Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Azure Kubernetes Service (AKS) einfach erklärt: Steuerungsebene, Knoten, Netzwerk, Sicherheit und Kosten (KI-Synchronfassung)

Transcript

Azure Kubernetes Service (AKS) einfach erklärt: Steuerungsebene, Knoten, Netzwerk, Sicherheit und Kosten (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

0:00
Sie haben sicher schon in Cloud-Gesprächen die Begriffe Kubernetes und AKS gehört.
0:03
Vielleicht haben Sie zustimmend genickt, aber was bedeuten Sie eigentlich für jemanden, der Anwendungen in der Cloud betreibt, treibt?
0:09
Container haben die Softwareentwicklung verändert, weil sie leicht, portable und konsistent sind.
0:13
Das Problem ist, dass Ihre manuelle Verwaltung schnell unübersichtlich wird.
0:15
Eine Handvoll Container lässt sich bewältigen, aber bei Dutzenden oder Hunderten verbringen Sie Ihre ganze Zeit mit Skalierung, Updates und Federbehebung,
0:22
statt an Ihrem eigentlichen Produkt zu arbeiten. Stopp!
0:24
Am Ende dieser Folge werden Sie die vier wichtigen Bereiche verstehen, die der Azure Kubernetes Service für Sie übernimmt.
0:29
Die Steuerungsebene, die Knoten, das Netzwerk und das Netzwerk und die Sicherheit.
0:32
Wir werden auch aufschlüsseln, was es tatsächlich kostet.
0:35
Kein Marketing-Blabla, sondern klare Sprache.
0:37
Das Container-Problem, warum wir AKS brauchen.
0:40
Container haben sich durchgesetzt, weil sie ein echtes Problem lösen.
0:42
Ein Paket, das Ihren Anwendungscode, Laufzeitbibliotheken und Konfiguration bündelt.
0:46
Es läuft auf Ihrem Laptop genauso wie auf einem Testserver oder in der Produktion.
0:50
Keine auf meinem Rechner funktionierenden Probleme.
0:52
Eine Handvoll Container zu betreiben funktioniert gut.
0:55
Sie starten sie manuell, prüfen die Protokolle und starten sie neu, wenn sie abstürzt.
0:58
Aber sobald Sie Dutzende oder Hunderte über mehrere Server verteilt haben, stoßen Sie auf ganz neue Probleme.
1:04
Sie müssen entscheiden, wohin jeder Container kommt, welcher Server welchen Container erhält und wie Sie sich über das Netzwerk finden.
1:09
Was passiert, wenn einer um drei Uhr morgens abstürzt?
1:12
Und wie bewältigt man einen Traffic-Anstieg, der 50 zusätzliche Kopien Ihrer App in 30 Sekunden erfordert?
1:17
Kubernetes ist eine Open-Source-Plattform, die genau für diese Probleme entwickelt wurde.
1:19
Sie plant Container auf Servern ein, skaliert sie hoch und runter, prüft Ihren Status und leitet den Datenverkehr zwischen ihnen weiter.
1:25
Es ist der Industriestandard für Container-Orchestrierung.
1:28
Aber Kubernetes löst ein Problem und schafft ein anderes.
1:32
Es selbst zu betreiben ist komplex.
1:33
Sie müssen eine Steuerungsebene einrichten und warten.
1:35
Das Gehirn des Clusters Worker-Knoten verwalten, Sicherheitspatches einspielen, Versionen aktualisieren und Konfigurationsdaten sichern.
1:41
Das ist eine Vollzeitaufgabe für jemanden, der weiß, was er tut.
1:44
Managed Services, wie der Azure Kubernetes Service, nehmen Ihnen diese operative Last ab.
1:48
Microsoft betreibt die Steuerungsebene für Sie und kümmert sich um Updates, Patches und Backups.
1:53
Sie konzentrieren sich auf Ihre Anwendung.
1:54
Was genau leistet AKS also für Sie?
1:56
Fangen wir mit dem größten Teil an.
1:58
Der Steuerungsebene.
1:59
Was ist der Azure Kubernetes Service?
2:01
AKS ist die verwaltete Version von Kubernetes durch Microsoft.
2:04
Ganz einfach.
2:05
Sie erhalten einen voll funktionsfähigen Kubernetes-Cluster, ohne die zugrunde liegende Infrastruktur einrichten oder warten zu müssen.
2:11
Microsoft betreibt die Steuerungsebene für Sie und Sie konzentrieren sich auf die Bereitstellung und Ausführung Ihrer Anwendung.
2:15
Stellen Sie es sich wie das Mieten einer Wohnung im Vergleich zum Bau eines Hauses vor.
2:18
Wenn Sie ein Haus bauen, sind Sie für alles verantwortlich.
