クイック スタート: カスタム仮想ネットワークにプライベート Azure Kubernetes Service (AKS)自動クラスターを作成する

仮想ネットワークを作成する

az network vnet create コマンドを使用して、仮想ネットワークを作成します。 az network vnet subnet create コマンドを使用して、API サーバー サブネットとクラスター サブネットを作成します。

AKS Automatic でカスタム仮想ネットワークを使用する場合は、API サーバー サブネットを作成して Microsoft.ContainerService/managedClusters に委任する必要があります。このサブネットには、API サーバー ポッドと内部ロード バランサーを挿入するアクセス許可が AKS サービスに付与されます。 このサブネットは他のワークロードには使用できませんが、同じ仮想ネットワーク内にある複数の AKS クラスターに対して使用できます。 サポートされる API サーバーのサブネットの最小サイズは /28 です。

az network vnet create --name ${VNET_NAME} \
--resource-group ${RG_NAME} \
--location ${LOCATION} \
--address-prefixes 172.19.0.0/16

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name apiServerSubnet \
--delegations Microsoft.ContainerService/managedClusters \
--address-prefixes 172.19.0.0/28

az network vnet subnet create --resource-group ${RG_NAME} \
--vnet-name ${VNET_NAME} \
--name clusterSubnet \
--address-prefixes 172.19.1.0/24

ネットワーク セキュリティ グループ ルール

既定では、仮想ネットワーク内のすべてのトラフィックが許可されます。 ただし、異なるサブネット間のトラフィックを制限するネットワーク セキュリティ グループ (NSG) 規則を追加した場合は、NSG セキュリティ規則で次の種類の通信が許可されていることを確認します。

マネージド ID を作成し、仮想ネットワークに対するアクセス許可を付与する

az identity create コマンドを使用してマネージド ID を作成し、プリンシパル ID を取得します。 コマンドを使用して、仮想ネットワークのaz role assignment createロールをマネージド ID に割り当てます。

az identity create \
--resource-group ${RG_NAME} \
 --name ${IDENTITY_NAME} \
 --location ${LOCATION}

IDENTITY_PRINCIPAL_ID=$(az identity show --resource-group ${RG_NAME} --name ${IDENTITY_NAME} --query principalId -o tsv)

az role assignment create \
--scope "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}" \
--role "Network Contributor" \
--assignee-object-id "${IDENTITY_PRINCIPAL_ID}" \
--assignee-principal-type ServicePrincipal

カスタム仮想ネットワークにプライベート AKS 自動クラスターを作成する

プライベート AKS 自動クラスターを作成するには、 az aks create コマンドを使用します。 --enable-private-cluster フラグの使用に注意してください。

az aks create \
--resource-group ${RG_NAME} \
--name ${CLUSTER_NAME} \
--location ${LOCATION} \
--apiserver-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/apiServerSubnet" \
--vnet-subnet-id "/subscriptions/${SUBSCRIPTION_ID}/resourceGroups/${RG_NAME}/providers/Microsoft.Network/virtualNetworks/${VNET_NAME}/subnets/clusterSubnet" \
--assign-identity "/subscriptions/${SUBSCRIPTION_ID}/resourcegroups/${RG_NAME}/providers/Microsoft.ManagedIdentity/userAssignedIdentities/${IDENTITY_NAME}" \
--sku automatic \
--enable-private-cluster \
--no-ssh-key

数分後、コマンドが完了し、クラスターに関する情報が JSON 形式で返されます。

クラスターに接続する

AKS 自動クラスターがプライベート クラスターとして作成されると、API サーバー エンドポイントにはパブリック IP アドレスがありません。 たとえば、kubectl 経由で API サーバーを管理するには、クラスターのAzure仮想ネットワークにアクセスできるマシン経由で接続する必要があります。 プライベート クラスターへのネットワーク接続を確立するには、いくつかの選択肢があります。

• az vm create フラグを指定した --vnet-name コマンドを使用して、AKS 自動クラスターと同じ仮想ネットワークに仮想マシンを作成します。
• 別の仮想ネットワークで仮想マシンを使用し、 仮想ネットワーク ピアリングを設定します。
• Express Route または VPN 接続を使用します。
• プライベート エンドポイント接続を使用します。

AKS クラスターと同じ仮想ネットワーク内に仮想マシンを作成するのが最も簡単なオプションです。 ExpressRoute と VPN はコストを増やし、ネットワークの複雑さを増やす必要があります。 仮想ネットワーク ピアリングを利用する場合、重複する範囲がないようにネットワーク CIDR 範囲を計画する必要があります。 詳細については、 プライベート クラスターに接続するためのオプション を参照してください。

