Включение федерального стандарта обработки информации (FIPS) для пулов узлов Azure Kubernetes Service (AKS)

• Terraform установлен локально. Инструкции по установке см. в разделе "Установка Terraform".

• Azure CLI версии 2.32.0 или более поздней версии, установленной и настроенной. Чтобы узнать версию, выполните команду az --version. Дополнительные сведения об установке или обновлении Azure CLI см. в разделе Install Azure CLI.

• Примеры шаблонов ARM в этой статье используют версию API 2023-03-01 для Microsoft.ContainerService/managedClusters и Microsoft.ContainerService/managedClusters/agentPools.

• Примеры Bicep в данной статье используют версию API 2023-03-01 для Microsoft.ContainerService/managedClusters и Microsoft.ContainerService/managedClusters/agentPools.

• Примеры Terraform в этой статье используют провайдер AzureRM 3.x.
• Для параметров FIPS Terraform используйте enable_fips_image на azurerm_kubernetes_cluster.default_node_pool и fips_enabled на azurerm_kubernetes_cluster_node_pool.

Создание файла конфигурации Terraform

Файлы конфигурации Terraform определяют инфраструктуру, которую Terraform создает и управляет ею.

1. Создайте файл с именем main.tf и добавьте следующий код, чтобы определить версию Terraform и указать поставщика Azure:

   terraform {
     required_version = ">= 1.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 3.0"
       }
     }
   }
   
   provider "azurerm" {
     features {}
   }
   

2. Добавьте следующий код в main.tf для создания группы ресурсов Azure. При необходимости вы можете изменить имя и расположение группы ресурсов.

   resource "azurerm_resource_group" "example" {
     name     = "example-fips-rg"
     location = "East US"
   }
   

При создании дополнительных пулов узлов в кластере, который уже имеет пул узлов с поддержкой FIPS по умолчанию, необходимо также включить FIPS в новых пулах узлов с помощью --enable-fips-image параметра.

1. Создайте кластер AKS с включенной поддержкой FIPS в пуле узлов по умолчанию, используя команду az aks create с параметром --enable-fips-image.

   az aks create \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --node-count 3 \
       --enable-fips-image
   

2. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере вывода показано, что пул узлов по умолчанию поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

Включение FIPS во время создания кластера AKS в настоящее время не поддерживается на портале Azure. Чтобы создать кластер с пулом узлов с поддержкой FIPS по умолчанию, используйте инструкции Azure CLI, шаблона ARM, Bicep или Terraform.

При создании дополнительных пулов узлов в кластере, который уже имеет пул узлов с поддержкой FIPS по умолчанию, необходимо также включить FIPS в новых пулах узлов, установив для него значение enableFipstrue.

1. Создайте кластер AKS с включенным FIPS в пуле узлов по умолчанию с помощью шаблона ARM, задав enableFips свойство true в профиле пула агентов. Рассмотрим пример.

   {
     "type": "Microsoft.ContainerService/managedClusters",
     "location": "[parameters('location')]",
     "name": "[parameters('clusterName')]",
     "properties": {
       "kubernetesVersion": "1.27",
       "enableRBAC": true,
       "dnsPrefix": "[parameters('dnsPrefix')]",
       "agentPoolProfiles": [
         {
           "name": "nodepool1",
           "count": 3,
           "vmSize": "Standard_D2s_v3",
           "osType": "Linux",
           "osSKU": "Ubuntu",
           "type": "VirtualMachineScaleSets",
           "mode": "System",
           "enableFips": true
         }
       ]
     },
     "identity": {
       "type": "SystemAssigned"
     }
   }
   

2. Разверните шаблон ARM с помощью портала Azure, Azure CLI или Azure PowerShell. Дополнительные сведения о развертывании шаблонов ARM см. в статье "Развертывание ресурсов с помощью шаблонов ARM".

3. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере вывода показано, что пул узлов по умолчанию поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

При создании дополнительных пулов узлов в кластере, который уже имеет пул узлов с поддержкой FIPS по умолчанию, необходимо также включить FIPS в новых пулах узлов, установив для него значение enableFIPStrue.

