Политики поддержки для Служба Azure Kubernetes

В этой статье описываются политики технической поддержки и ограничения для Azure Kubernetes Service (AKS). В нем также описываются управление агентскими узлами, компоненты управляемой управляющей плоскости, компоненты с открытым исходным кодом, не принадлежащие Microsoft, а также управление безопасностью и установкой исправлений.

Обновления и выпуски сервиса

• Сведения о выпуске см. в заметках о выпуске AKS.
• Сведения о предварительных версиях функций см. в дорожной карте AKS.

Управляемые функции в AKS

AKS — это сочетание инфраструктуры как услуги (IaaS) и платформы как услуги (PaaS). Базовые облачные компоненты IaaS, такие как вычислительные или сетевые компоненты, предоставляют доступ к низким уровням управления и параметрам настройки. В отличие от этого, AKS предоставляет готовое развертывание Kubernetes, которое предоставляет общий набор конфигураций и возможностей, необходимых для кластера. Как пользователь AKS имеет ограниченные параметры настройки и развертывания и не управляете кластерами Kubernetes напрямую.

С помощью AKS вы получаете полностью управляемую плоскость управления. Плоскость управления содержит все компоненты и службы, необходимые для работы и доставки кластеров Kubernetes конечным пользователям. Microsoft поддерживает и управляет всеми компонентами Kubernetes.

Microsoft управляет и отслеживает следующие компоненты с помощью плоскости управления:

• API-сервер Kubernetes и kubelet.
• etcd или совместимое хранилище key-value, предоставляющее качество обслуживания (QoS), масштабируемость и среду выполнения.
• Службы DNS, такие как CoreDNS.
• kube-proxy и кластерная сеть, за исключением случаев, когда используется BYOCNI.
• Любые другие дополнения или системные компоненты, работающие в пространстве имен kube-system.

Некоторые компоненты, такие как узлы агента, несут общую ответственность, где необходимо поддерживать кластер AKS. Для применения исправления безопасности операционной системы агентного узла (ОС) требуется ввод данных пользователем.

Службы управляемы в том смысле, что Microsoft и команда AKS развертывает, работает и отвечает за доступность и функциональность служб. Клиенты не могут изменять эти управляемые компоненты. Microsoft ограничивает настройку, чтобы обеспечить согласованный и масштабируемый пользовательский интерфейс.

Общая ответственность

При создании кластера вы определяете узлы агента Kubernetes, создаваемые AKS. Рабочие нагрузки выполняются на этих узлах. Имейте в виду следующие ограничения узла агента:

• служба поддержки Майкрософт имеет ограниченный доступ. Так как узлы агента выполняют частный код и хранят конфиденциальные данные, служба поддержки Майкрософт не могут войти в систему, выполнять команды или просматривать журналы этих узлов без вашего явного разрешения или помощи.
• Используйте собственные механизмы Kubernetes для изменений. Любые изменения, внесенные непосредственно в узлы агентов через API IaaS, приводят к тому, что кластер перестает поддерживаться. Примените изменения с помощью собственных механизмов Kubernetes, таких как DaemonSet.
• Не изменяйте созданные системой метаданные. Можно добавлять метаданные, такие как теги и метки, но изменение любых метаданных, созданных системой, делает кластер неподдерживаемым.

Разделение ответственности

В следующей матрице представлена сводка зон ответственности за поддержку в рамках кластера AKS, а также сопоставление AKS с самостоятельно управляемым Kubernetes, который вы запускаете в локальной инфраструктуре. В AKS Microsoft управляет плоскостью управления и базовой платформой. Вы управляете конфигурацией узла, рабочими нагрузками, конфигурацией сети и данными. Общие области , где Microsoft предоставляет и поддерживает возможность, и вы можете включить, настроить или запланировать ее. Используйте матрицу в качестве пошагового руководства, а затем ознакомьтесь с подробными разделами, которые следуют за конкретными сведениями о поддержке.

Чтобы прочитать матрицу, используйте следующий ключ:

Для общих областей в следующей матрице в таблице показано, что Microsoft предоставляет и за что отвечаете:

Покрытие поддержки AKS

В следующих разделах описаны поддерживаемые и неподдерживаемые сценарии технической поддержки AKS.