2:20
Das Fundament, die Leitung, die Elektrik, das Dach.
2:22
Wenn Sie mieten, kümmert sich der Vermieter um all das.
2:24
Sie ziehen einfach ein und richten es an.
2:25
AKS ist der Vermieter.
2:27
Microsoft kümmert sich um das Fundament.
2:29
Die Steuerungsebene, das Netzwerk, Sicherheitspatches und Upgrades.
2:32
Sie bringen die Möbel mit, Ihre containerisierten Anwendungen, Konfigurationen und Bereitstellungspipelines.
2:36
Aber AKS ist nicht nur ein eigenständiger Kubernetes-Cluster.
2:38
Es arbeitet eng mit dem Rest der Azure-Plattform zusammen.
2:41
EntraID übernimmt die Benutzer-Authentifizierung und Zugriffskontrolle.
2:43
Azure Monitor sammelt Protokolle und Metriken von Ihrem Cluster und Ihren Anwenden.
2:47
Azure Policy ermöglicht es Ihnen, Regeln für alle Cluster durchzusetzen.
2:50
Etwa, dass keine Container als Root laufen oder alle Images aus seiner zugelassenen Registry stammen müssen.
2:55
Das macht AKS zu mehr als nur Kubernetes, das auf Azure VMs läuft.
3:00
Natürlich müssen Sie weiterhin die grundlegenden Kubernetes-Konzepte kennen.
3:03
Pots, Deployments und Services.
3:05
Das ist das Wissen, das Sie mitbringen.
3:06
AKS ist dieses Wissen.
3:07
Was es jedoch entfernt, ist der betriebliche Aufwand, den Cluster gesund zu halten.
3:11
Sie müssen sich keine Sorgen machen, dass die Steuerungsebene auswählen.
3:13
Sie führen keine manuellen Upgrades der Kubernetes-Version durch.
3:15
Sie müssen ETCD, die Konfigurationsdatenbank des Clusters, nicht sichern.
3:19
Microsoft erlädt das für Sie.
3:20
Lassen Sie uns also den Vorhang für dieses Gehirn, die Steuerungsebene, lüften.
3:23
Die Steuerungsebene, das Gehirn, das Microsoft verwaltet.
3:25
Was genau befindet sich in dieser Steuerungsebene?
3:27
Vier Hauptkomponenten.
3:29
Der IPI-Server ist die Eingangstür.
3:31
Jeder Befehl, jede Anfrage und jede Interaktion mit Ihrem Cluster läuft über Ihnen.
3:34
Der Scheduler entscheidet, welcher Knoten jeden neuen Pod ausführt.
3:36
Der Controller-Manager überwacht den Cluster-Status und stellt sicher, dass die Realität Ihren Vorgaben entspricht.
3:41
Und ETCD speichert alle Konfigurationsdaten.
3:43
Betrachten Sie es als das Gedächtnis Ihres Clusters.
3:45
Wenn ETCD beschädigt wird oder verloren geht, ist der Cluster verloren.
3:48
Wenn Sie Kubernetes selbst einrichten, sind Sie für all das verantwortlich.
3:51
Sie patchen den API-Server, sobald Schwachstellen auftreten.
3:54
Sie sichern regelmäßig ETCD.
3:55
Sie beheben Hardwarefehler auf den Maschinen, auf denen diese Komponenten laufen.
3:58
Das ist eine Menge Arbeit.
3:59
Mit RKS nimmt Microsoft Ihnen diese Last ab.
4:01
Sie betreiben die Steuerungsebene auf Ihrer eigenen Infrastruktur.
4:04
Sie patchen sie, sichern sie und überwachen sie.
4:06
Sie sehen niemals die zugrunde liegende Maschine.
4:07
Sie interagieren nur mit dem Endpunkt des API-Servers.
4:10
Und alles andere geschieht im Hintergrund.
4:12
Doch nicht alle Steuerungsebenen sind gleich.
4:14
RKS bietet drei Tarife an.
4:16
Free, Standard und Premium.
4:17
Die kostenlose Ebene bietet Ihnen die Steuerungsebene ohne Aufpreis, jedoch ohne SLA für den API-Server.
4:22
Sie ereignet sich gut für Lern-, Entwicklungs- oder Testumgebungen, in denen ein paar Minuten Ausfallzeit nicht schaden.
4:27
Für Produktionsworkloads werden Sie jedoch wahrscheinlich mehr benötigen.
4:29
Die Standard-Ebene kostet etwa 72 Dollar pro Monat um Cluster.
4:32
Dies bietet Ihnen eine 99,95% SRA für den API-Server bei Nutzung von Verfügbarkeitszonen.
4:38
Sollte die Steuerungsebene ausfallen, schreibt Microsoft Indies gut.
4:41
Dies ist die Standardwahl für die meisten Produktionsklasse.