1. Создайте кластер AKS с поддержкой FIPS в пуле узлов по умолчанию с помощью Bicep, задав в профиле агентного пула параметру enableFIPS значение true. Рассмотрим пример.

   param location string
   param clusterName string
   param dnsPrefix string
   
   resource aks 'Microsoft.ContainerService/managedClusters@2023-03-01' = {
     name: clusterName
     location: location
     identity: {
       type: 'SystemAssigned'
     }
     properties: {
       kubernetesVersion: '1.27'
       enableRBAC: true
       dnsPrefix: dnsPrefix
       agentPoolProfiles: [
         {
           name: 'nodepool1'
           count: 3
           vmSize: 'Standard_D2s_v3'
           osType: 'Linux'
           osSKU: 'Ubuntu'
           type: 'VirtualMachineScaleSets'
           mode: 'System'
           enableFIPS: true
         }
       ]
     }
   }
   

2. Разверните файл Bicep с помощью Azure CLI, Azure PowerShell или портала Azure. Дополнительные сведения о развертывании файлов Bicep см. в статье Create Bicep files using Visual Studio Code.

3. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере вывода показано, что пул узлов по умолчанию поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

При создании дополнительных пулов узлов в кластере, который уже имеет пул узлов по умолчанию с поддержкой FIPS, необходимо также включить FIPS в новых пулах узлов, установив параметр fips_enabled в значение true на azurerm_kubernetes_cluster_node_pool.

1. Добавьте следующий код в main.tf, чтобы создать кластер AKS с включенным FIPS в пуле узлов по умолчанию:

   resource "azurerm_kubernetes_cluster" "example" {
     name                = "example-aks-cluster"
     location            = azurerm_resource_group.example.location
     resource_group_name = azurerm_resource_group.example.name
     dns_prefix          = "example-aks"
   
     default_node_pool {
       name              = "nodepool1"
       node_count        = 3
       vm_size           = "Standard_D2s_v3"
       os_sku            = "Ubuntu"
       enable_fips_image = true
     }
   
     identity {
       type = "SystemAssigned"
     }
   }
   

2. Инициализируйте Terraform в каталоге, содержащем ваш файл main.tf, с помощью команды terraform init.

   terraform init
   

3. Создайте план выполнения Terraform с помощью terraform plan команды.

   terraform plan
   

4. Примените конфигурацию с помощью terraform apply команды для развертывания кластера с пулом узлов с поддержкой FIPS по умолчанию.

   terraform apply
   

5. Подключитесь к кластеру AKS с помощью команды [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

6. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере вывода показано, что пул узлов по умолчанию поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   nodepool1  True
   

Дополнительные сведения о ресурсе azurerm_kubernetes_cluster см. в документации по поставщику Terraform Azure.

1. Добавьте пул узлов Linux с поддержкой FIPS в существующий кластер с помощью az aks nodepool add команды с параметром --enable-fips-image .

   az aks nodepool add \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name fipsnp \
       --enable-fips-image
   

2. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов fipsnp поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

3. Перечислите узлы с помощью команды kubectl get nodes.

   kubectl get nodes
   

   В следующем примере выходных данных показан список узлов в кластере. Узлы, начиная с aks-fipsnp , являются частью пула узлов с поддержкой FIPS.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

4. Запустите развертывание с интерактивным сеансом на одном из узлов в пуле узлов с поддержкой FIPS с помощью kubectl debug команды.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

5. В выходных данных интерактивного сеанса убедитесь, что включены криптографические библиотеки FIPS. Выходные данные должны выглядеть примерно так:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

Включение FIPS при добавлении пула узлов Linux в настоящее время не поддерживается на портале Azure. Чтобы добавить пул узлов Linux с поддержкой FIPS, используйте инструкции Azure CLI, шаблона ARM, Bicep или Terraform.

1. Создайте пул узлов Linux с поддержкой FIPS с помощью шаблона ARM, развернув ресурс пула агентов с заданным enableFipsсвойствомtrue. Рассмотрим пример.

