快速入门：在自定义虚拟网络中创建专用的 Azure Kubernetes 服务 (AKS) 自动版群集（预览版）

定义变量

定义将在后续步骤中使用的以下变量。

RG_NAME=automatic-rg
VNET_NAME=automatic-vnet
CLUSTER_NAME=automatic
IDENTITY_NAME=automatic-uami
LOCATION=eastus
SUBSCRIPTION_ID=$(az account show --query id -o tsv)

创建资源组

Azure 资源组是用于部署和管理 Azure 资源的逻辑组。

使用 az group create 命令创建资源组。

az group create -n ${RG_NAME} -l ${LOCATION}

以下示例输出类似于资源组成功创建：

{
  "id": "/subscriptions/<guid>/resourceGroups/automatic-rg",
  "location": "chinanorth3",
  "managedBy": null,
  "name": "automatic-rg",
  "properties": {
    "provisioningState": "Succeeded"
  },
  "tags": null
}

创建虚拟网络

使用 [az network vnet create][az-network-vnet-create] 命令创建虚拟网络。 使用 [az network vnet subnet create][az-network-vnet-subnet-create] 命令创建 API 服务器子网和群集子网。

将自定义虚拟网络与 AKS Automatic 配合使用时，必须创建 API 服务器子网并将其委托给 Microsoft.ContainerService/managedClusters，该子网授予 AKS 服务将 API 服务器 Pod 和内部负载均衡器注入该子网的权限。 无法将该子网用于任何其他工作负载，但可将其用于同一虚拟网络中的多个 AKS 群集。 支持的最小 API 服务器子网大小为 /28。

az network vnet create --name ${VNET_NAME} --resource-group ${RG_NAME} --location ${LOCATION} --address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} --vnet-name ${VNET_NAME} --name apiServerSubnet --delegations Microsoft.ContainerService/managedClusters --address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} --vnet-name ${VNET_NAME} --name clusterSubnet --address-prefixes 172.19.1.0/24

网络安全组规则

默认情况下，允许虚拟网络中的所有流量。 但是，如果添加了网络安全组规则 (NSG) 来限制不同子网之间的流量，请确保 NSG 安全规则允许以下类型的通信：

创建托管标识并为其授予对虚拟网络的权限

使用 [az identity create][az-identity-create] 命令创建托管标识并检索主体 ID。 使用 [][az-role-assignment-create] 命令将虚拟网络上的az role assignment create角色分配给托管标识。

az identity create --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --location ${LOCATION}

IDENTITY_CLIENT_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query clientId -o tsv)

az role assignment create --scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" --role "Network Contributor" --assignee ${IDENTITY_CLIENT_ID}

在自定义虚拟网络中创建专用 AKS 自动群集

要创建专用 AKS 自动群集，请使用 az aks create 命令。 请注意 --enable-private-cluster 标志的使用。

az aks create --resource-group ${RG_NAME} --name ${CLUSTER_NAME} --location ${LOCATION} --apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" --vnet-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/clusterSubnet" --assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" --sku automatic --enable-private-cluster --no-ssh-key

片刻之后，该命令将会完成，并返回有关群集的 JSON 格式信息。

连接至群集

将 AKS 自动群集创建为专用群集时，API 服务器终结点没有公共 IP 地址。 例如，要通过 kubectl 管理 API 服务器，需要通过一台可以访问该群集的 Azure 虚拟网络的计算机进行连接。 有几种选项可用于建立与专用群集的网络连接。 有关详细信息，请参阅 [连接到专用群集的选项][connect-private-cluster]。

若要管理 Kubernetes 群集，请使用 Kubernetes 命令行客户端 kubectl。 要在本地安装 kubectl，请运行 az aks install-cli 命令。 AKS 自动化群集配置为使用 [用于 Kubernetes 基于角色的访问控制（RBAC）的 Microsoft Entra ID][aks-entra-rbac]。

使用 Azure CLI 创建群集时，您的用户将为Azure Kubernetes Service RBAC Cluster Admin分配[内置角色][aks-entra-rbac-builtin-roles]。

使用 kubectl 命令将 配置为连接到你的 Kubernetes 群集。 此命令将下载凭据，并将 Kubernetes CLI 配置为使用这些凭据。

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

使用 kubectl get 命令验证与群集之间的连接。 此命令将返回群集节点的列表。

kubectl get nodes

以下示例输出展示了登录的要求。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

登录后，以下示例输出会显示托管系统节点池。 确保节点状态为“就绪”。

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5

创建资源组

Azure 资源组是用于部署和管理 Azure 资源的逻辑组。 创建资源组时，系统会提示你指定一个位置。 此位置是资源组元数据的存储位置，也是资源在 Azure 中运行的位置（如果你在创建资源期间未指定其他区域）。