4:43
Die Premium-Ebene kostet etwa 34,32 Dollar pro Monat.
4:46
Sie erhalten alle Standardfunktionen sowie eine langfristige Unterstützung für Kubernetes-Versionen.
4:50
Wenn Sie eine regulierte Arbeitslast betreiben, die über Monate oder Jahre auf einer bestimmten Version bleiben muss, ist Premium sinnvoll.
4:56
Hier ist jedoch der entscheidende Punkt. Sie bezahlen eigentlich nicht für die Steuerungsebene selbst.
5:00
Die kostenlose Ebene ist wirklich kostenlos.
5:02
Standard und Premium sind Gebühren für das SLA und den langfristigen Support nicht für die Ressourcen der Steuerungsebene.
5:07
Wofür Sie bezahlen, sind die Worker-Knoten, die virtuellen Maschinen, auf denen Ihre Container laufen.
5:10
Diese werden separat zu den üblichen Azure-4M-Tarifen abgerechnet.
5:13
Denken Sie also auf diese Weise doch.
5:14
Die Steuerungsebene ist das Gehirn.
5:15
Microsoft verwaltet diese für Sie.
5:17
Sie wählen die Service-Ebene, basierend auf Ihren Zuverlässigkeitsantworten.
5:20
Die eigentliche Arbeit beim Ausführen Ihrer Anwendung findet jeder oft im Worker-Knoten statt.
5:23
Auf diesen Worker-Knoten laufen tatsächlich Ihre Anwendungen.
5:26
Lassen Sie uns über sie sprechen.
5:27
Die Knoten die Arbeiter, für die Sie bezahlen.
5:29
Knoten sind schlicht und einfach virtuelle Azure-Maschinen.
5:32
Standard-Azure-VMs, die Ihre Pots hosten.
5:34
Die kleinste Einheit in Kubernetes, die ein oder mehrere Container ausführt.
5:37
Sie wählen die Größe und die Anzahl aus.
5:39
Wenn Sie also eine D2-Antrieb-Rendert-Stick-Alberei mit zwei V-CPUs und 8 GB RAM wünschen, ist das möglich.
5:43
Benötigen Sie eine speicheroptimierte E32 von 32 V-CPUs und 256 GB, funktioniert das ebenfalls.
5:49
Nun, Sie werfen nicht einfach zufällige VMs zusammen.
5:52
AKS organisiert Sie in Knotenpools.
5:54
Ein Knotenpool ist eine Gruppe identischer VMs mit derselben Größe und Konfiguration.
5:58
Sie können mehrere Knotenpools in einem einzigen Cluster haben.
6:00
Ein Pool mit D-Serie-VMs für allgemeine Zwecke für Ihr Web-Frontend,
6:03
ein weiterer mit speicheroptimierten E-Serie-VMs für Ihre Datenbank
6:06
und ein dritter mit GPU-fähigen VMs für Machine Learning Workloads.
6:09
Jeder Pool skaliert unabhängig.
6:10
Und diese Skalierung erfolgt automatisch.
6:12
Der Cluster-Autoscaler überwacht Ihre Pots.
6:14
Wenn Sie mehr Ressourcen benötigen, als die aktuellen Knoten bereitstellen können, fügt der neue Knot hinzu.
6:18
Und wenn der Datenverkehr sinkt und die Lasten größtenteils im Leerlauf sind, entfernt er Sie.
6:22
Sie legen die Mindest- und Höchstgröße für jeden Pool fest und AKS erledigt den Rest.
6:25
Hier sparen Sie echtes Geld.
6:27
Sie zahlen nicht für ungenutzte Kapazitäten in Nebenzeiten.
6:31
Node-Upgrades sind eine weitere Aufgabe, die AKS übernimmt.
6:33
Wenn ein neues Sicherheitspatch für das Betriebssystem erscheint, kann AKS es auf Ihre Nodes anwenden.
6:37
Und wenn eine neue Kubernetes-Version veröffentlicht wird, kann AKS Ihren Cluster aktualisieren.
6:40
Wir kontrollieren den Zeitplan.
6:42
Sie entscheiden, wann Upgrades stattfinden, nicht Microsoft.
6:44
Die eigentliche Arbeit wie das Lernen von Pods, das Aktualisieren der Nodes und das Wieder-Online-Bringen wird für Sie erledigt.
6:49
Nun zu den Kosten.
6:50
Sie zahlen die Standardpreise für Azure VMs für Ihre Nodes.
6:53
Eine D2s vor 3 in East US kostet etwa 70 Dollar pro Monat eine größere VM entsprechend mehr.
6:58
Es gibt jedoch Möglichkeiten, diese Kosten deutlich zu sehen.