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "apiVersion": "2023-03-01",
     "name": "[concat(parameters('clusterName'), '/fipsnp')]",
     "properties": {
       "count": 3,
       "vmSize": "Standard_D2s_v3",
       "osType": "Linux",
       "osSKU": "Ubuntu",
       "mode": "User",
       "enableFips": true
     }
   }
   

2. Разверните шаблон ARM с помощью портала Azure, Azure CLI или Azure PowerShell. Дополнительные сведения о развертывании шаблонов ARM см. в статье "Развертывание ресурсов с помощью шаблонов ARM".

3. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов fipsnp поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

4. Перечислите узлы с помощью команды kubectl get nodes.

   kubectl get nodes
   

   В следующем примере выходных данных показан список узлов в кластере. Узлы, начиная с aks-fipsnp , являются частью пула узлов с поддержкой FIPS.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

5. Запустите развертывание с интерактивным сеансом на одном из узлов в пуле узлов с поддержкой FIPS с помощью kubectl debug команды.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

6. В выходных данных интерактивного сеанса убедитесь, что включены криптографические библиотеки FIPS. Выходные данные должны выглядеть примерно так:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

1. Создайте пул узлов Linux с поддержкой FIPS с помощью Bicep путем развертывания ресурса пула агентов с enableFIPS для параметра true. Рассмотрим пример.

   param clusterName string
   param nodePoolName string = 'fipsnp'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       count: 3
       vmSize: 'Standard_D2s_v3'
       osType: 'Linux'
       osSKU: 'Ubuntu'
       mode: 'User'
       enableFIPS: true
     }
   }
   

2. Разверните файл Bicep с помощью Azure CLI, Azure PowerShell или портала Azure. Дополнительные сведения о развертывании файлов Bicep см. в статье Create Bicep files using Visual Studio Code.

3. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов fipsnp поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

4. Перечислите узлы с помощью команды kubectl get nodes.

   kubectl get nodes
   

   В следующем примере выходных данных показан список узлов в кластере. Узлы, начиная с aks-fipsnp , являются частью пула узлов с поддержкой FIPS.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

5. Запустите развертывание с интерактивным сеансом на одном из узлов в пуле узлов с поддержкой FIPS с помощью kubectl debug команды.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

6. В выходных данных интерактивного сеанса убедитесь, что включены криптографические библиотеки FIPS. Выходные данные должны выглядеть примерно так:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

1. Добавьте следующий код в main.tf, чтобы добавить пул узлов Linux с поддержкой FIPS в кластер AKS:

   resource "azurerm_kubernetes_cluster_node_pool" "fips_linux" {
     name                   = "fipsnp"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = true
   
     node_taints = []
   }
   

2. Примените обновленную конфигурацию Terraform, используя команды terraform plan и terraform apply.

   terraform plan
   terraform apply
   

3. Подключитесь к кластеру AKS с помощью команды [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов fipsnp поддерживает FIPS:

   Name       enableFips
   ---------  ------------
   fipsnp     True
   nodepool1  False  
   

5. Перечислите узлы с помощью команды kubectl get nodes.

   kubectl get nodes
   

   В следующем примере выходных данных показан список узлов в кластере. Узлы, начиная с aks-fipsnp , являются частью пула узлов с поддержкой FIPS.

   NAME                                STATUS   ROLES   AGE     VERSION
   aks-fipsnp-12345678-vmss000000      Ready    agent   6m4s    v1.19.9
   aks-fipsnp-12345678-vmss000001      Ready    agent   5m21s   v1.19.9
   aks-fipsnp-12345678-vmss000002      Ready    agent   6m8s    v1.19.9
   aks-nodepool1-12345678-vmss000000   Ready    agent   34m     v1.19.9
   

6. Запустите развертывание с интерактивным сеансом на одном из узлов в пуле узлов с поддержкой FIPS с помощью kubectl debug команды.

   kubectl debug node/aks-fipsnp-12345678-vmss000000 -it --image=mcr.microsoft.com/dotnet/runtime-deps:6.0
   

7. В выходных данных интерактивного сеанса убедитесь, что включены криптографические библиотеки FIPS. Выходные данные должны выглядеть примерно так:

   root@aks-fipsnp-12345678-vmss000000:/# cat /proc/sys/crypto/fips_enabled
   1
   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

Дополнительные сведения о ресурсе azurerm_kubernetes_cluster_node_pool см. в документации по поставщику Terraform Azure.

