Azure Kubernetes Service
GUIDE AUTORITAIRE — CONFORMITÉ OBLIGATOIRE
Cette compétence produit une configuration de cluster AKS recommandée basée sur les besoins de l'utilisateur, en distinguant les décisions Day-0 (réseau, API server — difficiles à modifier ultérieurement) des fonctionnalités Day-1 (activables après la création). Voir la référence CLI pour les commandes.
Référence rapide
| Propriété | Valeur |
|---|---|
| Idéal pour | Planification de cluster AKS et décisions Day-0 |
| Outils MCP | mcp_azure_mcp_aks |
| CLI | az aks create, az aks show, kubectl get, kubectl describe |
| Compétences associées | azure-diagnostics (dépannage AKS), azure-validate (vérifications de préparation) |
Quand utiliser cette compétence
Activez cette compétence lorsque l'utilisateur souhaite :
- Créer un nouveau cluster AKS
- Planifier la configuration d'un cluster AKS pour des charges de travail de production
- Concevoir le réseau AKS (accès API server, modèle IP des pods, egress)
- Mettre en place la gestion d'identité et des secrets AKS
- Configurer la gouvernance AKS (Azure Policy, Deployment Safeguards)
- Activer l'observabilité AKS (Container Insights, Prometheus managé, Grafana)
- Définir la stratégie de mise à niveau et de correctifs AKS
- Activer la visibilité et l'analyse des coûts AKS
- Comprendre les différences entre les SKU AKS Automatic et Standard
- Obtenir une checklist Day-0 pour la configuration et la mise en place d'un cluster AKS
Règles
- Commencez par les besoins de l'utilisateur en matière de provisionnement du calcul, du réseau, de la sécurité et d'autres paramètres.
- Utilisez d'abord le serveur MCP
azureet sélectionnezmcp_azure_mcp_akspour découvrir les outils MCP spécifiques AKS exposés par le client. Choisissez le plus petit outil AKS découvert qui correspond à la tâche, et utilisez Azure CLI (az aks) uniquement lorsque les fonctionnalités nécessaires ne sont pas exposées via la surface MCP AKS. - Déterminez si le SKU AKS Automatic ou Standard est le plus approprié en fonction du besoin de contrôle ou de commodité de l'utilisateur. Par défaut, utilisez AKS Automatic, sauf si des personnalisations spécifiques sont nécessaires.
- Documentez les décisions et la justification des choix de configuration du cluster, en particulier pour les décisions Day-0 difficiles à modifier ultérieurement (réseau, accès API server).
Entrées requises (Demandez uniquement ce qui est nécessaire)
Si l'utilisateur n'est pas sûr, utilisez des valeurs par défaut sûres.
- Type d'environnement AKS : dev/test ou production
- Région(s), zones de disponibilité, tailles de VM de nœud préférées
- Échelle attendue (nombre de nœuds/clusters, taille de la charge de travail)
- Exigences réseau (accès API server, modèle IP des pods, contrôle entrée/sortie)
- Exigences de sécurité et d'identité, y compris le registre d'images
- Préférences de mise à niveau et d'observabilité
- Contraintes de coût
Workflow
1. Type de cluster
- AKS Automatic (par défaut) : Idéal pour la plupart des charges de travail de production, offre une expérience optimisée avec des bonnes pratiques préconfigurées pour la sécurité, la fiabilité et les performances. Utilisez-le sauf si vous avez des exigences personnalisées spécifiques en matière de réseau, d'autoscaling ou de configurations de pools de nœuds non prises en charge par Node Auto-Provisioning (NAP).
- AKS Standard : Utilisez-le si vous avez besoin d'un contrôle total sur la configuration de l'environnement, ce qui nécessite une charge opérationnelle supplémentaire pour la configuration et la gestion.
2. Réseau (IP des pods, Egress, Ingress, Dataplane)
Modèle IP des pods (décision Day-0 clé) :
- Azure CNI Overlay (recommandé) : adresses IP des pods provenant d'une plage d'overlay privée, non routables sur le VNet, évolue pour les grands environnements et convient à la plupart des charges de travail
- Azure CNI (routable VNet) : adresses IP des pods directement depuis le VNet (sous-réseau de pods ou sous-réseau de nœuds), à utiliser lorsque les pods doivent être directement adressables depuis le VNet ou sur site
- Documentation : https://learn.microsoft.com/azure/aks/azure-cni-overlay
Dataplane et politique réseau :
- Azure CNI propulsé par Cilium (recommandé) : basé sur eBPF pour un traitement des paquets haute performance, des politiques réseau et de l'observabilité
Egress :
- Passerelle Egress statique pour des adresses IP sortantes stables et prévisibles
- Pour un egress restreint : UDR + Azure Firewall ou NVA
Ingress :
- Module complémentaire App Routing avec Gateway API — recommandé par défaut pour les charges de travail HTTP/HTTPS
- Service mesh Istio avec Gateway API - pour la gestion avancée du trafic, mTLS, déploiements canari
- Application Gateway for Containers — pour l'équilibrage de charge L7 avec intégration WAF
DNS :
- Activez LocalDNS sur tous les pools de nœuds pour une résolution DNS fiable et performante
3. Sécurité
- Utilisez Microsoft Entra ID partout (plan de contrôle, Workload Identity pour les pods, accès aux nœuds). Évitez les informations d'identification statiques.