7:00
Reservierte Instanzen ermöglichen eine Bindung von 1 oder 3 Jahren gegen einen Rabatt, was bis zu 72% gegenüber PSU-Gos spart.
7:06
Wenn Sie Ihre Basiskapazität kennen, also die Nodes, die immer laufen müssen, ist eine Reservierung sehr sinnvoll.
7:12
Bot-VMs sind sogar noch günstiger bis zu 90% an den PSU-Go-Preisen.
7:16
Aber hier ist der Haken.
7:17
Azure kann diese Kapazität jederzeit zurückfordern und gibt Ihren Nodes 30 Sekunden Vorwarnung vor der Entziehung.
7:23
Das ist gut für Batch-Jobs, CI-CCD-Pipelines oder zustandslose Workloads, die Unterbrechungen vertragen, aber nicht für eine kundenorientierte Produktions-API.
7:30
Sie zahlen also für die Worker, wählen Größe, Anzahl und Preismodell, während AKS die Pools deskalieren und die Upgrades verwaltet.
7:37
Ihre Nodes und Pots müssen mit einer kommunizieren können.
7:39
Und genau hier kommt das Netzwerk ins Spiel.
7:42
Netzwerktechnik, wie Pots miteinander sprechen.
7:44
Jeder Pot in Ihrem Cluster benötigt eine IP-Adresse, aber Pots kommen und gehen ständig.
7:48
Sie stürzen ab, sie skalieren hoch, sie werden ersetzt.
7:50
Sie benötigen also ein System, das IPs dynamisch vergibt und sicherstellt, dass Pots einander erreichen können.
7:55
Genau das macht das Container Networking Interface.
7:56
Azure CNI ist die Implementierung von Microsoft und verwaltet, wie Pots-Adressen erhalten und wie Datenverkehr zwischen ihnen fließt.
8:03
Es gibt zwei Hauptnetzwerkmodelle, aus denen Sie wählen können.
8:05
Overlay Networking gibt Pots-IPs aus einem separaten Adressbereich, der nicht Teil Ihres virtuellen Netzwerks ist.
8:10
Dies ist die skalierbare Option.
8:12
Sie können bis zu 5000 Nodes und eine Viertelmillion Pots in einem einzigen Cluster haben.
8:16
Da Pots-IPs von Ihrem V-Net isoliert sind, können Sie denselben Adressraum über mehrere Cluster hinweg ohne Konflikte nutzen.
8:22
Der Nachteil ist, dass auf Pots nicht direkt von außerhalb des Clusters zugegriffen werden kann.
8:26
Datenverkehr, der einen Pots verlässt, wird auf die IP-Adresse des Nodes übersitten.
8:30
Die andere Option ist das Flat-Networking, bei dem Pots-IPs direkt aus Ihrem V-Net-Bereich erhalten.
8:34
Externe Systeme können Pots bei Bedarf direkt erreichen.
8:37
Aber der Nachteil ist, dass Sie IP-Adressen aus Ihrem V-Net verbrauchen, was bei vielen Pots schnell knapp werden kann.
8:42
Machen wir mal.
8:42
Sie müssen die Größe Ihrer Subnetze sorgfältig planen.
8:45
Lassen Sie uns nun über den Datenverkehr sprechen in Ihrem Cluster.
8:46
Wenn ein Port etwas im Internet erreichen muss, eine externe API, eine Datenbank oder einen Dienst eines Drittanbieters, muss dieser Verkehr irgendwo hindurch.
8:54
Standardmäßig verwendet AKS einen Azure Load Balancer für ausgehende Verbindungen, was für die meisten Workloads gut funktioniert.
8:59
Wenn Ihre Anwendungen jedoch viele ausgehende Verbindungen aufbauen, kann es zu einer sogenannten SNET-Port-Erschöpfung kommen.
9:05
Jeder Knoten erhält eine feste Anzahl an Source-Network-Address-Translation-Ports.
9:09
Und wenn diese aufgebraucht sind, schlagen neue Verbindungen fehl.
9:11
Die Lösung ist das Azure-Net-Gateway, das eine hohe Anzahl an Verbindungen deutlich besser bewältigt.
9:16
Um Ihre Anwendungen im Internet bereitzustellen, gibt es zwei Hauptansätze.
9:19
Für Anwendungen, die über TCP oder UDP kommunizieren, wie Spielserver, Datenbanken oder eigene Protokolle, verwenden Sie einen Load Balancer-Dienst.
9:27
Er weist Ihrer App eine öffentliche IP zu und leitet den Datenverkehr auf Ebene 4.
9:30
Für Web-Anwendungen, die HTTP oder HTTPS nutzen, benötigen Sie einen Ingress-Controller.
9:34
Dieser arbeitet auf Ebene 7.
9:36
Er versteht URLs, Pfade und Hostnamen.
