Краткое руководство. Создание Шлюз приложений для контейнеров, управляемых контроллером ALB

В этом руководстве предполагается, что вы используете стратегию развертывания контроллераALB, где все Шлюз приложений для ресурсов контейнеров управляются контроллером ALB. Жизненный цикл определяет ресурсы, определенные в Kubernetes. Контроллер ALB создает Шлюз приложений для ресурса контейнеров при определении настраиваемого ресурса ApplicationLoadBalancer в кластере. Жизненный цикл Шлюз приложений для контейнеров основан на жизненном цикле пользовательского ресурса.

Необходимые компоненты

Убедитесь, что вы сначала развернули контроллер ALB в кластере Kubernetes. См. краткое руководство. Развертывание Шлюз приложений для контроллера ALB контейнеров, если вы еще не развернули контроллер ALB.

Подготовка виртуальной сети или подсети для Шлюз приложений для контейнеров

Если у вас нет подсети, доступной по крайней мере 250 доступных IP-адресов и делегированных ресурсу Шлюз приложений для контейнеров, выполните следующие действия, чтобы создать новую подсеть и включить делегирование подсети. Новое адресное пространство подсети не может перекрывать существующие подсети в виртуальной сети.

AKS_NAME='<your cluster name>'
RESOURCE_GROUP='<your resource group name>'

MC_RESOURCE_GROUP=$(az aks show --name $AKS_NAME --resource-group $RESOURCE_GROUP --query "nodeResourceGroup" -o tsv)
CLUSTER_SUBNET_ID=$(az vmss list --resource-group $MC_RESOURCE_GROUP --query '[0].virtualMachineProfile.networkProfile.networkInterfaceConfigurations[0].ipConfigurations[0].subnet.id' -o tsv)
read -d '' VNET_NAME VNET_RESOURCE_GROUP VNET_ID <<< $(az network vnet show --ids $CLUSTER_SUBNET_ID --query '[name, resourceGroup, id]' -o tsv)

VNET_RESOURCE_GROUP=<resource group name of the virtual network>
VNET_NAME=<name of the virtual network to use>

Выполните следующую команду, чтобы создать новую подсеть, содержащую по крайней мере 250 доступных IP-адресов, и включите делегирование подсети для ресурса сопоставления контейнеров Шлюз приложений:

SUBNET_ADDRESS_PREFIX='<network address and prefix for an address space under the vnet that has at least 250 available addresses (/24 or larger subnet)>'
ALB_SUBNET_NAME='subnet-alb' # subnet name can be any non-reserved subnet name (i.e. GatewaySubnet, AzureFirewallSubnet, AzureBastionSubnet would all be invalid)
az network vnet subnet create \
  --resource-group $VNET_RESOURCE_GROUP \
  --vnet-name $VNET_NAME \
  --name $ALB_SUBNET_NAME \
  --address-prefixes $SUBNET_ADDRESS_PREFIX \
  --delegations 'Microsoft.ServiceNetworking/trafficControllers'
ALB_SUBNET_ID=$(az network vnet subnet show --name $ALB_SUBNET_NAME --resource-group $VNET_RESOURCE_GROUP --vnet-name $VNET_NAME --query '[id]' --output tsv)

Делегирование разрешений управляемому удостоверению

Контроллер ALB должен иметь возможность подготавливать новые Шлюз приложений для ресурсов контейнеров и присоединять подсеть, предназначенную Шлюз приложений для ресурса сопоставления контейнеров.

В этом примере мы делегируем роль AppGW для контейнеров Configuration Manager группе ресурсов, содержащей управляемый кластер, и делегируем роль участника сети подсети, используемой подсетью Шлюз приложений для ассоциаций контейнеров, которая содержит разрешение Microsoft.Network/virtualNetworks/subnets/join/action.

