Справочник по поставщику kubernetes Конфигурация приложений Azure

В следующем справочнике описаны свойства, поддерживаемые поставщиком v2.3.0 Kubernetes конфигурации приложений Azure или более поздней версии. Дополнительные сведения об изменении см . в заметках о выпуске.

Свойства

Ресурс AzureAppConfigurationProvider содержит следующие дочерние свойства верхнего уровня в разделе spec. Необходимо endpoint указать либо connectionStringReference .

Свойство имеет следующее дочернее spec.target свойство.

spec.target.configMapData Если свойство не задано, созданный ConfigMap заполняется списком значений ключей, полученных из Конфигурация приложений Azure, что позволяет использовать ConfigMap в качестве переменных среды. Обновите это свойство, если вы хотите использовать ConfigMap в качестве подключенного файла. Это свойство имеет следующие дочерние свойства.

Свойство spec.auth не требуется, если строка подключения хранилища Конфигурация приложений предоставляется путем задания spec.connectionStringReference свойства. В противном случае для проверки подлинности используется одно из удостоверений, субъекта-службы, удостоверения рабочей нагрузки или управляемого удостоверения. У spec.auth него есть следующие дочерние свойства. Следует указать только одно из них. Если ни один из них не задан, используется управляемое удостоверение, назначаемое системой масштабируемого набора виртуальных машин.

Свойство имеет следующее дочернее spec.auth.workloadIdentity свойство.

У spec.configuration него есть следующие дочерние свойства.

spec.configuration.selectors Если свойство не задано, все значения ключей без метки скачиваются. Он содержит массив объектов селектора, которые имеют следующие дочерние свойства. Обратите внимание, что значения ключей последнего селектора имеют приоритет и переопределяют все перекрывающиеся ключи из предыдущих селекторов.

Свойство spec.configuration.refresh имеет следующие дочерние свойства.

Это spec.configuration.refresh.monitoring.keyValues массив объектов, которые имеют следующие дочерние свойства.

Свойство spec.secret имеет следующие дочерние свойства. Требуется, если должны быть скачаны ссылки на Key Vault. Дополнительные сведения о поддержке встроенных типов секретов Kubernetes см. в разделе "Типы секретов".

Свойство имеет следующее дочернее spec.secret.target свойство.

spec.secret.target.secretData Если свойство не задано, созданный секрет заполняется списком значений ключей, полученных из Key Vault, что позволяет использовать секрет в качестве переменных среды. Обновите это свойство, если вы хотите использовать секрет в качестве подключенного файла. Это свойство имеет следующие дочерние свойства.

spec.secret.auth Если свойство не задано, используется управляемое удостоверение, назначаемое системой. У него есть следующие дочерние свойства.

Метод проверки подлинности каждого Key Vault можно указать со следующими свойствами. Одно из managedIdentityClientIdних servicePrincipalReference или workloadIdentity должно быть предоставлено.

Свойство spec.secret.refresh имеет следующие дочерние свойства.

Свойство spec.featureFlag имеет следующие дочерние свойства. Требуется, если ожидается, что скачиваются флаги компонентов.

spec.featureFlag.selectors Если свойство не задано, флаги компонентов не скачиваются. Он содержит массив объектов селектора, которые имеют следующие дочерние свойства. Обратите внимание, что флаги функций последнего селектора имеют приоритет и переопределяют все перекрывающиеся ключи из предыдущих селекторов.

Свойство spec.featureFlag.refresh имеет следующие дочерние свойства.

Установка

Используйте следующую helm install команду, чтобы установить поставщик Конфигурация приложений Azure Kubernetes. Полный список параметров и их значения по умолчанию см . в helm-values.yaml . Можно переопределить значения по умолчанию, передав --set флаг в команду.

helm install azureappconfiguration.kubernetesprovider \
    oci://mcr.microsoft.com/azure-app-configuration/helmchart/kubernetes-provider \
    --namespace azappconfig-system \
    --create-namespace

Автомасштабирование

По умолчанию автомасштабирование отключено. Однако при наличии нескольких ресурсов для создания нескольких AzureAppConfigurationProvider конфигураций и секретов можно включить автомасштабирование по горизонтали pod, установив для autoscaling.enabledпараметра true значение .

helm install azureappconfiguration.kubernetesprovider \
    oci://mcr.microsoft.com/azure-app-configuration/helmchart/kubernetes-provider \
    --namespace azappconfig-system \
    --create-namespace
    --set autoscaling.enabled=true