Kubernetes クラスターを管理するには、Kubernetes のコマンドライン クライアントである kubectl を使います。 Azure Cloud Shellを使用する場合、kubectl は既にインストールされています。 kubectl をローカルにインストールするには、az aks install-cli コマンドを実行します。 AKS 自動クラスターは、Kubernetes ロールベースのアクセス制御 (RBAC) 用に Microsoft Entra ID で構成されます。

Azure CLIを使用してクラスターを作成すると、ユーザーには組み込みロールが割り当てられますAzure Kubernetes Service RBAC Cluster Admin。

kubectl コマンドを使用して、Kubernetes クラスターに接続するように を構成します。 このコマンドは、資格情報をダウンロードし、それを使用するように Kubernetes CLI を構成します。

az aks get-credentials --resource-group ${RG_NAME} --name ${CLUSTER_NAME}

kubectl get コマンドを使用して、ご利用のクラスターへの接続を確認します。 このコマンドでは、クラスター ノードの一覧が返されます。

kubectl get nodes

次の出力例は、ログインを求められる方法を示しています。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

ログインすると、次のサンプル出力にマネージド システム ノード プールが表示されます。 ノードの状態が [Ready] であることを確認してください。

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5

仮想ネットワークを作成する

このBicep ファイルは、仮想ネットワークを定義します。

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The address prefix of the virtual network.')
param addressPrefix string = '172.19.0.0/16'

@description('The name of the API server subnet.')
param apiServerSubnetName string = 'apiServerSubnet'

@description('The subnet prefix of the API server subnet.')
param apiServerSubnetPrefix string = '172.19.0.0/28'

@description('The name of the cluster subnet.')
param clusterSubnetName string = 'clusterSubnet'

@description('The subnet prefix of the cluster subnet.')
param clusterSubnetPrefix string = '172.19.1.0/24'

// Virtual network with an API server subnet and a cluster subnet
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' = {
    name: vnetName
    location: location
    properties: {
        addressSpace: {
            addressPrefixes: [ addressPrefix ]
        }
        subnets: [
            {
                name: apiServerSubnetName
                properties: {
                    addressPrefix: apiServerSubnetPrefix
                }
            }
            {
                name: clusterSubnetName
                properties: {
                    addressPrefix: clusterSubnetPrefix
                }
            }
        ]
    }
}

output apiServerSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, apiServerSubnetName)
output clusterSubnetId string = resourceId('Microsoft.Network/virtualNetworks/subnets', vnetName, clusterSubnetName)

Bicep ファイル virtualNetwork.bicep をローカル コンピューターに保存します.

Azure CLIを使用してBicep ファイルをデプロイします。

az deployment group create --resource-group <resource-group> --template-file virtualNetwork.bicep

既定では、仮想ネットワーク内のすべてのトラフィックが許可されます。 ただし、異なるサブネット間のトラフィックを制限するネットワーク セキュリティ グループ (NSG) 規則を追加した場合は、NSG セキュリティ規則で次の種類の通信が許可されていることを確認します。

マネージド ID の作成

このBicep ファイルは、ユーザー割り当てマネージド ID を定義します。

param location string = resourceGroup().location
param uamiName string = 'aksAutomaticUAMI'

resource userAssignedManagedIdentity 'Microsoft.ManagedIdentity/userAssignedIdentities@2023-01-31' = {
  name: uamiName
  location: location
}

output uamiId string = userAssignedManagedIdentity.id
output uamiPrincipalId string = userAssignedManagedIdentity.properties.principalId
output uamiClientId string = userAssignedManagedIdentity.properties.clientId

Bicep ファイルuami.bicepをローカルコンピューターに保存します。

Azure CLIを使用してBicep ファイルをデプロイします。

az deployment group create --resource-group <resource-group> --template-file uami.bicep

仮想ネットワーク経由でネットワーク共同作成者ロールを割り当てる

このBicep ファイルは、仮想ネットワーク経由のロールの割り当てを定義します。

@description('The name of the virtual network.')
param vnetName string = 'aksAutomaticVnet'

@description('The principal ID of the user assigned managed identity.')
param uamiPrincipalId string

// Get a reference to the virtual network
resource virtualNetwork 'Microsoft.Network/virtualNetworks@2023-09-01' existing ={
  name: vnetName
}

// Assign the Network Contributor role to the user assigned managed identity on the virtual network
// '4d97b98b-1d4f-4787-a291-c67834d212e7' is the built-in Network Contributor role definition
// See: https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles/networking#network-contributor
resource networkContributorRoleAssignmentToVirtualNetwork 'Microsoft.Authorization/roleAssignments@2022-04-01' = {
  name: guid(uamiPrincipalId, '4d97b98b-1d4f-4787-a291-c67834d212e7', resourceGroup().id, virtualNetwork.name)
  scope: virtualNetwork
  properties: {
      roleDefinitionId: resourceId('Microsoft.Authorization/roleDefinitions', '4d97b98b-1d4f-4787-a291-c67834d212e7')
      principalId: uamiPrincipalId
  }
}