9:38
Sie können den Verkehr basierend auf dem Domain-Namen oder dem URL-Pfad an verschiedene Dienste weiterleiten.
9:42
Und eine öffentliche IP kann dutzende Anwendungen bedienen.
9:45
AKS unterstützt verwaltete Ingress-Optionen, wie das Application-Gateway für Container.
9:49
Oder Sie betreiben Ihren eigenen wie zum... wie in nix.
9:52
Ein häufiger Fehler ist das Erstellen eines AKS-Clusters mit einem zu kleinen Subnetz.
9:56
Vielleicht ein Z28-Subnetz, also insgesamt 16 APs.
9:59
Das funktioniert für einen kleinen Test-Cluster, aber AKS reserviert IP-Adressen pro Knoten.
10:02
Ein Drei-Knoten-Cluster mit einem 28er-Netz mag heute ausreichen,
10:05
aber nächsten Monat fügen Sie einen Knotenpool hinzu, Ihr Traffic wächst und plötzlich können Sie nicht besser werden.
10:08
Und Sie können die CRDR des Subnetzes nicht mehr ändern, nachdem der Cluster erstellt wurde.
10:12
Sie müssten den Cluster neu aufbauen oder einen neuen Knotenpool in einem anderen Subnetz erstellen und Ihre Workloads migrieren.
10:17
Planen Sie die Größe Ihrer Subnetze von Anfang an auf Wachsum aus.
10:20
Sobald Ihre App läuft und erreichbar ist, müssen Sie sie absichern.
10:23
Sicher ein.
10:24
Wetter auf hinein.
10:25
Wie funktioniert Sicherheit in AKS also eigentlich?
10:27
Stellen Sie es sich wie ein Gebäude mit mehreren Schutzschichten vor.
10:30
Die erste Schicht ist Identität und Zugriff.
10:32
Wer kommt durch die Tür?
10:33
Sie verbinden Ihren Cluster mit Entra-ID, dem Identitätsdienst von Microsoft.
10:37
Früher hieß es Azure Active Directory.
10:40
Ihr Team meldet sich mit den normalen Arbeitsdaten an.
10:42
Separate Konten sind nicht erforderlich.
10:44
Dann fügen Sie Kubernetes RBC hinzu, also die rollenbasierte Zugriffskontrolle.
10:48
Dies bestimmt, wer was sehen, wer Pots bereitstellen und wer Ressourcen löschen darf.
10:51
Ein Entwickler erhält vielleicht nur Zugriff auf seinen eigenen Namespace,
10:55
während ein Operator-Cluster-weiten Lesezugriff hat und ein Admin die volle Kontrolle besitzt.
10:59
Sie können Entra-Gruppen direkt Kubernetes-Rollen zuweisen.
11:01
Wenn also jemand dem Team beitritt oder es verlässt, aktualisieren Sie die Entra-Gruppe und die Berechtigungen folgen automatisch.
11:06
Es ist wie der Empfangsschalter, der den Zugang für das gesamte Gebäude regelt.
11:09
Netzwerksicherheit ist die zweite Ebene.
11:11
Standardmäßig ist der API-Server Ihres AKS-Clusters über das öffentliche Internet erreichbar
11:14
und obwohl Sie ihn auf bestimmte IP-Bereiche beschränken können, bleibt der Endpunkt exponiert.
11:18
Für Produktionsworkloads sollten Sie stattdessen einen privaten Cluster verwenden.
11:21
Auf diese Weise erhält der API-Server eine interne IP aus Ihrem Finet,
11:25
die nur über Azure Private Link zugänglich ist, ganz ohne öffentliche Sichtbarkeit.
11:29
Jeder, der den Cluster verwaltet, muss mit Ihrem Netzwerk verbunden sein,
11:31
sei es über VPN, ExpressRoute oder eine Jumpbox innerhalb des Vornet.
11:34
Dann kommen wir zur Pod-Sicherheit, wo die meisten Container-Schwachstellen entstehen.
11:38
Die wichtigste Regel, führen Sie Container niemals als Root aus.
11:41
Wenn ein Container als Root läuft und ein Angreifer einbricht, hat der Root Zugriff auf den Host.
11:45
Dasselbe gilt für die Privilegieneskalation. Deaktivieren Sie diese.
11:47
Nutzen Sie Azure Policy für Kubernetes, um diese Regeln automatisch durchzusetzen.
11:51
Sie können festlegen, dass kein Container in diesem Namespace als Root laufen darf.
11:54
Und die Richtlinie blockiert jede Bereitstellung, die gegen diese Regel verstößt,
11:56
bevor Sie jemals den Knoten erreichen.
11:58
Secrets sind der nächste wichtige Punkt.