сбор данных

Программное обеспечение может собирать сведения о вас и использовании программного обеспечения и отправлять его в Корпорацию Майкрософт. Корпорация Microsoft может использовать ее для предоставления услуг и улучшения своих продуктов и служб. Вы можете отключить данные телеметрии, задав requestTracing.enabled=false при установке поставщика Конфигурация приложений Azure Kubernetes. Существуют также некоторые функции программного обеспечения, которые позволяют вам и Корпорации Майкрософт собирать данные от пользователей ваших приложений. Если вы используете эти функции, необходимо соблюдать применимые законы, включая предоставление соответствующих уведомлений пользователям приложений вместе с копией заявления о конфиденциальности Майкрософт. С нашим заявлением о конфиденциальности можно ознакомиться на веб-сайте https://go.microsoft.com/fwlink/?LinkID=824704. Дополнительные сведения о сборе и использовании данных см. в документации справки и нашем заявлении о конфиденциальности. Использование вами данного программного обеспечения означает ваше согласие с этими принципами.

Примеры

Проверка подлинности

Использование управляемого удостоверения, назначаемого системой масштабируемого набора виртуальных машин

1. Включите управляемое удостоверение, назначаемое системой, в масштабируемом наборе виртуальных машин, используемом кластером Служба Azure Kubernetes (AKS).

2. Предоставьте управляемому удостоверению, назначаемого системой, Конфигурация приложений роль средства чтения данных в Конфигурация приложений Azure.

3. Разверните следующий пример AzureAppConfigurationProvider ресурса в кластере AKS.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
   

Использование управляемого удостоверения, назначаемого пользователем масштабируемого набора виртуальных машин

1. Создайте управляемое удостоверение , назначаемое пользователем, и запишите его идентификатор клиента после создания.

2. Назначьте управляемому удостоверению, назначенному пользователем, масштабируемый набор виртуальных машин, используемый кластером Служба Azure Kubernetes (AKS).

3. Предоставьте управляемому удостоверению, назначаемого пользователем, Конфигурация приложений роль средства чтения данных в Конфигурация приложений Azure.

4. spec.auth.managedIdentityClientId Задайте для свойства идентификатор клиента управляемого удостоверения, назначаемого пользователем, в следующем примере AzureAppConfigurationProvider ресурса и разверните его в кластере AKS.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       managedIdentityClientId: <your-managed-identity-client-id>
   

Использование субъекта-службы

1. Создание субъект-службы

2. Предоставьте субъекту-службе роль средства чтения данных Конфигурация приложений в Конфигурация приложений Azure.

3. Создайте секрет Kubernetes в том же пространстве имен, что AzureAppConfigurationProvider и ресурс, и добавьте azure_client_id, azure_client_secret и azure_tenant_id субъекта-службы в секрет.

4. spec.auth.servicePrincipalReference Задайте свойству имя секрета в следующем примере AzureAppConfigurationProvider ресурса и разверните его в кластере Kubernetes.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       servicePrincipalReference: <your-service-principal-secret-name>
   

Использование удостоверения рабочей нагрузки

1. Включите удостоверение рабочей нагрузки в кластере Служба Azure Kubernetes (AKS).

2. Получите URL-адрес издателя OIDC кластера AKS.

3. Создайте управляемое удостоверение , назначаемое пользователем, и запишите его идентификатор клиента, идентификатор клиента, имя и группу ресурсов.

4. Предоставьте управляемому удостоверению, назначаемого пользователем, Конфигурация приложений роль средства чтения данных в Конфигурация приложений Azure.

5. Создайте учетную запись службы, добавив файл YAML (например, serviceAccount.yaml) со следующим содержимым в каталог, содержащий файлы развертывания AKS. Учетная запись службы будет создана при применении всех изменений развертывания к кластеру AKS (например, с помощью kubectl apply). Замените <your-managed-identity-client-id> идентификатором клиента и <your-managed-identity-tenant-id> идентификатором клиента управляемого удостоверения, назначаемого пользователем, который только что был создан. Замените <your-service-account-name> предпочитаемым именем.