使用 az group create 命令创建资源组。

az group create --name <resource-group> --location <location>

以下示例输出类似于资源组成功创建：

{
  "id": "/subscriptions/<guid>/resourceGroups/myResourceGroup",
  "location": "chinanorth3",
  "managedBy": null,
  "name": "myResourceGroup",
  "properties": {
    "provisioningState": "Succeeded"
  },
  "tags": null
}

创建虚拟网络

此 Bicep 文件定义了一个虚拟网络。

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the cluster subnet.')
param clusterSubnetName string = 'clusterSubnet'

@description('The subnet prefix of the cluster subnet.')
param clusterSubnetPrefix string = '172.19.1.0/24'

// Virtual network with an API server subnet and a cluster subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: clusterSubnetName
                properties: {
                    addressPrefix: clusterSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output clusterSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, clusterSubnetName)

将 Bicep 文件“virtualNetwork.bicep”保存到本地计算机。

使用 Azure CLI 部署 Bicep 文件。

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

默认情况下，允许虚拟网络中的所有流量。 但是，如果添加了网络安全组规则 (NSG) 来限制不同子网之间的流量，请确保 NSG 安全规则允许以下类型的通信：

创建管理标识

此 Bicep 文件定义用户分配的托管标识。

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

将 Bicep 文件 uami.bicep 保存到本地计算机。

使用 Azure CLI 部署 Bicep 文件。

az deployment group create --resource-group <resource-group> --template-file uami.bicep

分配对虚拟网络的网络参与者角色

此 Bicep 文件定义对虚拟网络的角色分配。

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

将 Bicep 文件 roleAssignments.bicep 保存到本地计算机。

使用 Azure CLI 部署 Bicep 文件。 需要提供用户分配的标识的主体 ID。

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

在自定义虚拟网络中创建专用 AKS 自动群集

此 Bicep 文件会定义 AKS 自动群集。

@description('The name of the managed cluster resource.')
param clusterName string = 'aksAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the cluster subnet.')
param clusterSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    agentPoolProfiles: [
      {
        name: 'systempool'
        mode: 'System'
          count: 3
        vnetSubnetID: clusterSubnetId
      }
    ]
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

将 Bicep 文件 aks.bicep 保存到本地计算机。

使用 Azure CLI 部署 Bicep 文件。 需要提供 API 服务器子网资源 ID、群集子网资源 ID 和用户分配的标识主体 ID。

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters clusterSubnetId=<cluster subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

连接至群集

将 AKS 自动群集创建为专用群集时，API 服务器终结点没有公共 IP 地址。 例如，要通过 kubectl 管理 API 服务器，需要通过一台可以访问该群集的 Azure 虚拟网络的计算机进行连接。 有几种选项可用于建立与专用群集的网络连接：

• 使用带有标志的 [az vm create][az-vm-create] 命令 --vnet-name ，在 AKS 自动群集所在的同一虚拟网络中创建虚拟机。
• 在单独的虚拟网络中使用虚拟机，并设置 [虚拟网络对等互连][虚拟网络对等互连]。
• 使用 [Express Route 或 VPN][express-route-or-VPN] 连接。

在 AKS 群集所在的同一虚拟网络中创建虚拟机是最简单的选项。 快速路由和 VPN 会增加成本，且要求额外的网络复杂性。 虚拟网络对等互联要求计划网络 CIDR 范围，以确保不存在重叠范围。 有关详细信息，请参阅 [连接到专用群集的选项][connect-private-cluster]。

若要管理 Kubernetes 群集，请使用 Kubernetes 命令行客户端 kubectl。 如果使用 Azure Cloud Shell，则已安装 kubectl。 要在本地安装 kubectl，请运行 az aks install-cli 命令。 AKS 自动化群集配置为使用 [用于 Kubernetes 基于角色的访问控制（RBAC）的 Microsoft Entra ID][aks-entra-rbac]。

使用 kubectl 命令将 配置为连接到你的 Kubernetes 群集。 此命令将下载凭据，并将 Kubernetes CLI 配置为使用这些凭据。

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

使用 kubectl get 命令验证与群集之间的连接。 此命令将返回群集节点的列表。

kubectl get nodes

以下示例输出展示了登录的要求。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

登录后，以下示例输出会显示托管系统节点池。 确保节点状态为“就绪”。

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5