在 Azure Kubernetes 服务 (AKS) 中部署和管理节点资源组锁定

AKS 可将基础结构部署到订阅中，以用于连接和运行应用程序。对节点资源组中的资源直接进行更改可能会影响群集操作或导致未来出现问题。例如，缩放、存储或网络配置应该通过 Kubernetes API 进行，而不是直接在这些资源上进行配置。

若要防止对节点资源组进行更改，可以应用拒绝分配，并阻止用户修改在 AKS 群集中创建的资源。

在 AKS 标准版中，节点资源组锁定是可选的，可以使用限制级别对其进行配置。

在开始之前

如果要使用 Azure CLI 配置 AKS 标准版锁定，则需要：

Azure CLI版本 2.44.0 或更高版本。运行 az --version 即可找到当前版本。如果需要安装或升级，请参阅 Install Azure CLI。

限制级别

限制级别	Behavior
ReadOnly	可以查看节点资源组资源，但拒绝分配会阻止直接更新。
无限制	允许直接更新节点资源组资源。

AKS 标准版：创建节点资源组锁定的群集

使用 az aks create 命令创建启用了节点资源组锁定的 AKS 标准集群，并将 --nrg-lockdown-restriction-level 标志设置为 ReadOnly。此配置允许查看资源，但不能对其进行修改。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Create an AKS Standard cluster with node resource group lockdown
az aks create \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP_NAME \
    --nrg-lockdown-restriction-level ReadOnly \
    --generate-ssh-keys

AKS 标准版：使用节点资源组锁定更新群集

使用 az aks update 命令并将 --nrg-lockdown-restriction-level 标志设置为 ReadOnly，更新启用了节点资源组锁定的现有 AKS Standard 群集。此配置允许查看资源，但不能对其进行修改。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Update an existing AKS Standard cluster with node resource group lockdown
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level ReadOnly

AKS 标准版：删除节点资源组锁定

使用 az aks update 命令，将 --nrg-lockdown-restriction-level 标志设置为 Unrestricted，从现有 AKS 标准群集中删除节点资源组锁定。此配置允许查看和修改资源。

# Set environment variables
export RESOURCE_GROUP_NAME=<your-resource-group-name>
export CLUSTER_NAME=<your-cluster-name>

# Remove node resource group lockdown from an existing AKS Standard cluster
az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP_NAME --nrg-lockdown-restriction-level Unrestricted

常见问题 (FAQ)

何时应在 AKS 标准版上使用 ReadOnly？

如果你希望针对直接编辑基础结构提供更强的保护，并倾向于通过 AKS 和 Kubernetes API 进行群集更改，请使用 ReadOnly。

要详细了解 AKS 中的节点资源组，请参阅节点资源组。

Last updated on 2026-07-15