Использование внутренней подсистемы балансировки нагрузки со службой Azure Kubernetes (AKS)

Вы можете создать и использовать внутреннюю подсистему балансировки нагрузки, чтобы ограничить доступ к приложениям в службе Azure Kubernetes (AKS). Внутренняя подсистема балансировки нагрузки не имеет общедоступного IP-адреса и делает службу Kubernetes доступной только для приложений, которые могут достичь частного IP-адреса. Эти приложения могут находиться в одной виртуальной сети или в другой виртуальной сети через пиринг между виртуальными сетями. В этой статье показано, как создать и использовать внутреннюю подсистему балансировки нагрузки с AKS.

Перед тем как начать

• В этой статье предполагается, что у вас есть кластер AKS. Если вам нужен кластер AKS, можно создать его с помощью Azure CLI, Azure PowerShell или портал Azure.
• Вам потребуется Azure CLI версии 2.0.59 или более поздней. Чтобы узнать версию, выполните команду az --version. Если вам нужно установить или обновить, см. статью "Установка Azure CLI".
• Если вы хотите использовать существующую подсеть или группу ресурсов, удостоверение кластера AKS должно иметь разрешение на управление сетевыми ресурсами. Дополнительные сведения см. в статье "Настройка сети Azure CNI" в AKS. Если вы настраиваете балансировщик нагрузки для использования IP-адреса в другой подсети, убедитесь, что удостоверение кластера AKS также имеет Read доступ к этой подсети.
  • Дополнительные сведения о разрешениях см. в статье "Делегирование доступа AKS к другим ресурсам Azure".

Создание внутреннего балансировщика нагрузки

1. Создайте манифест сервиса с именем internal-lb.yaml, укажите тип службы LoadBalancer и аннотацию azure-load-balancer-internal.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Разверните внутреннюю подсистему балансировки нагрузки с помощью kubectl apply команды. Эта команда создает подсистему балансировки нагрузки Azure в группе ресурсов узла, подключенной к той же виртуальной сети, что и кластер AKS.

   kubectl apply -f internal-lb.yaml
   

3. Просмотрите сведения о службе с помощью kubectl get service команды.

   kubectl get service internal-app
   

   IP-адрес внутренней подсистемы балансировки нагрузки показан в столбце EXTERNAL-IP , как показано в следующем примере выходных данных. В этом контексте внешний интерфейс относится к внешнему интерфейсу балансировщика нагрузки. Это не означает, что он получает общедоступный, внешний IP-адрес. Этот IP-адрес динамически назначается из той же подсети, что и кластер AKS.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.0.248.59   10.240.0.7    80:30555/TCP   2m
   

Указание IP-адреса

При указании IP-адреса подсистемы балансировки нагрузки указанный IP-адрес должен находиться в той же виртуальной сети, что и кластер AKS, но он еще не может быть назначен другому ресурсу в виртуальной сети. Например, не следует использовать IP-адрес в диапазоне, указанном для подсети Kubernetes в кластере AKS. Использование IP-адреса, который уже назначен другому ресурсу в той же виртуальной сети, может вызвать проблемы с подсистемой балансировки нагрузки.

Для получения подсетей в вашей виртуальной сети можно использовать команду az network vnet subnet list Azure CLI или командлет Get-AzVirtualNetworkSubnetConfig PowerShell.

Дополнительные сведения о подсетях см. в статье "Добавление пула узлов с уникальной подсетью".

Если вы хотите использовать определенный IP-адрес с подсистемой балансировки нагрузки, у вас есть два варианта: задать заметки службы или добавить свойство LoadBalancerIP в манифест YAML подсистемы балансировки нагрузки.

2. Просмотрите сведения о службе с помощью kubectl get service команды.

   kubectl get service internal-app
   

   IP-адрес в столбце EXTERNAL-IP должен отражать указанный IP-адрес, как показано в следующем примере выходных данных:

   NAME           TYPE           CLUSTER-IP     EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.0.184.168   10.240.0.25   80:30225/TCP   4m
   

Дополнительные сведения о настройке подсистемы балансировки нагрузки в другой подсети см. в разделе "Указание другой подсети".

Подключение службы Приватного канала Azure к внутренней подсистеме балансировки нагрузки

Перед тем как начать

• Вам потребуется Kubernetes версии 1.22.x или более поздней.
• Вам нужна существующая группа ресурсов с виртуальной сетью и подсетью. Эта группа ресурсов позволяет создать частную конечную точку. Если у вас нет этих ресурсов, см. статью "Создание виртуальной сети и подсети".

