O AKS (Azure Kubernetes Service) tem sido uma plataforma popular para executar cargas de trabalho de contêiner no Azure, oferecendo uma maneira fácil de implantar e gerenciar clusters Kubernetes. No entanto, à medida que os aplicativos se tornaram mais complexos, os usuários precisaram de recursos mais avançados para obter insights e segurança aprimorados.
O Surgimento do ACNS
O AKS foca principalmente nos conceitos básicos de execução do Kubernetes, mas conforme a plataforma cresceu, os usuários precisaram de serviços mais complexos para oferecer insights mais profundos sobre aplicativos e segurança mais avançada em um nível muito mais baixo. A natureza modular do Kubernetes ajuda aqui, com suporte para sidecars e service meshes para estender a plataforma e adicionar a funcionalidade necessária sem exigir alterações em seus aplicativos.
Apresentando o ACNS
O Advanced Container Networking Services (ACNS) agrupa ferramentas de código aberto para adicionar observabilidade e segurança ao AKS. A Microsoft lida com a configuração, simplificando o processo de integração de ferramentas como Grafana e Prometheus com nós habilitados para Cilium usando Hubble e eBPF para integração de nível profundo com os sistemas de host de contêiner subjacentes. Como alternativa, você pode construir nós em torno da própria ferramenta de observabilidade Retina Kubernetes da Microsoft.
Por enquanto, a ferramenta suporta dois serviços vinculados: Advanced Network Observability e o novo serviço de filtragem Fully Qualified Domain Name (FQDN) com um proxy DNS associado. Ambos aproveitam o suporte do Azure para Berkeley Packet Filters estendidos, com acesso em nível de kernel para redes Windows e Linux.
Observabilidade de Rede Avançada
As ferramentas de observabilidade fornecem dados em tempo real sobre o desempenho da rede dentro dos seus clusters AKS, ajudando a identificar problemas de desempenho antecipadamente, com ferramentas de visualização que mostram interconexões e como os serviços interagem.
Filtragem de FQDN
As ferramentas de DNS funcionam com a rede do Azure para ajudar a implantar um conjunto de políticas de rede que controlam quem e o que tem acesso ao seu serviço, ao mesmo tempo em que reduzem o risco de interrupções baseadas em DNS. Se você estiver usando o Retina para observabilidade, precisará mudar para o Cilium para usar as ferramentas de rede no Advanced Container Network Services.
Usando a Filtragem de Domínio do ACNS
A configuração requer uma das linhas de comando do Azure: trabalhar com Bash no Cloud Shell ou o Azure CLI em uma sessão de terminal de desktop. Você precisa estar conectado ao ambiente do Azure que está configurando se estiver usando o CLI. Como o ACNS é um serviço de visualização, você precisará da extensão de visualização do Azure CLI para habilitar os sinalizadores de recursos necessários para usar a visualização do ACNS.
Depois de criar um grupo de recursos para seu cluster AKS, você estará pronto para configurar o cluster e adicionar serviços ACNS. Como parte dos sinalizadores AKS necessários, seu cluster deve incluir o plano de dados apropriado, Cilium, se você estiver usando a filtragem de FQDN.
As políticas FQDN são gerenciadas pelo agente Cilium em execução no seu nó. As solicitações DNS feitas de um pod são redirecionadas pelo Cilium para o proxy DNS ACNS. Se a solicitação for permitida, o proxy faz uma solicitação DNS, obtém os resultados e passa uma resposta válida para o pod. Se o agente bloquear uma solicitação, nenhuma consulta é feita e nenhuma resposta é entregue.
Observabilidade de Rede com o ACNS
As ferramentas de observabilidade do ACNS ajudam a fornecer as informações de rede necessárias para aproveitar ao máximo uma arquitetura nativa da nuvem, usando Cilium ou Retina para extrair métricas dos hosts de serviço e mapeá-las para nós e pods. Os dados são armazenados no formato Prometheus do Kubernetes, e você pode usar um painel Grafana pré-configurado para visualizar os dados.
Há suporte para o Hubble rastrear fluxos dentro do seu ambiente, explorando comunicações entre pods e gerando um gráfico de conexão de serviço. No entanto, o ACNS não inclui as ferramentas de visualização do Hubble, então você precisará implementar seus próprios servidores se quiser usá-las.
Custos e Considerações
O Advanced Container Networking Services faz parte do AKS, mas tem custos adicionais. Como custa US$ 0,025 por nó por hora, quanto maior e mais complexo o aplicativo, mais caro. Seus custos flutuarão conforme o AKS aumenta e diminui, adicionando e removendo nós em resposta à demanda.
A Microsoft fez muito para simplificar a instalação de ferramentas de rede do Kubernetes em seu ambiente AKS gerenciado. No entanto, ainda há espaço para melhorias na configuração e orientação, para que os usuários possam aproveitar melhor os recursos do ACNS.
Conclusão
O ACNS é uma adição valiosa ao AKS, fornecendo observabilidade e segurança avançadas para aplicativos Kubernetes. Embora ainda esteja em versão prévia, ele adiciona recursos suficientes para valer a pena considerar como parte da sua infraestrutura AKS. Com uma mistura de ferramentas de segurança e plataforma, é provável que ele se torne um componente essencial de um ambiente nativo da nuvem do Azure.