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: <your-service-account-name>
     annotations:
       azure.workload.identity/client-id: <your-managed-identity-client-id>
       azure.workload.identity/tenant-id: <your-managed-identity-tenant-id>
   

6. Создайте учетные данные федеративного удостоверения для управляемого удостоверения, назначаемого пользователем, с помощью Azure CLI. Замените <user-assigned-identity-name> именем и <resource-group> группой ресурсов только что созданного управляемого удостоверения, назначаемого пользователем. Замените <aks-oidc-issuer> URL-адрес издателя OIDC кластера AKS. Замените <your-service-account-name> именем только что созданной учетной записи службы. Замените <federated-identity-credential-name> предпочитаемое имя для учетных данных федеративного удостоверения.

   az identity federated-credential create --name "<federated-identity-credential-name>" --identity-name "<user-assigned-identity-name>" --resource-group "<resource-group>" --issuer "<aks-oidc-issuer>" --subject system:serviceaccount:default:<your-service-account-name> --audience api://AzureADTokenExchange
   

   Обратите внимание, что субъект федеративных учетных данных удостоверения должен соответствовать этому формату: system:serviceaccount:<service-account-namespace>:<service-account-name>

7. spec.auth.workloadIdentity.serviceAccountName Задайте для свойства имя учетной записи службы в следующем примере AzureAppConfigurationProvider ресурса. Убедитесь, что AzureAppConfigurationProvider ресурс и учетная запись службы находятся в одном пространстве имен.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     endpoint: <your-app-configuration-store-endpoint>
     target:
       configMapName: configmap-created-by-appconfig-provider
     auth:
       workloadIdentity:
         serviceAccountName: <your-service-account-name>
   

Использование строка подключения

1. Создайте секрет Kubernetes в том же пространстве имен, что AzureAppConfigurationProvider и ресурс, и добавьте Конфигурация приложений Azure строка подключения с ключом azure_app_configuration_connection_string в секрете.

2. spec.connectionStringReference Задайте свойству имя секрета в следующем примере AzureAppConfigurationProvider ресурса и разверните его в кластере Kubernetes.

   apiVersion: azconfig.io/v1
   kind: AzureAppConfigurationProvider
   metadata:
     name: appconfigurationprovider-sample
   spec:
     connectionStringReference: <your-connection-string-secret-name>
     target:
       configMapName: configmap-created-by-appconfig-provider
   

Выбор "ключ-значение"

selectors Используйте свойство для фильтрации значений ключей, которые нужно скачать из Конфигурация приложений Azure.

В следующем примере скачиваются все значения ключей без метки.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider

В следующем примере два селектора используются для получения двух наборов значений ключей, каждый из которых содержит уникальные метки. Важно отметить, что значения последнего селектора имеют приоритет и переопределяют все перекрывающиеся ключи из предыдущих селекторов.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
      - keyFilter: app1*
        labelFilter: development

Моментальный снимок можно использовать отдельно или вместе с другими селекторами "ключ-значение". В следующем примере вы загружаете значения ключей общей конфигурации из моментального снимка, а затем переопределяете некоторые из них с ключевыми значениями для разработки.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - snapshotName: app1_common_configuration
      - keyFilter: app1*
        labelFilter: development

Обрезка префикса ключа

В следующем примере свойство используется trimKeyPrefixes для обрезки двух префиксов из имен ключей перед их добавлением в созданный ConfigMap.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    trimKeyPrefixes: [prefix1, prefix2]

Обновление конфигурации

При внесении изменений в данные в Конфигурация приложений Azure может потребоваться, чтобы эти изменения обновлялись автоматически в кластере Kubernetes. В следующем примере поставщик Kubernetes проверяет конфигурацию приложений Azure для обновления каждую минуту. Связанные ConfigMap и Secret создаются повторно только при обнаружении изменений. Дополнительные сведения об изменениях конфигурации мониторинга см. в рекомендациях по обновлению конфигурации.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
    refresh:
      enabled: true
      interval: 1m

Ссылки на Key Vault

Проверка подлинности

В следующем примере один Key Vault проходит проверку подлинности с помощью субъекта-службы, а все остальные Key Vault проходят проверку подлинности с помощью управляемого удостоверения, назначаемого пользователем.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>
      keyVaults:
        - uri: <your-key-vault-uri>
          servicePrincipalReference: <name-of-secret-containing-service-principal-credentials>

Типы секретов

В настоящее время поддерживаются два встроенных типа секретов Kubernetes, непрозрачные и TLS. Секреты, разрешенные из ссылок Key Vault, сохраняются в качестве типа непрозрачного секрета по умолчанию. Если у вас есть ссылка на Key Vault на сертификат и хотите сохранить его в качестве типа секрета TLS, можно добавить тег со следующим именем и значением в ссылку Key Vault в Конфигурация приложений Azure. Таким образом, секрет с kubernetes.io/tls типом будет создан и назван в честь ключа ссылки Key Vault.