12:00
Speichern Sie niemals Passwörter, API-Schlüssel oder Verbindungszeichenfolgen
12:03
in Ihrem Code oder in Container-Images.
12:05
Leute tun es ständig.
12:06
Sie programmieren ein Datenbank-Passwortfest in eine Konfigurationsdatei,
12:09
erstellen das Image, übertragen es in eine Registry
12:11
und das Passwort ist nun für immer eingebettet.
12:13
Jeder mit Zugriff auf die Registry kann es extrahieren.
12:15
Verwenden Sie stattdessen Azure Key Vault.
12:17
Speichern Sie Ihre Secrets dort und lassen Sie Ihre Pots
12:19
über den Secrets-Store-CSI-Treiber darauf zugreifen.
12:21
Der Pot bindet das Secret zur Laufzeit als Volume- oder Umgebungsvariable ein
12:25
und das Secret gelangt niemals in Ihr Image oder Ihren Quellcode.
12:28
Schließlich die Überwachung.
12:29
Microsoft Defender for Containers scannt Ihre Container-Images
12:32
auf bekannte Schwachstellen und überwacht Ihren Cluster
12:34
auf verdächtige Aktivitäten, Versuche zur Privilegieneskalation,
12:37
ungewöhnliche Netzwerkverbindungen und Crypto-Mining-Workloads.
12:40
Es ist kein Einrichten- und Vergessen-Tool,
12:42
aber es erkennt Dinge, die Ihnen selbst entgehen könnten.
12:44
Trotz alledem können Dinge schiefgehen.
12:46
Schauen wir uns also die häufigsten Fallstricke an.
12:48
Häufige Fallstricke, was geht schief?
12:50
Was bringt die Leute am häufigsten zum Stoffen?
12:52
Gehen wir die üblichen Verdächtigen durch.
12:53
Zuerst kommen die Azure-Kontingentgrenzen.
12:55
Ihr Azure-Abonnement hat Begrenzungen für die Anzahl der VCPUs,
12:57
die Sie in einer bestimmten Region nutzen können,
12:59
ebenso wie für öffentliche IPs, Load Balancer und andere Ressourcen.
13:02
Wenn Sie eine AKS-Cluster erstellen, verbraucht diese einen Teil dieses Kontingents.
13:05
Wenn Sie das Limit erreichen, schlägt die Cluster-Erstellung fehl
13:07
oder die Skalierung funktioniert nicht mehr.
13:09
Die Lösung ist einfach.
13:10
Beantragen Sie eine Kontingenterhöhung über das Azure-Portal.
13:13
Tun Sie dies jedoch, bevor Sie es benötigen,
13:14
nicht wenn eine Bereitstellung zwei Nachts feststeckt.
13:16
Als nächstes kommt die Subnetzdimensionierung
13:18
und das ist schmerzhaft, da man es nachträglich nicht mehr korrigiert.
13:21
AKS reserviert IP-Adressen pro Knoten
13:22
und jeder Knoten benötigt eine bestimmte Anzahl von IPs für Pots.
13:26
Wenn Ihr Subnetz zu klein ist, gehen Ihnen die Adressen aus
13:28
und Sie können ein Subnetz nach der Cluster-Erstellung nicht mehr erweitern.
13:31
Planen Sie also für das Wachstum.
13:32
Wenn Sie heute 10 Knoten benötigen,
13:34
stellen Sie genug IPs für 50 bereit.
13:35
Einzler fliehen 20 Subnets
13:37
bietet Ihnen 251 nutzbare IPs,
13:39
was für die meisten Cluster ein guter Ausgangspunkt ist.
13:41
Image-Pull-Back-Off ist wahrscheinlich der häufigste POT-Fehler,
13:44
dem Sie begegnen werden.
13:45
Ihr POT versucht, ein Container-Image abzurufen, aber schlägt fehl.
13:48
Meistens liegt ein Authentifizierungsproblem vor.
13:50
Ihr Cluster kann nicht auf die Container-Registry zugreifen.
13:52
Vielleicht verwenden Sie eine private Registry ohne Anmeldedaten,
13:54
sind abgelaufen oder die abgelaufen.
13:56
Überprüfen Sie Ihre Image-Pull-Secrets,
13:57
stellen Sie sicher, dass das Dienstkonto Zugriff auf die Registry hat
13:59
und verifizieren Sie, ob der Image-Name korrekt ist.
14:01
Es handelt sich selten um einen Kubernetes-Fehler.
14:03
Crash-Loop-Back-Off ist ein weiterer häufiger Fehler.
14:05
Ihr POT startet, läuft für ein paar Sekunden, stürzt ab,
14:07
startet neu und stürzt erneut ab.
14:09
Der natürliche Instinkt ist, Kubernetes die Schuld zu geben,
14:10
aber tun Sie das nicht.
