluster cmdlet。

Get-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster | Select-Object -ExpandProperty ApiServerAccessProfile

示例输出：

AuthorizedIPRanges: {73.140.245.0/24}
...

1. 导航到 Azure 门户并选择 AKS 群集。

2. 在服务菜单中的 “设置”下，选择“ 网络”。

   “网络”页上的“资源设置”部分显示当前配置的授权 IP 范围。

   

1. 运行以下命令以检索 IP 地址并将其设置为环境变量：

   # Retrieve your IP address
   CURRENT_IP=$(dig +short "myip.opendns.com" "@resolver1.opendns.com")
   

2. 将 az aks update 命令与 --api-server-authorized-ip-ranges 参数结合使用，将 IP 地址添加到授权范围。 以下示例将当前 IP 地址添加到名为 myResourceGroup 的资源组中名为 myAKSCluster 的群集上的现有范围：

   az aks update --resource-group myResourceGroup --name myAKSCluster --api-server-authorized-ip-ranges $CURRENT_IP/32,73.140.245.0/24
   

1. 运行以下命令以检索 IP 地址并将其设置为环境变量：

   # Retrieve your IP address
   $CURRENT_IP = (Invoke-RestMethod -Uri 'https://ipinfo.io/json').ip
   

2. 将 Set-AzAksCluster cmdlet 与 -ApiServerAccessAuthorizedIpRange 参数结合使用，将 IP 地址添加到授权范围。 以下示例将当前 IP 地址添加到资源组 myResourceGroup 中名为 myAKSCluster 的群集的现有 IP 范围中：

   Set-AzAksCluster -ResourceGroupName myResourceGroup -Name myAKSCluster -ApiServerAccessAuthorizedIpRange "$CURRENT_IP/32", '73.140.245.0/24'