GitHub Actions kullanarak Azure Kubernetes Service (AKS) düğümlerine otomatik güvenlik yükseltmeleri uygulama

Güvenlik güncelleştirmeleri, AKS kümenizin güvenliğini ve temel işletim sistemi için en son düzeltmelerle uyumluluğunu korumanın önemli bir parçasıdır. Bu güncelleştirmeler işletim sistemi güvenlik düzeltmelerini veya çekirdek güncelleştirmelerini içerir. Bazı güncelleştirmeler, işlemi tamamlamak için düğümün yeniden başlatılmasını gerektirir.

Bu makalede, otomatik olarak çalışan bir güncelleştirme görevi cron oluşturmak için GitHub Actions ve Azure CLI kullanarak AKS düğümlerinin güncelleştirme işlemini nasıl otomatikleştirebileceğiniz gösterilmektedir.

Başlamadan önce

• Bu makalede, mevcut bir AKS kümeniz olduğu varsayılır. AKS kümesine ihtiyacınız varsa Azure CLI, Azure PowerShell veya Azure portalını kullanarak bir küme oluşturun.
• Bu makalede, eylemlerinizi barındırmak için bir GitHub hesabınız ve bir profil deponuz olduğu da varsayılır. Deponuz yoksa GitHub kullanıcı adınız ile aynı ada sahip bir depo oluşturun.
• Azure CLI sürüm 2.0.59 veya üzerinin yüklü ve yapılandırılmış olması gerekir. Sürümü bulmak için az --version komutunu çalıştırın. Yüklemeniz veya yükseltmeniz gerekirse, bkz. Azure CLI yükleme.

Ile düğümleri güncelleştirme az aks upgrade

komutu, az aks upgrade güncelleştirmeleri uygulamak için sıfır kapalı kalma süresi sağlar. Komut aşağıdaki eylemleri gerçekleştirir:

1. Kümenizin tüm düğümlerine en son güncelleştirmeleri uygular.
2. Cordons (düğümü yeni iş yüklerinin zamanlanması için kullanılamaz hale getirir) ve düğümlere giden trafiği boşaltarak (mevcut iş yüklerini başka bir düğüme taşır).
3. Düğümleri yeniden başlatır.
4. Güncelleştirilmiş düğümlerin yeniden trafik almasını sağlar.

Farklı bir yöntem kullanarak güncelleştirdiğinizde AKS düğümlerinizi otomatik olarak yeniden başlatmaz.

Tüm Kubernetes düğümleri standart bir Windows veya Linux tabanlı Azure sanal makinesinde (VM) çalışır. Linux tabanlı VM'ler, her gece güncelleştirmeleri otomatik olarak denetlemek üzere yapılandırılmış işletim sistemiyle bir Ubuntu görüntüsü kullanır.

komutunu kullandığınızda az aks upgrade Azure CLI, en son güvenlik ve çekirdek güncelleştirmeleriyle yeni düğümlerde bir artış oluşturur. Bu yeni düğümler başlangıçta, güncelleştirme tamamlanana kadar uygulamaların kendilerine zamanlanmasını önlemek için kordonlanır. Güncelleştirme tamamlandıktan sonra Azure, eski düğümleri boşaltıp yeni düğümleri düzelterek zamanlanmış tüm uygulamaları yeni düğümlere aktarır.

Yeni bir çekirdek güncelleştirmesi yüklendiğinde Linux yeniden başlatma gerektirdiğinden bu işlem Linux tabanlı çekirdekleri el ile güncelleştirmekten daha iyidir. İşletim sistemini el ile güncelleştirirseniz, vm'yi yeniden başlatmanız ve tüm uygulamaları el ile kordonlamanız ve boşaltmanız gerekir.

Zamanlanmış GitHub Eylemi oluşturma

cron , otomatik bir zamanlamada bir dizi komut veya iş çalıştırmanıza olanak tanıyan bir yardımcı programdır. AKS düğümlerinizi otomatik bir zamanlamaya göre güncelleştirecek bir iş oluşturmak için, eylemlerinizi barındıracak bir depoya ihtiyacınız vardır. GitHub Actions genellikle uygulamanızla aynı depoda yapılandırılır, ancak herhangi bir depoyu kullanabilirsiniz.

1. GitHub'daki deponuza gidin.

2. Eylemler'i seçin.

3. Yeni iş akışı İş akışını>kendiniz ayarlayın'ı seçin.

4. Her 15 günde bir saat 03:00'te çalışacak bir zamanlama tetikleyicisi ile Küme düğümü görüntülerini yükselt adlı bir GitHub Eylemi oluşturun. Aşağıdaki kodu YAML'ye kopyalayın:

   name: Upgrade cluster node images
   on:
     schedule:
       - cron: '0 3 */15 * *'
   

5. Ubuntu aracısı üzerinde çalışan ve düğüm yükseltme komutunu yürütmek için Azure CLI hesabınıza bağlanan upgrade-node adlı bir iş oluşturun. Anahtarın altındaki on YAML'ye aşağıdaki kodu kopyalayın:

   jobs:
     upgrade-node:
       runs-on: ubuntu-latest
   

İş akışında Azure CLI'yi ayarlama

1. Eylemler için Market'te Ara çubuğunda Azure Oturum Açma araması yapın.

2. Azure Oturum Açma'ya tıklayın.

   

3. Yükleme'nin altında v1.4.6 gibi bir sürüm seçin ve yükleme kodu parçacığını kopyalayın.

4. YaML'ye steps yükleme kodu parçacığından anahtarı ve aşağıdaki bilgileri ekleyin:

   name: Upgrade cluster node images
   on:
     schedule:
       - cron: '0 3 */15 * *'
   jobs:
     upgrade-node:
       runs-on: ubuntu-latest
       steps:
         - name: Azure Login
           uses: Azure/login@v1.4.6
           with:
             creds: ${{ secrets.AZURE_CREDENTIALS }}
   

Azure CLI için kimlik bilgileri oluşturma

1. Yeni bir tarayıcı penceresinde komutunu kullanarak az ad sp create-for-rbac yeni bir hizmet sorumlusu oluşturun. değerini kendi abonelik kimliğiniz ile değiştirdiğinizden *{subscriptionID}* emin olun.

