Руководство по обновлению Azure Linux с помощью узлов OS Guard (предварительная версия) в кластере Azure Kubernetes Service (AKS)

Azure Linux с OS Guard предоставляет обновления с помощью обновленных образов узлов и автоматических обновлений пакетов. В рамках жизненного цикла приложения и кластера рекомендуется обновлять кластеры и защищать их, включив обновления для кластера. Вы можете включить автоматическое обновление образа узла, чтобы кластеры использовали последнюю версию Linux с образом OS Guard при масштабировании. Вы также можете вручную обновить образ узла в кластере.

В этом руководстве — часть пятая из пяти — вы узнаете, как:

Необходимые условия

• В предыдущих руководствах вы создали и развернули Azure Linux с кластером OS Guard. Чтобы завершить работу с этим руководством, вам потребуется существующий кластер. Если вы еще не выполнили этот шаг и хотите продолжить работу, ознакомьтесь с руководством 1. Создание кластера с помощью Azure Linux с OS Guard для AKS.
• Вам нужна последняя версия Azure CLI. Используйте команду az version для поиска версии. Чтобы обновить до последней версии, используйте az upgrade команду.

Azure Linux: особенности и ограничения OS Guard

Прежде чем начать, ознакомьтесь со следующими рекомендациями и ограничениями для Azure Linux с OS Guard (предварительная версия):

• Для работы с Azure Linux и OS Guard требуется версия Kubernetes 1.32.0 или выше.
• Все образы Azure Linux с OS Guard включают в себя Федеральный стандарт обработки информации (FIPS) и доверенный запуск.
• Azure CLI и шаблоны ARM являются единственными поддерживаемыми методами развертывания для Azure Linux с OS Guard в AKS в предварительной версии. PowerShell и Terraform не поддерживаются.
• Образы Arm64 не поддерживаются в Azure Linux с OS Guard на AKS в режиме предварительной версии.
• NodeImage и None являются единственными поддерживаемыми каналами обновления операционной системы (ОС) для Azure Linux с OS Guard в AKS. Unmanaged и SecurityPatch несовместимы с Azure Linux с OS Guard из-за неизменяемого каталога /usr.
• Потоковая передача артефактов не поддерживается.
• Песочница Pod не поддерживается.
• Конфиденциальные виртуальные машины (CVM) не поддерживаются.
• Виртуальные машины 1-го поколения не поддерживаются.

Обновление кластера вручную

Обновите вручную образ узла в вашем кластере, используя команду az aks nodepool upgrade.

az aks nodepool upgrade --resource-group $RESOURCE_GROUP --cluster-name $CLUSTER_NAME --name <node-pool-name>

Автоматическое обновление кластера

Автоматическое обновление функционально совпадает с обновлениями вручную. Выбранный канал определяет время обновления. При внесении изменений в автоматическое обновление разрешите 24 часам, чтобы изменения вступили в силу.

Задайте канал автоматического обновления в существующем кластере с помощью az aks update команды с параметром --auto-upgrade-channel . В следующем примере для существующего кластера устанавливается канал автоматического обновления stable:

az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --auto-upgrade-channel stable

Пример выходных данных:

{
  "id": "/subscriptions/xxxxx/resourceGroups/testAzureLinuxResourceGroup",
  "location": "WestUS2",
  "name": "testAzureLinuxCluster",
  "properties": {
    "autoUpgradeChannel": "stable",
    "provisioningState": "Succeeded"
  }
}

Дополнительные сведения о каналах обновления см. в разделе "Использование автоматического обновления кластера".

Автоматическое обновление образа ОС узла

AKS предоставляет несколько каналов автоматического обновления, предназначенных для своевременного обновления системы безопасности ос на уровне узла. Этот канал отличается от обновлений версий Kubernetes на уровне кластера и заменяет его.

Установите канал обновления ОС узла для существующего кластера с использованием команды az aks update с параметром --node-os-upgrade-channel. Следующий пример задает канал NodeImage обновления ОС узла для существующего кластера:

az aks update --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --node-os-upgrade-channel NodeImage

Пример выходных данных:

{
  "id": "/subscriptions/xxxxx/resourceGroups/testAzureLinuxResourceGroup",
  "location": "WestUS2",
  "name": "testAzureLinuxCluster",
  "properties": {
    "nodeOsUpgradeChannel": "NodeImage",
    "provisioningState": "Succeeded"
  }
}

Дополнительные сведения о каналах обновления узлов см. в разделе "Использование автоматического обновления ОС узла".

Очистите ресурсы

Так как это руководство является последней частью серии, может потребоваться удалить Azure Linux с кластером OS Guard. Узлы Kubernetes выполняются на Azure виртуальных машинах и продолжают взимать плату, даже если кластер не используется.

Удалите группу ресурсов Azure и все связанные ресурсы с помощью команды az group delete.

az group delete --name $RESOURCE_GROUP --yes --no-wait

Дальнейшие действия

В этом руководстве вы обновили кластер узла контейнеров Azure Linux.

Дополнительные сведения о Azure Linux с OS Guard см. в обзоре Azure Linux с OS Guard.