kubectl VPN හරහා වැඩ කරන නමුත් AKS පරිමාණය කිරීම නතර වන්නේ ඇයි

ඔබ කාර්යාල VPN-හි පොදු ලිපිනය AKS API සේවාදායකයේ අනුමත ලැයිස්තුවට එකතු කරනවා, kubectl වැඩ කරනවා. සතියකට පසු node pool පරිමාණය කිරීම අසාර්ථක වෙනවා, CI කාර්යයකට ක්ලස්ටරයට ළඟා විය නොහැක, පෝටලය IP පරාස ගැන කිසිවක් නොකියන දෝෂයක් පෙන්වනවා. අනුමත ලැයිස්තුව කිසිවෙකු වෙනස් කර නැහැ. ඔබ සක්‍රීය කළ පාලනය API සේවාදායකය ඉදිරියේ ඇති පොදු IP පෙරහනක්, එයට කවුරු කතා කරනවාද කියා දන්නේ නැහැ, ඇමතුම ආවේ කුමන ලිපිනයෙන්ද කියා පමණයි දන්නේ. VPN යනු ක්ලස්ටරයට අවශ්‍ය ලිපින කිහිපයෙන් එකක්, පළමුව කැඩෙන්නේ එයම වීම දුර්ලභයි.

අනුමත ලැයිස්තුව ලිපිනයකට ගැළපෙනවා, පුද්ගලයෙකුට නොවේ

--api-server-authorized-ip-ranges එය CIDR කොටස් ගන්නවා, පරිශීලකයින් හෝ කණ්ඩායම් නොවේ. සංවර්ධකයෙකුගේ ඉල්ලීම VPN සේවාදායකය හැර Azure දෙසට යන විට, API සේවාදායකයේ මූලාශ්‍ර ලිපිනය VPN සේවාදායකයේ පොදු එග්‍රෙස් වේ. ඒ නිසා එම VPN-හි සෑම පුද්ගලයෙක්ම එක් සටහනක් බෙදාගනී, VPN-න් පිටත සිටින ඕනෑම කෙනෙකු ප්‍රමාණීකරණය සිදුවීමටත් පෙර ප්‍රතික්ෂේප කෙරේ.

එයින් අදහස් වන්නේ මෙම සටහන ඔබ අදහස් කළ ප්‍රමාණයට වඩා පිරිසකට ඇතුල් වීමට ඉඩ දෙනවා කියාය. VPN ප්‍රවේශය ඇති කොන්ත්‍රාත්කරුවෙක්, එම සංකේන්ද්‍රකයේම ඇති පුද්ගලික ලැප්ටොප්, සහ අනිෂ්ට කළ ගිණුමක් සියල්ලම එකම ලිපිනයෙන් පැමිණේ. ක්ලස්ටර අනුමැතිය වෙනස් වී නැහැ, ඒ නිසා භූමිකා-පාදක ප්‍රවේශ පාලනය තවමත් ඇමතුම්කරුට කළ හැකි දේ තීරණය කරනවා, නමුත් අනුමත ලැයිස්තුව අනන්‍යතා පාලනයක් නොවේ, එසේ විස්තර කිසිදා නොකළ යුතුයි.

පළමුව කැඩෙන දේ සාමාන්‍යයෙන් kubectl නොවේ

අනුමත ලැයිස්තුව API සේවාදායකයේ පොදු අන්ත ලක්ෂ්‍යයට අදාළ වේ, ඒ නිසා ඔබ ලැයිස්තුගත කළ ලිපිනවලින් පිටත සියල්ල වහාම වැඩ කිරීම නතර කරයි. පැහැදිලි ගොදුරු වන්නේ VPN මාර්ගයක් නොමැති දෙවන කාර්යාලය, සත්කාරක පයිප්ලයිනයක CI ධාවකය, සහ සම්බන්ධ වීමට අමතක වූ ලැප්ටොප් එකකි. මිනිසෙකු බලා සිටින නිසා මේවා හඳුනාගැනීම පහසුයි.