1. Создайте пул узлов Windows с помощью команды az aks nodepool add. В отличие от пулов узлов на основе Linux, Windows пулы узлов используют один и тот же набор образов.

   az aks nodepool add \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name fipsnp \
       --enable-fips-image \
       --os-type Windows
   

2. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

3. Убедитесь, что пулы узлов Windows имеют доступ к криптографическим библиотекам FIPS путем создания подключения RDP к узлу Windows в пуле узлов и проверке реестра. В программе 'Выполнить' введите regedit.

4. Найдите HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy в реестре.

5. Если Enabled установлено в 1, то FIPS включен.

   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

Нет возможности Azure портала для включения или отключения параметров FIPS для пулов узлов Windows. Все пулы узлов Windows, созданные с помощью портала Azure, имеют активированную функцию FIPS. Windows Server 2022 и более поздние версии пулов узлов включают FIPS по умолчанию, а пулы узлов Windows Server 2025 и более поздние версии не поддерживают отключение FIPS.

1. Создайте пул узлов Windows с помощью шаблона ARM, развернув ресурс пула агентов, в котором osType установлен на Windows. Рассмотрим пример.

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "apiVersion": "2023-03-01",
     "name": "[concat(parameters('clusterName'), '/fipsnp')]",
     "properties": {
       "count": 3,
       "vmSize": "Standard_D2s_v3",
       "osType": "Windows",
       "osSKU": "Windows2022",
       "mode": "User"
     }
   }
   

2. Разверните шаблон ARM с помощью портала Azure, Azure CLI или Azure PowerShell. Дополнительные сведения о развертывании шаблонов ARM см. в статье "Развертывание ресурсов с помощью шаблонов ARM".

3. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

4. Убедитесь, что пулы узлов Windows имеют доступ к криптографическим библиотекам FIPS путем создания подключения RDP к узлу Windows в пуле узлов и проверке реестра. В программе 'Выполнить' введите regedit.

5. Найдите HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy в реестре.

6. Если Enabled установлено в 1, то FIPS включен.

   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

1. Создайте пул узлов Windows через Bicep, развернув ресурс пула агентов с osType установленным на Windows. Рассмотрим пример.

   param clusterName string
   param nodePoolName string = 'fipsnp'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       count: 3
       vmSize: 'Standard_D2s_v3'
       osType: 'Windows'
       osSKU: 'Windows2022'
       mode: 'User'
       enableFIPS: true
     }
   }
   

2. Разверните файл Bicep с помощью Azure CLI, Azure PowerShell или портала Azure. Дополнительные сведения о развертывании файлов Bicep см. в статье Create Bicep files using Visual Studio Code.

3. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

4. Убедитесь, что пулы узлов Windows имеют доступ к криптографическим библиотекам FIPS путем создания подключения RDP к узлу Windows в пуле узлов и проверке реестра. В программе 'Выполнить' введите regedit.

5. Найдите HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy в реестре.

6. Если Enabled установлено в 1, то FIPS включен.

   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

1. Добавьте следующий код в main.tf, чтобы создать пул узлов Windows в кластере AKS:

   resource "azurerm_kubernetes_cluster_node_pool" "fips_windows" {
     name                   = "fipsnp"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Windows"
     os_sku                 = "Windows2022"
     node_count             = 3
     fips_enabled           = true
   
     node_taints = []
   }
   

2. Примените обновленную конфигурацию Terraform, используя команды terraform plan и terraform apply.

   terraform plan
   terraform apply
   

3. Подключитесь к кластеру AKS с помощью команды [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Проверьте конфигурацию пула узлов с помощью az aks show команды и запроса значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

5. Убедитесь, что пулы узлов Windows имеют доступ к криптографическим библиотекам FIPS путем создания подключения RDP к узлу Windows в пуле узлов и проверке реестра. В программе 'Выполнить' введите regedit.