Поддерживаемые сценарии

Microsoft предоставляет техническую поддержку для следующих примеров:

Любые действия с кластером, выполняемые Microsoft или AKS, выполняются с вашего согласия в рамках встроенной роли Kubernetes aks-service-rolebinding и встроенной привязки роли aks-service, которая связывает эту роль с удостоверением службы служба поддержки Майкрософт aks-support. Эта роль позволяет AKS устранять и диагностировать проблемы с кластером, но не может изменять разрешения или создавать роли или привязки ролей или выполнять другие действия с высокими привилегиями. Доступ к роли доступен только в рамках активных заявок в службу поддержки при условиях доступа по требованию (JIT).

Неподдерживаемые сценарии

Microsoft не предоставляет техническую поддержку для следующих сценариев.

Некоторые из этих сценариев содержат дополнительные нюансы относительно того, в чём Microsoft всё ещё может помочь. Дополнительные сведения см. в разделе "Сведения о неподдерживаемых сценариях".

Сведения о неподдерживаемых сценариях

Несколько неподдерживаемых сценариев добавили нюансы о том, с чем Microsoft по-прежнему может помочь:

• Использование Kubernetes. служба поддержки Майкрософт не предоставляет рекомендации по созданию пользовательских контроллеров входящего трафика, использованию рабочих нагрузок приложений или применению пакетов программного обеспечения или средств, отличных от Microsoft или программ с открытым кодом. Поддержка Microsoft может предоставлять рекомендации по функциям кластера AKS, его настройке и оптимизации (например, по вопросам и процедурам операций с Kubernetes).
• Проекты с открытым кодом, отличные от Microsoft. Эти проекты не предоставляются в составе плоскости управления Kubernetes и не развертываются вместе с кластерами AKS; к ним могут относиться Istio, Helm, Envoy и другие. Microsoft может оказывать поддержку по мере возможностей для таких проектов, как Helm. В случаях, когда средство интегрируется с облачным провайдером Azure для Kubernetes или проблема связана с другими ошибками, специфичными для AKS, Microsoft предоставляет поддержку для примеров и приложений из документации Microsoft.
• Настройки сети. Для настроек, отличных от перечисленных в документации AKS, служба поддержки Майкрософт не могут настраивать устройства или виртуальные устройства, предназначенные для предоставления исходящего трафика для кластера, например виртуальных сетей или брандмауэров. На основе наилучших усилий служба поддержки Майкрософт может рекомендовать конфигурацию, необходимую для Брандмауэр Azure, но не для других устройств, отличных от Microsoft.
• Контроллеры входящего трафика, не относящиеся к Microsoft. Для контроллеров, таких как nginx, kong или traefik, это включает проблемы с функциональностью, возникающие после операций, специфичных для AKS, например когда контроллер ingress перестаёт работать после обновления версии Kubernetes, что может быть вызвано несовместимостью между версией контроллера ingress и новой версией Kubernetes. Для полностью поддерживаемого варианта рассмотрите вариант с контроллером входящего трафика под управлением Microsoft.
• Пользовательские скрипты DaemonSet. Хотя использование DaemonSet является рекомендуемым подходом для настройки, изменения или установки стороннего программного обеспечения на узлах агента, если параметров файла конфигурации недостаточно, служба поддержки Microsoft не может устранять неполадки, возникающие из-за пользовательских сценариев, вследствие их специфического характера.
• Резервная и упреждающая поддержка. служба поддержки Майкрософт обеспечивает реактивную поддержку для решения активных проблем. Резервная или упреждающая поддержка для устранения операционных рисков, повышения доступности и оптимизации производительности не охватывается. Клиенты, отвечающие требованиям, могут обратиться к своей группе по работе с клиентами, чтобы их выдвинули на участие в службе управления событиями Azure — платной службе, которая включает заблаговременную оценку рисков решения и сопровождение во время мероприятия.
• CVE, зарегистрированные менее 30 дней назад. Если вы используете обновлённый VHD, то в образе контейнера не должно быть уязвимостей CVE, для которых исправление от поставщика доступно уже более 30 дней. Вы несете ответственность за обновление VHD, затем за фильтрацию отчета CVE и предоставление службе поддержки Microsoft списка только тех идентификаторов CVE, для которых исправление от поставщика было выпущено более 30 дней назад. Затем Microsoft проводит внутреннюю работу над компонентами, для которых исправление от поставщика было выпущено более 30 дней назад. Microsoft предоставляет поддержку, связанную с CVE, только для компонентов, управляемых Microsoft, таких как образы узлов AKS и управляемые образы контейнеров, развернутые во время создания кластера или с помощью управляемой надстройки. Дополнительные сведения см. в статье об управлении уязвимостями для Azure Kubernetes Service (AKS).
• Настраиваемые примеры кода. служба поддержки Майкрософт могут предоставлять и просматривать небольшие примеры кода в случае поддержки, чтобы продемонстрировать, как использовать функции продукта Microsoft, но не могут предоставлять пользовательские примеры кода, относящиеся к вашей среде или приложению.
• Настраиваемая логика Политика Azure. Служба поддержки Microsoft может предоставить общие рекомендации о том, как пользовательские определения Политика Azure применяются и оцениваются в AKS. Подробная диагностика логики политик, созданных клиентом (включая политики на основе Rego), например причин, по которым конкретная политика разрешает или запрещает рабочую нагрузку, как правило, не входит в сферу поддержки.