- Azure Key Vault via Secrets Store CSI Driver pour les secrets
- Activez Azure Policy + Deployment Safeguards
- Activez le chiffrement au repos pour etcd/API server ; en transit pour nœud à nœud
- Autorisez uniquement les images signées et approuvées par la politique (Azure Policy + Ratify), préférez Azure Container Registry
- Isolation : Utilisez des espaces de noms, des politiques réseau, une journalisation limitée
4. Observabilité
- Utilisez Prometheus managé et Container Insights avec Grafana pour l'observabilité AKS (logs + métriques).
- Activez les paramètres de diagnostic pour collecter les logs du plan de contrôle et les logs d'audit dans un espace de travail Log Analytics pour la surveillance de la sécurité et le dépannage.
- Pour d'autres outils de surveillance et de dépannage, utilisez des fonctionnalités telles que l'Agentic CLI pour AKS, Application Insights, le Centre de santé des ressources, les détecteurs AppLens et les conseillers Azure.
5. Mises à niveau et correctifs
- Configurez des fenêtres de maintenance pour un contrôle du calendrier des mises à niveau
- Activez les mises à niveau automatiques pour le plan de contrôle et le système d'exploitation des nœuds afin de rester à jour avec les correctifs de sécurité et les versions de Kubernetes
- Envisagez les versions LTS pour la stabilité en entreprise (support de 2 ans) en mettant à niveau votre environnement AKS vers le niveau Premium
- Mises à niveau de flotte : Utilisez AKS Fleet Manager pour un déploiement progressif des environnements de test à la production
6. Performances
- Utilisez des disques de système d'exploitation éphémères (
--node-osdisk-type Ephemeral) pour un démarrage plus rapide des nœuds - Sélectionnez Azure Linux comme système d'exploitation des nœuds (empreinte plus petite, démarrage plus rapide)
- Activez KEDA pour un autoscaling piloté par les événements au-delà de HPA
7. Pools de nœuds et calcul
- Pool de nœuds système dédié : au moins 2 nœuds, marqués pour les charges de travail système uniquement (
CriticalAddonsOnly) - Activez Node Auto Provisioning (NAP) sur tous les pools pour des économies de coûts et une mise à l'échelle réactive
- Utilisez les SKU de dernière génération (v5/v6) pour les optimisations au niveau de l'hôte
- Évitez les machines virtuelles de série B — les SKU bursting provoquent des problèmes de performances et de fiabilité
- Utilisez des SKU avec au moins 4 vCPU pour les charges de travail de production
- Définissez des contraintes de répartition de topologie pour distribuer les pods entre les hôtes/zones conformément aux SLO
8. Fiabilité
- Déployez sur 3 zones de disponibilité (
--zones 1 2 3) - Utilisez le niveau Standard pour un plan de contrôle redondant interzone + SLA 99,95 % pour la disponibilité de l'API server
- Activez Microsoft Defender pour les conteneurs pour la protection au moment de l'exécution
- Configurez des PodDisruptionBudgets pour toutes les charges de travail de production
- Utilisez des contraintes de répartition de topologie pour garantir la distribution des pods entre les domaines de défaillance
9. Contrôle des coûts
- Utilisez des pools de nœuds Spot pour les charges de travail par lots ou interruptibles (jusqu'à 90 % d'économies)
- Arrêter/Démarrer les clusters de développement/test :
az aks stop/start - Envisagez des instances réservées ou des plans d'économies pour les charges de travail stables
Garde-fous / Sécurité
- Ne demandez pas et n'affichez pas de secrets (jetons, clés).
- Si les exigences sont ambiguës pour les décisions Day-0 critiques, posez des questions de clarification à l'utilisateur. Pour les fonctionnalités Day-1, proposez 2 à 3 options sûres avec leurs compromis et choisissez une valeur par défaut prudente.
- Ne promettez pas une indisponibilité nulle ; conseillez des mesures de protection de la charge de travail (PDB, sondes, réplicas) et des mises à niveau progressives, ainsi que les meilleures pratiques en matière de fiabilité et de performances.
Outils MCP
| Outil | Objectif | Paramètres clés |
|---|---|---|
mcp_azure_mcp_aks | Point d'entrée MCP AKS permettant de découvrir les outils spécifiques AKS exposés par le client | Découvrez d'abord l'outil AKS appelable, puis utilisez les paramètres de cet outil |
Gestion des erreurs
| Erreur / Symptôme | Cause probable | Remédiation |
|---|---|---|
| L'appel de l'outil MCP échoue ou expire | Informations d'identification, abonnement ou contexte AKS invalides | Vérifiez az login, confirmez le contexte d'abonnement actif avec az account show, et vérifiez le groupe de ressources cible sans renvoyer les identifiants d'abonnement à l'utilisateur |
| Quota dépassé | Limites régionales de vCPU ou de ressources | Demandez une augmentation de quota ou sélectionnez une région/SKU de machine virtuelle différente |
| Conflit réseau (épuisement IP) | Sous-réseau de pods trop petit pour l'overlay/CNI | Replanifiez les plages IP ; peut nécessiter la recréation du cluster (Day-0) |
| Workload Identity ne fonctionne pas | Émetteur OIDC ou informations d'identification fédérées manquants | Activez --enable-oidc-issuer --enable-workload-identity, configurez l'identité fédérée |