6. Найдите HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\FIPSAlgorithmPolicy в реестре.

7. Если Enabled установлено в 1, то FIPS включен.

   

   Пулы узлов с включенной поддержкой FIPS также имеют метку kubernetes.azure.com/fips_enabled=true, которую развертывания могут использовать для обращения к этим пулам узлов.

Предварительные требования для обновления существующего пула узлов

Azure CLI версии 2.64.0 или более поздней. Чтобы узнать версию, выполните команду az --version. Если необходимо установить или обновить, см. раздел Install Azure CLI.

1. Обновите пул узлов, используя команду az aks nodepool update с параметром --enable-fips-image.

   az aks nodepool update \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name np \
       --enable-fips-image
   

   Эта команда запускает повторную версию пула узлов немедленно для развертывания ОС, совместимой с FIPS. Это повторное создание происходит во время обновления пула узлов. Дополнительные шаги не требуются.

2. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов np поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

Включение FIPS в существующем пуле узлов в настоящее время не поддерживается на портале Azure. Чтобы включить FIPS в существующем пуле узлов, используйте Azure CLI, шаблоны ARM, инструкции Bicep или Terraform, описанные в этой статье.

1. Включите FIPS в существующем пуле узлов с помощью шаблона ARM, обновив профиль пула агентов, установив свойство enableFips в значение true. Рассмотрим пример.

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "name": "[concat(parameters('clusterName'), '/np')]",
     "apiVersion": "2023-03-01",
     "properties": {
       "enableFips": true
     }
   }
   

2. Разверните обновленный шаблон с помощью портала Azure, Azure CLI или Azure PowerShell. Дополнительные сведения о развертывании шаблонов ARM см. в статье "Развертывание ресурсов с помощью шаблонов ARM".

3. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов np поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Включите FIPS в существующем пуле нодов с помощью Bicep, обновив ресурс пула агентов для установки enableFIPS в true. Рассмотрим пример.

   param clusterName string
   param nodePoolName string = 'np'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       enableFIPS: true
     }
   }
   

2. Разверните обновленный файл Bicep с помощью Azure CLI, Azure PowerShell или портала Azure. Дополнительные сведения о развертывании файлов Bicep см. в статье Create Bicep files using Visual Studio Code.

3. Убедитесь, что ваш пул узлов с поддержкой FIPS, используя команду az aks show и проверьте значение enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов np поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Обновите ресурс azurerm_kubernetes_cluster_node_pool в main.tf, установив fips_enabled на true:

   resource "azurerm_kubernetes_cluster_node_pool" "example" {
     name                   = "np"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = true
   }
   

2. Примените обновленную конфигурацию Terraform, используя команды terraform plan и terraform apply. Terraform обнаруживает изменение fips_enabled и запускает необходимую операцию переустановки образа.

   terraform plan
   terraform apply
   

3. Подключитесь к кластеру AKS с помощью команды [az aks get-credentials][az-aks-get-credentials].

   az aks get-credentials \
       --resource-group myResourceGroup \
       --name myAKSCluster
   

4. Проверьте, включена ли в вашем пуле узлов поддержка FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов np поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         True
   nodepool1  False  
   

1. Обновите пул узлов Linux с помощью команды az aks nodepool update с параметром --disable-fips-image.

   az aks nodepool update \
       --resource-group myResourceGroup \
       --cluster-name myAKSCluster \
       --name np \
       --disable-fips-image
   

   Эта команда запускает повторную версию пула узлов немедленно для развертывания ОС, совместимой с FIPS. Это повторное создание происходит во время обновления пула узлов. Дополнительные шаги не требуются.