14:11
In neun von zehn Fällen ist es Ihre Anwendung,
14:13
eine falsch konfigurierte Umgebungsvariable,
14:15
eine fehlende Abhängigkeit oder ein Datenbank-Verbindungs-String,
14:17
der auf den falschen Server zeigt.
14:19
Überprüfen Sie die POT-Protokolle mit Quebec.
14:20
Die Fehlermeldung steht meist direkt dort.
14:23
Und dann gibt es noch die Erschöpfung der ausgehenden Verbindung.
14:25
Ihre Anwendung stellen viele Verbindungen
14:26
zu externen Diensten, APIs, Datenbanken und Drittanbieter-Tools her.
14:30
Jede Verbindung nutzt einen SNAT-Port
14:32
und jeder Knoten hat eine begrenzte Anzahl dieser Ports.
14:35
Wenn diese aufgebraucht sind,
14:36
schlagen neue Verbindungen stillschweigend fehlten.
14:37
Ihre App sieht gesund aus,
14:38
kann aber nichts außerhalb des Clusters erreichen.
14:40
Die Lösung ist der Wechsel zum Azure-Net-Gateway,
14:43
das eine hohe Anzahl an Verbindungen
14:44
viel besser bewältigt als der Standard-Load-Balancer
14:46
oder die Verwendung größerer Knotengrößen,
14:47
die mehr SNAT-Ports pro Knoten bieten.
14:49
Alle diese Teile haben ihren Preis,
14:50
also lassen Sie uns aufschlüsseln,
14:51
was Sie tatsächlich bezahlen will.
14:53
Kosten und Preisgestaltung.
14:54
Was kostet AKS also tatsächlich?
14:56
Das ist Klartext.
14:57
Der Großteil Ihrer Rechnung entfällt auf die Worker-Node-VMs,
15:00
also Compute, Speicher und Netzwerk.
15:02
Darauf fließt das eigentlich Geld.
15:03
Ein D2S vor drei Knoten in East US
15:05
kostet etwa 70 Dollar pro Monat.
15:07
Fünf Knoten kosten 350 Dollar.
15:09
Zehn Knoten kosten 700 Dollar.
15:11
Diese VM-Kosten summieren sich schnell.
15:13
Die Steuerungsebene bietet drei Preisstufen.
15:15
Free bietet die Steuerungsebene ohne Aufpreis,
15:17
jedoch ohne SLA.
15:18
Standard kostet etwa 72 Dollar pro Monat
15:21
und Cluster mit einem SLI von 99,95 Prozent
15:24
für den API-Server.
15:26
Premium kostet etwa 432 Dollar pro Monat
15:28
und beinhaltet Langzeitunterstützung für Kubernetes-Versionen.
15:31
Für die meisten Produktionsworkloads ist Standard ideal,
15:34
aber Sie können die VM-Kosten senken.
15:36
Reservierte Instanzen ermöglichen eine Bindung
15:37
für eins oder drei Jahre,
15:38
was bis zu 72 Prozent gegenüber der
15:40
nutzungsabhängigen Abrechnung spart.
15:41
Wenn Sie Ihre Basiskapazität kennen,
15:43
also die Knoten, die immer laufen müssen,
15:45
ist eine Reservierung logisch.
15:46
Azure-Sparpläne funktionieren ähnlich,
15:48
bieten aber mehr Flexibilität bei verschiedenen VM-Familien.
15:51
Sie verpflichten sich zu einem bestimmten Stundensatz
15:53
und Azure wendet den Rabatt automatisch an.
15:55
Die Ersparnis beträgt bis zu 65 Prozent.
15:57
Spot4M sind die günstigste Option mit bis zu 90 Prozent Rabatt,
15:59
aber hier ist der Haken.
16:00
Azure kann diese Kapazität jederzeit zurückfordern.
16:03
Ihre Knoten werden entfernt,
16:04
Ihre Pots werden neu geplant.
16:05
Das funktioniert gut für Batch-Jobs,
16:07
CICD-Runner oder zustandslose Workloads.
16:09
Weniger gut für Ihre Produktions-APA.
16:11
Kostenoptimierung besteht nicht nur aus Rabatten.
16:13
Dimensionieren Sie Ihre Knotenricht.
16:14
Provisionieren Sie keine 16-Kern-VM,
16:16
wenn Ihre Pots nur zwei benötigen.
16:17
Nutzen Sie den Cluster-Autoscaler,
16:19
damit Sie bei geringem Datenverkehr nicht für ungenutzte Knoten sind.
16:21
Für Workloads mit geringer CPU-Last
16:23
sollten Sie B-Sylen-VM zu betrachten.
16:24
Sie sind brustfähig und deutlich günstiger als die D-Serie.
16:27
Vergessen Sie auch nie Speicher und Datentransfer.