Создание собственных границ поддержки CNI

Если вы развертываете кластер с собственным CNI (BYOCNI) с помощью --network-plugin none, служба поддержки Microsoft не сможет помочь с проблемами, связанными с CNI. Вы несете ответственность за жизненный цикл подключаемого модуля CNI, и вы должны получить поддержку от поставщика подключаемого модуля CNI. Microsoft по-прежнему оказывает поддержку по вопросам, не связанным с CNI.

Дополнительные сведения см. в статье "Создание собственного CNI(BYOCNI)".

Поддержка AKS для узлов агента

В следующих разделах описаны обязанности Microsoft и клиента для узлов агента AKS.

В следующей таблице приведены краткие сведения об обязанностях узла агента. В следующих разделах приведены подробные сведения.

Обязанности Microsoft за узлы агентов AKS

Microsoft и вы несете ответственность за узлы агента Kubernetes, где:

• Базовый образ ОС имеет необходимые дополнения, такие как мониторинг и сетевые агенты.
• Исправления ОС устанавливаются на узлы агента автоматически.
• Система автоматически исправляет проблемы с компонентами уровня управления Kubernetes, которые выполняются на узлах агента. Эти компоненты включают следующие элементы:
  • kube-proxy
  • Сетевые туннели, предоставляющие пути связи к плоскости управления Kubernetes
  • kubelet
  • containerd

Если узел агента не работает, AKS может перезапустить отдельные компоненты или весь узел агента. Эти операции перезапуска автоматизированы и предоставляют автоматическое восстановление для распространенных проблем. Дополнительные сведения о механизмах автоматического восстановления см. в разделе "Автоматическое восстановление узла".

Обязанности клиента для узлов агента AKS

Microsoft предоставляет исправления и новые образы для узлов изображений каждую неделю. Чтобы обеспечить актуальность компонентов ОС узла агента и среды выполнения, следует регулярно применять эти исправления и обновления вручную или автоматически. Microsoft не поддерживает образы узлов старше 90 дней. Дополнительные сведения можно найти здесь

• Обновление образов узлов AKS вручную.
• Автоматическое обновление образов узлов AKS.

Аналогичным образом AKS регулярно выпускает новые исправления Kubernetes и дополнительные версии. Это относится к обновлениям, которые содержат улучшения системы безопасности или функциональности Kubernetes. Вы несете ответственность за обновление версии Kubernetes кластера и в соответствии с политикой версий поддержки AKS Kubernetes.

Пользовательская настройка узлов агента

AKS управляет жизненным циклом и операциями узлов-агентов от лица пользователя, и изменение ресурсов IaaS, связанных с узлами-агентами, не поддерживается. Пример неподдерживаемой операции — настройка масштабируемого набора виртуальных машин пула узлов путем ручного изменения конфигураций на портале Azure или из API.

Для конфигураций или пакетов, относящихся к рабочей нагрузке, AKS рекомендует использовать Kubernetes DaemonSet.

Использование привилегированных контейнеров DaemonSet и init Kubernetes позволяет настраивать, изменять или устанавливать стороннее программное обеспечение на узлах-агентах кластера. Примеры таких настроек включают добавление пользовательского программного обеспечения проверки безопасности или обновление параметров sysctl.

Хотя этот путь рекомендуется, если применяются указанные выше требования, инженерная служба и поддержка AKS не могут помочь в устранении неполадок или диагностике изменений, которые делают узел недоступным из-за развернутого вами DaemonSet.

Проблемы с безопасностью и установка исправлений

Если ошибка безопасности обнаружена в одном или нескольких управляемых компонентах AKS, команда AKS исправляет все затронутые кластеры, чтобы устранить проблему. Кроме того, команда AKS предоставляет рекомендации по обновлению.