Создайте соединение через службу Private Link

1. Создайте манифест службы с именем internal-lb-pls.yaml и типом службы LoadBalancer с аннотациями azure-load-balancer-internal и azure-pls-create. Дополнительные варианты см. в дизайнерском документе Интеграция службы Приватной связи Azure.

   apiVersion: v1
   kind: Service
   metadata:
     name: internal-app
     annotations:
       service.beta.kubernetes.io/azure-load-balancer-internal: "true"
       service.beta.kubernetes.io/azure-pls-create: "true"
   spec:
     type: LoadBalancer
     ports:
     - port: 80
     selector:
       app: internal-app
   

2. Разверните внутреннюю подсистему балансировки нагрузки с помощью kubectl apply команды. Эта команда создает подсистему балансировки нагрузки Azure в группе ресурсов узла, подключенной к той же виртуальной сети, что и кластер AKS. Он также создает объект службы приватного канала, который подключается к интерфейсной IP-конфигурации подсистемы балансировки нагрузки, связанной со службой Kubernetes.

   kubectl apply -f internal-lb-pls.yaml
   

3. Просмотрите сведения о службе с помощью kubectl get service команды.

   kubectl get service internal-app
   

   IP-адрес внутренней подсистемы балансировки нагрузки показан в столбце EXTERNAL-IP , как показано в следующем примере выходных данных. В этом контексте внешний интерфейс относится к внешнему интерфейсу балансировщика нагрузки. Это не означает, что он получает общедоступный, внешний IP-адрес.

   NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
   internal-app   LoadBalancer   10.125.17.53  10.125.0.66   80:30430/TCP   64m
   

4. Просмотрите сведения об объекте службы приватного подключения az network private-link-service list с помощью команды.

   # Create a variable for the node resource group
   
   AKS_MC_RG=$(az aks show -g myResourceGroup --name myAKSCluster --query nodeResourceGroup -o tsv)
   
   # View the details of the Private Link Service object
   
   az network private-link-service list -g $AKS_MC_RG --query "[].{Name:name,Alias:alias}" -o table
   

   Ваш результат должен быть похож на следующий пример результата:

   Name      Alias
   --------  -------------------------------------------------------------------------
   pls-xyz   pls-xyz.abc123-defg-4hij-56kl-789mnop.eastus2.azure.privatelinkservice
   

Создание частной конечной точки для службы Private Link

Частная конечная точка позволяет приватно подключаться к объекту службы Kubernetes через созданную службу приватного канала.

• Создайте частную конечную точку az network private-endpoint create с помощью команды.

  # Create a variable for the private link service
  
  AKS_PLS_ID=$(az network private-link-service list -g $AKS_MC_RG --query "[].id" -o tsv)
  
  # Create the private endpoint
  
  $ az network private-endpoint create \
      -g myOtherResourceGroup \
      --name myAKSServicePE \
      --vnet-name myOtherVNET \
      --subnet pe-subnet \
      --private-connection-resource-id $AKS_PLS_ID \
      --connection-name connectToMyK8sService
  

Настройки PLS с помощью заметок

Для настройки ресурса PLS можно использовать следующие заметки:

Использование частных сетей

При создании кластера AKS можно указать дополнительные параметры сети. Эти параметры позволяют развернуть кластер в существующей виртуальной сети Azure и подсетях. Например, можно развернуть кластер AKS в частной сети, подключенной к локальной среде, и запускать службы, доступные только внутри организации.

Дополнительные сведения см. в статье о настройке собственных подсетей виртуальной сети с помощью Kubenet или Azure CNI.

Вам не нужно вносить изменения в предыдущие шаги, чтобы развернуть внутреннюю подсистему балансировки нагрузки, использующую частную сеть в кластере AKS. Подсистема балансировки нагрузки создается в той же группе ресурсов, что и кластер AKS, но вместо этого она подключена к частной виртуальной сети и подсети, как показано в следующем примере:

$ kubectl get service internal-app

NAME           TYPE           CLUSTER-IP    EXTERNAL-IP   PORT(S)        AGE
internal-app   LoadBalancer   10.1.15.188   10.0.0.35     80:31669/TCP   1m

Указание другой подсети

• Добавьте заметку azure-load-balancer-internal-subnet в службу, чтобы указать подсеть для подсистемы балансировки нагрузки. Указанная подсеть должна находиться в той же виртуальной сети, что и кластер AKS. При развертывании адрес подсистемы EXTERNAL-IP балансировки нагрузки является частью указанной подсети.

  apiVersion: v1
  kind: Service
  metadata:
    name: internal-app
    annotations:
      service.beta.kubernetes.io/azure-load-balancer-internal: "true"
      service.beta.kubernetes.io/azure-load-balancer-internal-subnet: "apps-subnet"
  spec:
    type: LoadBalancer
    ports:
    - port: 80
    selector:
      app: internal-app
  

Удаление подсистемы балансировки нагрузки

Подсистема балансировки нагрузки удаляется при удалении всех служб.

Как и в случае с любым ресурсом Kubernetes, вы можете напрямую удалить службу, например kubectl delete service internal-app, которая также удаляет базовую подсистему балансировки нагрузки Azure.

Дальнейшие шаги

Дополнительные сведения о службах Kubernetes см. в документации по службам Kubernetes.