16:29
Persistente Volumes verursachen Kosten.
16:31
Azure Disk ist schnell, aber teuer.
16:33
Azure Files ist günstiger, aber langsamer.
16:35
Wählen Sie basierend auf den Leistungsanforderungen Ihres Workloads.
16:38
Datenausgang, also Datenverkehr der Azure verlässt,
16:40
kostet ebenfalls Geld.
16:41
Halten Sie Ihren Datenverkehr nach Möglichkeit in der Ipd-Sem-Regel.
16:43
Wann ist AKS also tatsächlich sinnvoll?
16:45
Sprechen wir über Leitlinien aus der Praxis.
16:47
Wann sollten Sie AKS verwenden?
16:48
AKS glänzt bei Microservices-Architekturen.
16:51
Sie haben mehrere unabhängige Dienste, die separat skalieren müssen.
16:54
Das Frontend benötigt in Spitzenzeiten vielleicht zehn Replikate,
16:57
während das Backend nur drei braucht.
16:58
AKS handhabt das auf natürliche Weise.
17:00
Jeder Dienst skaliert unabhängig basierend auf seinem eigenen Datenverkehr.
17:04
Hochverfügbarkeit ist ein weiteres stärkes Argument.
17:06
AKS verteilt Ihre Pots auf mehrere Knoten.
17:08
Fällt ein Knoten aus, werden die Pots auf fehlerfreie Knoten ungeplant.
17:11
Wenn Sie Verfügbarkeitszonen nutzen, kann Ihr Cluster den Ausfall eines gesamten Rechenzentrums überstehen.
17:15
Für Anwendungen, die rund um die Uhr verfügbar sein müssen, ist das wertvoll.
17:18
Bei ACI-CD-Integration zahlt sich AKS wirklich aus.
17:21
Sie erstellen Ihr Container-Image, pushen es in eine Registry
17:23
und AKS stellt die neue Version per Rolling-Update bereit.
17:27
Keine Ausfallzeit.
17:28
Wenn etwas schief geht, führen Sie ein Robic.
17:29
Kein manuelles SES-HALF-Servern, kein Kopieren und Einfügen von Dateien.
17:32
Die Pipeline übernimmt alles.
17:34
Aber AKS ist nicht immer die richtige Antwort.
17:35
Wenn Sie eine einfache monolithische Anwendung auf einer einzelnen VM ausführen,
17:38
erhöht AKS die Komplexität ohne großen Nutzen.
17:41
Sie würden Kubernetes nur um des Verwaltens willen verwalten.
17:44
Manchmal sind eine VM, ein App-Service oder sogar Azure Functions die einfache und günstigere Wahl.
17:48
Wenn Sie gerade erst anfangen, nutzen Sie den kostenlosen Tarif.
17:50
Erstellen Sie einen Cluster, stellen Sie Ihr Testanwendung bereit, machen Sie Dinge kaputt, reparieren.
17:54
Lernen Sie die Konzepte, ohne sich Gedanken über die Kosten zu machen.
17:56
Wenn Sie bereit für die Produktion sind, wechseln Sie zu Standard.
17:58
Fassen wir alles zusammen.
17:59
Also das sollten Sie sich merken.
18:01
AKS kümmert sich um vier große Dinge.
18:03
Microsoft verwaltet die Control Plane, das ist das Gehirn des Clusters.
18:05
Sie wählen die Größe und Anzahl der Knoten.
18:07
Die Worker-4-M's und AKS kümmert sich um die Pools und die Skalierung.
18:11
Für das Netzwerk kommunizieren Pods untereinander und mit der Außenwelt über Azure CNI und AKS integriert dies, damit alles funktioniert.
18:17
Sicherheitstools sind integriert.
18:19
Identität, Netzwerkisolierung, Pod-Härtung.
18:22
Sie zahlen nur für Compute, Knoten, Speicher und Netzwerk.
18:25
Die Control Plane selbst ist im kostenlosen Tarif gratis.
18:27
Sie benötigen Standard oder Premium nur, wenn Sie eine SLA oder langfristigen Support wünschen.
18:31
Ihr nächster Schritt.
18:32
Erstellen Sie einen kostenlosen AKS-Cluster im Azure-Portal.
18:35
Stellen Sie eine einfache Testanwendung bereit, NG1X oder einen Hello World Container.
18:39
Sehen Sie, wie es funktioniert, machen Sie es kaputt und reparieren.
18:41
Diese praktische Erfahrung schlägt jedes Tutorial.
18:43
Wenn diese Episode geholfen hat, abonnieren Sie uns für weitere einfache Azure-Erklärungen
18:46
und teilen Sie sie mit jemandem, der seine Cloud-Reise beginnt.
18:49
Sie werden es Ihnen später danken.