В следующих примерах показано, как данные заполняются в созданных секретах с различными типами.

Если хранилище Конфигурация приложений имеет следующие ссылки на Key Vault:

В следующем примере создаются секреты непрозрачных и TLS-типов.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>

Созданные секреты заполняются следующими данными:

name: secret-created-by-appconfig-provider
type: Opaque
data:
  app1-secret1: <secret value retrieved from Key Vault>
  app1-secret2: <secret value retrieved from Key Vault>

name: app1-certificate
type: kubernetes.io/tls
data:
  tls.crt: |
    <certificate data retrieved from Key Vault>
  tls.key: |
    <certificate key retrieved from Key Vault>

Обновление секретов из Key Vault

Обновление секретов из Key Vault обычно требует перезагрузки соответствующих ссылок Key Vault из Конфигурация приложений Azure. Однако с spec.secret.refresh помощью свойства можно обновить секреты из Key Vault независимо. Это особенно полезно для того, чтобы рабочая нагрузка автоматически взяла все обновленные секреты из Key Vault во время смены секретов. Обратите внимание, что для загрузки последней версии секрета ссылка на Key Vault не должна быть секретом версии.

В следующем примере обновляются все неверсионные секреты из Key Vault каждый час.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>
    refresh:
      enabled: true
      interval: 1h

Флаги компонентов

В следующем примере флаги функций с ключами, начинающийся с app1 и эквивалентные меткам common , загружаются и обновляются каждые 10 минут. Обратите внимание, что для заполнения флагов функций в созданном ConfigMap configMapData.type свойство должно быть json или yaml.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: json
      key: appSettings.json
  featureFlag:
    selectors:
      - keyFilter: app1*
        labelFilter: common
    refresh:
      enabled: true
      interval: 10m

Обновление по запросу

Хотя вы можете настроить автоматическое обновление данных, иногда может потребоваться активировать обновление по запросу, чтобы получить последние данные из Конфигурация приложений и Key Vault. Это можно сделать, добавив или обновив все заметки в metadata.annotations разделе .AzureAppConfigurationProvider Затем поставщик Kubernetes примирит и обновит ConfigMap и Secret последние данные из хранилища Конфигурация приложений и Key Vault.

В следующем примере AzureAppConfigurationProvider обновляется новая заметка. После изменения примените изменения, использующиеся kubectl apply для активации обновления по запросу.

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
  annotations:
    key1: value1
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
  configuration:
    selectors:
      - keyFilter: app1*
        labelFilter: common
  secret:
    target:
      secretName: secret-created-by-appconfig-provider
    auth:
      managedIdentityClientId: <your-user-assigned-managed-identity-client-id>

Использование ConfigMap

Приложения, работающие в Kubernetes, обычно используют ConfigMap как переменные среды или как файлы конфигурации. configMapData.type Если свойство отсутствует или имеет значение по умолчанию, ConfigMap заполняется элементизованным списком данных, извлеченных из Конфигурация приложений Azure, которые можно легко использовать в качестве переменных среды. configMapData.type Если для свойства задано значение json, yaml или properties, данные, полученные из Конфигурация приложений Azure, группируются в один элемент с именем ключа, указанным configMapData.key свойством в созданном ConfigMap, который можно использовать в качестве подключенного файла.

В следующих примерах показано, как данные заполняются в созданном ConfigMap с разными параметрами configMapData.type свойства.

Если хранилище Конфигурация приложений имеет следующие ключевые значения:

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider

data:
  key1: value1
  key2: value2
  key3: value3

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: json
      key: appSettings.json

data:
  appSettings.json: >-
    {"key1":"value1","key2":"value2","key3":"value3"}

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: yaml
      key: appSettings.yaml

data:
  appSettings.yaml: >-
    key1: value1
    key2: value2
    key3: value3

apiVersion: azconfig.io/v1
kind: AzureAppConfigurationProvider
metadata:
  name: appconfigurationprovider-sample
spec:
  endpoint: <your-app-configuration-store-endpoint>
  target:
    configMapName: configmap-created-by-appconfig-provider
    configMapData:
      type: properties
      key: app.properties

data:
  app.properties: >-
    key1=value1
    key2=value2
    key3=value3