අඩු පැහැදිලි අවස්ථාව වන්නේ Azure හෝ ඔබේම මෙවලම් මගින් ධාවනය වන ස්වයංක්‍රීයකරණයයි. වේදිකාව මගින් ආරම්භ කරන සමහර මෙහෙයුම් ඔබේ VPN නොවන ලිපිනවලින් API සේවාදායකයට ළඟා වේ, ලැයිස්තුව දැඩි කිරීමෙන් පසු වහාම ඉන් එකක් අසාර්ථක වීමට පටන් ගත්තොත් කාලයම සලකුණයි. අන්තර්ක්‍රියාකාරී ප්‍රවේශය වැඩ කරන නිසා ලැයිස්තුව සම්පූර්ණ යැයි නොසිතන්න; ඔබේ කලාපයට සහ දායකත්වවලට මෙම විශේෂාංගයට අවශ්‍ය දේ පරීක්ෂා කරන්න, පසුව ක්ලස්ටරය කැඩී ඇති බවට නිගමනය කරන්න.

අසාර්ථකත්වයේ ලකුණ උපකාරී වේ. ඉල්ලීම කිසිදා ප්‍රමාණීකරණයට ළඟා නොවන්නේ නම්, එය පෙරහනයි. එය ප්‍රමාණීකරණය වී පසුව අවසර දෝෂයක් ලැබුණොත්, පෙරහන තම කාර්යය කර ඇත, ගැටලුව භූමිකා-පාදක ප්‍රවේශ පාලනයේ ඇත, අනුමත ලැයිස්තුව එය කිසිදා ස්පර්ශ නොකරයි.

සම්පූර්ණ ලැයිස්තුව එක් විධානයකින් ගොඩනගන්න

යාවත්කාලීන පරාමිතිය සටහනක් එකතු කිරීම වෙනුවට සම්පූර්ණ ලැයිස්තුව ප්‍රතිස්ථාපනය කරයි, ඒ නිසා VPN ලිපිනය පමණක් ගෙන යන විධානයක් එහි තිබූ අනෙක් සියල්ල නිශ්ශබ්දව ඉවත් කරයි. පළමුව වර්තමාන අගය කියවන්න, එය තබා ගන්න, සහ එකමුතුව යවන්න:

az aks show -g rg-app -n aks-prod \
  --query apiServerAccessProfile.authorizedIpRanges -o tsv

az aks update -g rg-app -n aks-prod \
  --api-server-authorized-ip-ranges 203.0.113.10/32,198.51.100.0/24

මෙය මත රැඳීමට පෙර VPN සේවාදායකය සඳහා වෙන් කළ පොදු IP එකක් භාවිතා කරන්න. ගතික ලිපිනය නැවත සම්බන්ධ වන විට වෙනස් වේ, සෑම වෙනසක්ම කණ්ඩායම නිශ්ශබ්දව ක්ලස්ටරයෙන් පිටත අගුළු දමයි, තවමත් අනුමත ජාලයකින් කෙනෙකු ලැයිස්තුව යාවත්කාලීන කරන තුරු. අතිරික්තතාවය සඳහා VPN එග්‍රෙස් ලක්ෂ්‍ය දෙකක් තිබේ නම් දෙකම ලැයිස්තුගත කරන්න, පෙරහනට මනාප මාර්ගයක සංකල්පයක් නැති නිසා.

පළමු අනුමත උත්සාහයම පරීක්ෂණය වන ලෙස වෙනස අනුපිළිවෙල කරන්න. නව ලැයිස්තුව නිවේදනය කරන්න, යොදන්න, සහ වහාම VPN-න් සම්බන්ධ වන්න; ප්‍රතිවිරුද්ධ අනුපිළිවෙලින් කිරීම CIDR කොටසක ටයිපෝවක් නිවැරදි කිරීමට කිසිවෙකුට API සේවාදායකයට ළඟා විය නොහැකි කවුළුවක් ඉතිරි කරයි.