Для узлов агента, затронутых недостатком безопасности, Microsoft уведомляет вас о воздействии и шагах по устранению или смягчению проблемы безопасности.

Обслуживание узлов и доступ к ним

Хотя вы можете войти в узлы агента и изменить их, не выполняйте эту операцию. Изменения могут сделать кластер неподдерживаемым.

Сетевые порты, доступ и группы сетевой безопасности

Группы безопасности сети (NSG) можно настроить только в пользовательских подсетях. В следующей таблице показано, где можно настроить NSG:

Для AKS существуют требования к исходящему трафику для определённых конечных точек. Чтобы контролировать исходящий трафик и обеспечить необходимое подключение, ознакомьтесь с ограничением исходящего трафика. Для Ingress требования зависят от приложений, развернутых в кластере.

Остановленные, выделенные и неготовые узлы

В следующей таблице приведены сведения о том, что происходит с кластером AKS в каждом состоянии жизненного цикла и связанной временной шкале:

Если вашим рабочим нагрузкам AKS не требуется непрерывная работа, остановите кластер AKS; при этом будут остановлены все пулы узлов и управляющая плоскость, а затем снова запустите его при необходимости. Удаление узлов вручную с помощью API IaaS, Azure CLI или портала Azure не поддерживается для остановки кластера.

AKS резервирует право архивировать плоскости управления, настроенные вне рекомендаций по поддержке в течение 30 дней или более. AKS хранит резервные копии метаданных кластера etcd и может повторно выделить кластер при любой операции PUT, которая снова переводит его в поддерживаемое состояние, например, при обновлении или масштабировании до активных узлов агента.

Неподдерживаемые функции альфа-и бета-версии Kubernetes

AKS поддерживает стабильные и бета-функции в исходном проекте Kubernetes, но не поддерживает альфа-функции, если иное не указано в документации. В следующей таблице приведены сведения о поддержке по типу компонента:

Предварительные версии функций или флаги функций

Для функций и функций, требующих расширенного тестирования и отзывов пользователей, корпорация Майкрософт выпускает новые предварительные версии функций или функций за флагом функции. Считайте эти функции предварительными или функциями бета-версии.

Функции предварительной версии или функции с флагами не предназначены для производственной среды. Регулярные изменения интерфейсов API и поведения компонентов, исправления ошибок и другие изменения могут привести к нестабильной работе и простоям кластеров.

Функции в общедоступной предварительной версии подпадают под поддержку наилучших усилий, так как эти функции находятся в предварительном просмотре и не предназначены для производственной среды. Группы технической поддержки AKS предоставляют поддержку только в рабочие часы. Дополнительные сведения см. в разделе Azure вопросы и ответы о поддержке.

Ошибки и проблемы на ранних этапах разработки

Учитывая скорость разработки в вышестоящем проекте Kubernetes, ошибки неизбежны. Некоторые из этих ошибок не могут быть исправлены или обойдены в системе AKS. Вместо этого исправления ошибок требуют более крупных поправок для исходных проектов (таких как Kubernetes, операционные системы узлов или агентов, а также ядро). Для компонентов, принадлежащих Microsoft (например, таких как облачный провайдер Azure), сотрудники AKS и Azure стремятся устранять проблемы в сообществе на более высоком уровне.

Если первопричина проблемы технической поддержки возникает из-за одной или нескольких вышестоящих ошибок, служба поддержки AKS и инженерные команды будут:

• Выявят и сопоставят вышестоящие ошибки с любыми дополнительными сведениями, которые помогут объяснить, почему эта проблема влияет на кластер или рабочую нагрузку. Клиенты получают ссылки на необходимые репозитории, чтобы они могли просматривать проблемы и видеть, когда новый выпуск предоставляет исправления.
• Предоставьте возможные обходные пути или меры по снижению. Если проблему можно смягчить, в репозитории AKS вносится запись о известной проблеме. Объяснение по подаче известных проблем гласит:
  • суть проблемы, включая ссылки на вышестоящее ошибки;
  • Обходное решение и сведения об обновлении или другой сохраняемости решения.
  • приблизительные сроки включения проблемы в соответствии с графиком выпуска вышестоящего проекта.

Связанные материалы

• Ценовые категории AKS
• Поддерживаемые версии Kubernetes в AKS
• Долгосрочная поддержка AKS
• Автоматическое обновление кластера AKS
• Автоматическое обновление образов ОС узла AKS
• Управление уязвимостями для AKS
• Автоматическое восстановление узла AKS
• Принести собственный CNI (BYOCNI)