При необходимости можно создать и назначить настраиваемую роль с помощью Microsoft.Network/virtualNetworks/subnets/join/action разрешения, чтобы устранить другие разрешения, содержащиеся в роли участника сети. Дополнительные сведения об управлении разрешениями подсети.

IDENTITY_RESOURCE_NAME='azure-alb-identity'

MC_RESOURCE_GROUP=$(az aks show --name $AKS_NAME --resource-group $RESOURCE_GROUP --query "nodeResourceGroup" -otsv | tr -d '\r')

mcResourceGroupId=$(az group show --name $MC_RESOURCE_GROUP --query id -otsv)
principalId=$(az identity show -g $RESOURCE_GROUP -n $IDENTITY_RESOURCE_NAME --query principalId -otsv)

# Delegate AppGw for Containers Configuration Manager role to AKS Managed Cluster RG
az role assignment create --assignee-object-id $principalId --assignee-principal-type ServicePrincipal --scope $mcResourceGroupId --role "fbc52c3f-28ad-4303-a892-8a056630b8f1" 

# Delegate Network Contributor permission for join to association subnet
az role assignment create --assignee-object-id $principalId --assignee-principal-type ServicePrincipal --scope $ALB_SUBNET_ID --role "4d97b98b-1d4f-4787-a291-c67834d212e7" 

Создание ресурса ApplicationLoadBalancer Kubernetes

1. Определение пространства имен Kubernetes для ресурса ApplicationLoadBalancer

kubectl apply -f - <<EOF
apiVersion: v1
kind: Namespace
metadata:
  name: alb-test-infra
EOF

2. Определите ресурс ApplicationLoadBalancer, указав идентификатор подсети, в который необходимо развернуть Шлюз приложений для ресурса сопоставления контейнеров. Связь устанавливает подключение от Шлюз приложений для контейнеров к определенной подсети (и подключенным сетям, где применимо), чтобы иметь возможность прокси-трафика к определенной серверной части.

Выполните следующую команду, чтобы создать Шлюз приложений для ресурса и связи контейнеров.

kubectl apply -f - <<EOF
apiVersion: alb.networking.azure.io/v1
kind: ApplicationLoadBalancer
metadata:
  name: alb-test
  namespace: alb-test-infra
spec:
  associations:
  - $ALB_SUBNET_ID
EOF

Проверка создания Шлюз приложений для ресурсов контейнеров

После создания ресурса ApplicationLoadBalancer можно отслеживать ход развертывания Шлюз приложений для ресурсов контейнеров. Развертывание переходит из InProgressв состояние "Запрограммированное " при завершении подготовки. Для создания ресурсов контейнеров может потребоваться 5–6 Шлюз приложений минут.

Вы можете проверка состояние ресурса ApplicationLoadBalancer, выполнив следующую команду:

kubectl get applicationloadbalancer alb-test -n alb-test-infra -o yaml -w

Пример выходных данных успешной подготовки ресурса Шлюз приложений для контейнеров из Kubernetes.

status:
  conditions:
  - lastTransitionTime: "2023-06-19T21:03:29Z"
    message: Valid Application Gateway for Containers resource
    observedGeneration: 1
    reason: Accepted
    status: "True"
    type: Accepted
  - lastTransitionTime: "2023-06-19T21:03:29Z"
    message: alb-id=/subscriptions/xxx/resourceGroups/yyy/providers/Microsoft.ServiceNetworking/trafficControllers/alb-zzz
    observedGeneration: 1
    reason: Ready
    status: "True"
    type: Deployment

Следующие шаги

Поздравляем, вы установили контроллер балансировки нагрузки в кластере и развернули Шлюз приложений для ресурсов контейнеров в Azure!

Ознакомьтесь с несколькими руководствами по развертыванию примера приложения, демонстрируя некоторые Шлюз приложений для балансировки нагрузки контейнера.

• Серверные MTLS
• Разгрузка SSL/TLS
• Разделение трафика или весовой циклический робин