2. Убедитесь, что ваш пул узлов не поддерживает FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
       --resource-group myResourceGroup \
       --name myAKSCluster \
       --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
       -o table
   

   В следующем примере выходных данных показано, что пул узлов np не поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

Отключение FIPS в существующем пуле узлов в настоящее время не поддерживается на портале Azure. Чтобы отключить FIPS в существующем пуле узлов, используйте инструкции Azure CLI, шаблона ARM, Bicep или Terraform в этой статье.

1. Отключите FIPS в существующем пуле узлов с помощью шаблона ARM, обновив профиль пула агентов, чтобы установить значение свойства enableFips на false. Рассмотрим пример.

   {
     "type": "Microsoft.ContainerService/managedClusters/agentPools",
     "name": "[concat(parameters('clusterName'), '/np')]",
     "apiVersion": "2023-03-01",
     "properties": {
       "enableFips": false
     }
   }
   

2. Разверните обновленный шаблон с помощью портала Azure, Azure CLI или Azure PowerShell. Дополнительные сведения о развертывании шаблонов ARM см. в статье "Развертывание ресурсов с помощью шаблонов ARM".

3. Убедитесь, что ваш пул узлов не поддерживает FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   В следующем примере выходных данных показано, что пул узлов np не поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

1. Отключите FIPS в существующем пуле узлов с помощью Bicep, обновив ресурс пула агентов, чтобы задать enableFIPS значение false. Рассмотрим пример.

   param clusterName string
   param nodePoolName string = 'np'
   
   resource nodePool 'Microsoft.ContainerService/managedClusters/agentPools@2023-03-01' = {
     name: '${clusterName}/${nodePoolName}'
     properties: {
       enableFIPS: false
     }
   }
   

2. Разверните обновленный файл Bicep с помощью Azure CLI, Azure PowerShell или портала Azure. Дополнительные сведения о развертывании файлов Bicep см. в статье Create Bicep files using Visual Studio Code.

3. Убедитесь, что ваш пул узлов не поддерживает FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   В следующем примере выходных данных показано, что пул узлов np не поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

1. Обновите ресурс azurerm_kubernetes_cluster_node_pool в main.tf, установив fips_enabled на false:

   resource "azurerm_kubernetes_cluster_node_pool" "example" {
     name                   = "np"
     kubernetes_cluster_id  = azurerm_kubernetes_cluster.example.id
     vm_size                = "Standard_D2s_v3"
     os_type                = "Linux"
     os_sku                 = "Ubuntu"
     node_count             = 3
     fips_enabled           = false
   }
   

2. Примените обновленную конфигурацию Terraform, используя команды terraform plan и terraform apply. Terraform обнаруживает изменение fips_enabled и запускает необходимую операцию переустановки образа.

   terraform plan
   terraform apply
   

3. Убедитесь, что ваш пул узлов не поддерживает FIPS, используя команду az aks show и запрос значения enableFIPS в agentPoolProfiles.

   az aks show \
     --resource-group myResourceGroup \
     --name myAKSCluster \
     --query="agentPoolProfiles[].{Name:name enableFips:enableFips}" \
     -o table
   

   В следующем примере выходных данных показано, что пул узлов np не поддерживает FIPS.

   Name       enableFips
   ---------  ------------
   np         False
   nodepool1  False  
   

Сообщение дня

Вы можете заменить сообщение дня (MOTD) на узлах Linux с помощью --message-of-the-day флага при создании кластера или добавлении пула узлов.

Создайте кластер и замените сообщение дня с помощью команды az aks create с флагом --message-of-the-day, установленным на путь к новому файлу MOTD.

az aks create --cluster-name myAKSCluster --resource-group myResourceGroup --message-of-the-day ./newMOTD.txt

Добавьте пул узлов и замените сообщение дня с помощью az aks nodepool add команды флагом --message-of-the-day , заданным для пути нового файла MOTD.

az aks nodepool add --name mynodepool1 --cluster-name myAKSCluster --resource-group myResourceGroup --message-of-the-day ./newMOTD.txt