ローカルコンピュータに Bicep ファイル roleAssignments.bicep を保存します。

Azure CLIを使用してBicep ファイルをデプロイします。 ユーザー割り当て ID のプリンシパル ID を指定する必要があります。

az deployment group create --resource-group <resource-group> --template-file roleAssignments.bicep \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

カスタム仮想ネットワークにプライベート AKS 自動クラスターを作成する

このBicep ファイルは、AKS 自動クラスターを定義します。

@description('The name of the managed cluster resource.')
param clusterName string = 'aksAutomaticCluster'

@description('The location of the managed cluster resource.')
param location string = resourceGroup().location

@description('The resource ID of the API server subnet.')
param apiServerSubnetId string

@description('The resource ID of the cluster subnet.')
param clusterSubnetId string

@description('The resource ID of the user assigned managed identity.')
param uamiId string

/// Create the private AKS Automatic cluster using the custom virtual network and user assigned managed identity
resource aks 'Microsoft.ContainerService/managedClusters@2024-03-02-preview' = {
  name: clusterName
  location: location  
  sku: {
    name: 'Automatic'
  }
  properties: {
    agentPoolProfiles: [
      {
        name: 'systempool'
        mode: 'System'
          count: 3
        vnetSubnetID: clusterSubnetId
      }
    ]
    apiServerAccessProfile: {
        subnetId: apiServerSubnetId
        enablePrivateCluster: true
    }
    networkProfile: {
      outboundType: 'loadBalancer'
    }
  }
  identity: {
    type: 'UserAssigned'
    userAssignedIdentities: {
      '${uamiId}': {}
    }
  }
}

ローカル コンピューターに Bicep ファイル aks.bicep を保存します。

Azure CLIを使用してBicep ファイルをデプロイします。 API サーバーのサブネット リソース ID、クラスター サブネット リソース ID、ユーザー割り当て ID を指定する必要があります。

az deployment group create --resource-group <resource-group> --template-file aks.bicep \
--parameters apiServerSubnetId=<API server subnet resource id> \
--parameters clusterSubnetId=<cluster subnet resource id> \
--parameters uamiPrincipalId=<user assigned identity prinicipal id>

クラスターに接続する

AKS 自動クラスターがプライベート クラスターとして作成されると、API サーバー エンドポイントにはパブリック IP アドレスがありません。 たとえば、kubectl 経由で API サーバーを管理するには、クラスターのAzure仮想ネットワークにアクセスできるマシン経由で接続する必要があります。 プライベート クラスターへのネットワーク接続を確立するには、いくつかの選択肢があります。

• az vm create フラグを指定した --vnet-name コマンドを使用して、AKS 自動クラスターと同じ仮想ネットワークに仮想マシンを作成します。
• 別の仮想ネットワークで仮想マシンを使用し、 仮想ネットワーク ピアリングを設定します。
• Express Route または VPN 接続を使用します。
• プライベート エンドポイント接続を使用します。

AKS クラスターと同じ仮想ネットワーク内に仮想マシンを作成するのが最も簡単なオプションです。 Express Route と VPN にはコストがかかり、ネットワークがさらに複雑になります。 仮想ネットワーク ピアリングを利用する場合、重複する範囲がないようにネットワーク CIDR 範囲を計画する必要があります。 詳細については、 プライベート クラスターに接続するためのオプション を参照してください。

Kubernetes クラスターを管理するには、Kubernetes のコマンドライン クライアントである kubectl を使います。 Azure Cloud Shellを使用する場合、kubectl は既にインストールされています。 kubectl をローカルにインストールするには、az aks install-cli コマンドを実行します。 AKS 自動クラスターは、Kubernetes ロールベースのアクセス制御 (RBAC) 用に Microsoft Entra ID で構成されます。

kubectl コマンドを使用して、Kubernetes クラスターに接続するように を構成します。 このコマンドは、資格情報をダウンロードし、それを使用するように Kubernetes CLI を構成します。

az aks get-credentials --resource-group <resource-group> --name <cluster-name>

kubectl get コマンドを使用して、ご利用のクラスターへの接続を確認します。 このコマンドでは、クラスター ノードの一覧が返されます。

kubectl get nodes

次の出力例は、ログインを求められる方法を示しています。

To sign in, use a web browser to open the page https://microsoft.com/devicelogin and enter the code AAAAAAAAA to authenticate.

ログインすると、次のサンプル出力にマネージド システム ノード プールが表示されます。 ノードの状態が [Ready] であることを確認してください。

NAME                                STATUS   ROLES   AGE     VERSION
aks-nodepool1-13213685-vmss000000   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000001   Ready    agent   2m26s   v1.28.5
aks-nodepool1-13213685-vmss000002   Ready    agent   2m26s   v1.28.5