   Not

   Bu örnek, Abonelik kapsamında rolü oluştururContributor. gereksinimlerinizi karşılayan rolü ve kapsamı sağlayabilirsiniz. Daha fazla bilgi için bkz . Azure yerleşik rolleri ve Azure RBAC kapsam düzeyleri.

   az ad sp create-for-rbac --role Contributor --scopes /subscriptions/{subscriptionID} -o json
   

   Çıkışınız aşağıdaki örnek çıkışa benzer olmalıdır:

   {
     "appId": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
     "displayName": "xxxxx-xxx-xxxx-xx-xx-xx-xx-xx",
     "password": "xxxxxxxxxxxxxxxxxxxxxxxxxxxx",
     "tenant": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
   }
   

2. Çıkışı kopyalayın ve GitHub deponuza gidin.

3. Ayarlar>Gizli Dizileri>ve değişkenler Eylemler>Yeni depo gizli dizisi'ni seçin.

4. Ad için AZURE_CREDENTIALS yazın.

5. Gizli Dizi için, hizmet sorumlusunu oluştururken aldığınız çıkışın içeriğini kopyalayın.

6. Gizli Anahtar Ekle'yi seçin.

Azure CLI komutlarını yürütme adımlarını oluşturma

1. İŞ akışı YAML ile pencerenize gidin.

2. Eylemler için Market'te Ara çubuğunda Azure CLI Eylemi'ni arayın.

3. Azure CLI Eylemi'ne tıklayın.

   

4. Yükleme'nin altında v1.0.8 gibi bir sürüm seçin ve yükleme kodu parçacığını kopyalayın.

5. Eylemin içeriğini aşağıdaki örneğe benzer şekilde adımın *Azure Login* altındaki YAML'ye yapıştırın:

   name: Upgrade cluster node images
   on:
     schedule:
       - cron: '0 3 */15 * *'
   jobs:
     upgrade-node:
       runs-on: ubuntu-latest
       steps:
         - name: Azure Login
           uses: Azure/login@v1.4.6
           with:
             creds: ${{ secrets.AZURE_CREDENTIALS }}
         - name: Upgrade node images
           uses: Azure/cli@v1.0.8
           with:
             inlineScript: az aks upgrade --resource-group <resourceGroupName> --name <aksClusterName> --node-image-only --yes
   

   İpucu

   için AZURE_CREDENTIALSyaptığınız gibi yeni depo gizli dizileri oluşturarak ve --name parametrelerini komutundan ayrıştırabilirsiniz--resource-group.

   Bu parametreler için gizli diziler oluşturursanız ve <aksClusterName> yer tutucularını gizli dizi karşılıklarıyla değiştirmeniz <resourceGroupName> gerekir. Örneğin ve ${{secrets.RESOURCE_GROUP_NAME}}${{secrets.AKS_CLUSTER_NAME}}

6. YAML'yi olarak upgrade-node-images.ymlyeniden adlandırın.

7. Değişiklikleri işle...'yi seçin, bir işleme iletisi ekleyin ve değişiklikleri işle'yi seçin.

GitHub Eylemini el ile çalıştırma

adlı workflow_dispatchyeni on bir tetikleyici ekleyerek zamanlanan çalıştırmaya ek olarak iş akışını el ile çalıştırabilirsiniz.

az aks nodepool upgrade --resource-group <resourceGroupName> --cluster-name <aksClusterName> --name <nodePoolName> --node-image-only

• Tetikleyiciyi workflow_dispatch anahtarın on altına ekleyin:

  name: Upgrade cluster node images
  on:
    schedule:
      - cron: '0 3 */15 * *'
    workflow_dispatch:
  

  YAML aşağıdaki örneğe benzer görünmelidir:

      name: Upgrade cluster node images
      on:
        schedule:
          - cron: '0 3 */15 * *'
        workflow_dispatch:
      jobs:
        upgrade-node:
          runs-on: ubuntu-latest
          steps:
            - name: Azure Login
              uses: Azure/login@v1.4.6
              with:
                creds: ${{ secrets.AZURE_CREDENTIALS }}
            - name: Upgrade node images
              uses: Azure/cli@v1.0.8
              with:
                inlineScript: az aks upgrade -g {resourceGroupName} -n {aksClusterName} --node-image-only --yes
            # Code for upgrading one or more node pools
  

Sonraki adımlar

AKS yükseltmeleri hakkında daha fazla bilgi için aşağıdaki makalelere ve kaynaklara bakın:

• AKS sürüm notları
• AKS kümesini yükseltme

Yükseltme en iyi yöntemleri ve diğer önemli noktalar hakkında ayrıntılı bilgi için bkz . AKS düzeltme eki ve yükseltme kılavuzu.