අනුමත ලැයිස්තුව කිසිදා ආවරණය නොකළ දේ

එය API සේවාදායකය පුද්ගලික නොකරයි. පුද්ගලික ක්ලස්ටරයක් පුද්ගලික අන්ත ලක්ෂ්‍යයක් සහ පුද්ගලික DNS භාවිතා කරයි, අනුමත පරාස ලැයිස්තුව එය ප්‍රතිස්ථාපනය කරන පාලනය නොවේ. ඇතුල් කරගත් ඇමතුම්කරුට කළ හැකි දේ ද එය වෙනස් නොකරයි, ඒ නිසා කාන්දු වූ පරිපාලක kubeconfig එකක් තවමත් ඕනෑම අනුමත ලිපිනයකින් වැඩ කරයි. අක්තපත්‍රය ආරක්ෂක සීමාව ලෙසත් ලැයිස්තුව ජාල පහසුකමක් ලෙසත් සලකන්න.

එය වැඩබර සමඟ කිසිදු සම්බන්ධයක් නැහැ. ලැයිස්තුව සක්‍රීයව තිබියදීත් Pods සහ Services දිගටම ක්‍රියාත්මක වේ, සහ VPN හරහා යෙදුමකට ළඟා වීම වෙනම ගැටලුවකි: ක්ලස්ටර IP එකක් පමණක් ඇති Service එකකට ලැප්ටොප් එකකට එය විවෘත කිරීමට පෙර තවමත් අභ්‍යන්තර බර සමතුලිත කරන්නෙක්, ingress හෝ port-forward අවශ්‍ය වේ. මෙම නිර්මාණ දෙක මිශ්‍ර කිරීම සංවර්ධකයින් සීමා කරන බව පවසන නමුත් යෙදුම් ගැන ඇත්තෙන්ම කිසිවක් සීමා නොකරන වෙනස්කම් ටිකට්පතක් නිපදවයි.

දෙපැත්තෙන්ම සත්‍යාපනය කරන්න, පසුව එක් සැබෑ මෙහෙයුමක් ධාවනය කරන්න

VPN-හි නව සේවාලාභියෙකු සමඟ සහ ඉන් පිටත සේවාලාභියෙකු සමඟ පරීක්ෂා කරන්න. පිටතින් කරන උත්සාහය නාම විභේදනයේදී නොව, API සේවාදායකයේදී ප්‍රතික්ෂේප විය යුතුයි; නම විසඳා නොගන්නේ නම්, ඔබ DNS පරීක්ෂා කරනවා, පෙරහන ගැන කිසිවක් ඉගෙන ගෙන නැහැ. පසුව අන්තර්ක්‍රියාකාරී kubectl ඇමතුමක් නොවන මෙහෙයුමක් ධාවනය කරන්න, උදාහරණයක් ලෙස node pool පරිමාණය කිරීමක් හෝ උත්ශ්‍රේණි පරීක්ෂාවක්, සහ සිදුවේවි යැයි උපකල්පනය කරනවා වෙනුවට එය සම්පූර්ණ වූ බව තහවුරු කරන්න.

වෙනසට යාබදව පෙර ලැයිස්තු අගය සටහන් කරන්න, සහ ටයිප් කළ විධානය විශ්වාස කරනවා වෙනුවට යාවත්කාලීනයෙන් පසු ඵලදායී අගය නැවත කියවන්න. අනුමත IP පරාස පිළිබඳ AKS ලේඛනය ආධාරක පරාමිති සහ එම ලැයිස්තුවට අයත් වේදිකා අවශ්‍යතා ලැයිස්තුගත කරයි, බොහෝ ටිකට් විස්තර මඟ හරින කොටස එයයි.